Интернет-маршруты опираются на доверие
Интернет функционирует на основе того, что сетевые операторы информируют друг друга, какие блоки IP-адресов они могут обслуживать, используя BGP (Border Gateway Protocol). Эти объявления маршрутов исторически основывались в большой степени на доверии. Когда сеть объявляет адреса, которые не должна объявлять — случайно или преднамеренно — трафик может попасть не туда, и сервисы могут стать недоступными.
24 февраля 2008 года Pakistan Telecom (AS17557) попытался заблокировать YouTube на территории Пакистана, объявив более специфичный маршрут для адресов YouTube. Его провайдер PCCW Global (AS3491) принял это объявление и передал его в остальную часть Интернета, перенаправив трафик YouTube в Пакистан глобально примерно на два часа (см. анализ RIPE NCC). Работу над RPKI, которая позволяет отклонять такие объявления, начали в IETF двумя годами ранее, а региональные интернет-реестры начали выдавать сертификаты RPKI в 2011 году.
RPKI (Resource Public Key Infrastructure) позволяет владельцу блока IP-адресов опубликовать подписанную запись — Route Origin Authorization (ROA), в которой указаны сетевые операторы (Autonomous Systems, или AS), имеющие право объявлять этот адресный блок. Операторы, проверяющие RPKI, сравнивают объявления с этими записями и могут отклонить те, которые не прошли проверку.
IPinfo проанализировала год ежедневных данных о RPKI, чтобы посмотреть, какая часть Интернета теперь защищена и где остаются пробелы. Основные результаты:
- 70,3% маршрутизируемых префиксов (блоков IP-адресов) теперь RPKI-валидны, вверх с 54,0% год назад — рост на 30%. Это 16,4 пункта против 3,9 и 3,2 в два предыдущих года.
- Большую часть прироста обеспечила Китай: доля её IPv4-адресов в валидных маршрутах выросла с 3,7% до 83,0%, что составляет почти 60% глобального прироста по адресам. За пределами Китая доля адресов выросла на 5,2 пункта.
- Невалидные маршруты практически не распространяются: типичный валидный маршрут видно у 596 точек наблюдения, невалидный — у двух.
- Слабые ROA — самый большой оставшийся пробел: 16,2% покрытых IPv4-маршрутов позволяют объявить поддельный, но RPKI-валидный маршрут — именно этот сценарий использовали против Hetzner 28 августа.
- Защита может исчезнуть незаметно: SEACOM, Saudi Telecom и Orange Maroc каждая потеряли ROA на месяцы.
- ASPA развивается быстро — с 131 до 3 272 сетей, но проверяет только около 3,5% маршрутизации, при этом неполная запись одного оператора вызывает примерно четверть сбоев на середине пути.
Невалидные маршруты почти не распространяются
В августе Internet Society Pulse выяснила, что активность, связанная с RPKI, составляет менее 1% объёма ежедневных обновлений BGP — доля растёт, но остаётся небольшой. Это значит, что сама RPKI не дестабилизирует маршрутизацию. Нужно было проверить, действительно ли RPKI защищает маршруты Интернета.
Маршруты с записью RPKI и без неё распространяются одинаково далеко: типичный видно у 596 и 595 точек наблюдения соответственно. Маршруты, не прошедшие проверку, видны всего у двух точек. Теперь, когда достаточно много сетей проверяют, они отклоняют эти невалидные маршруты. Почти половина всех невалидных маршрутов доходит только до одной точки наблюдения. Когда неправильная сеть объявляет адреса — самый явный вид перехвата или ошибки — 71% доходит только до одной.
Это меняет способ интерпретации статистики RPKI по странам. Страна может выглядеть плохо из-за объявлений, которые практически никто не видит.
Простой подсчёт невалидных маршрутов может сильно преувеличить проблему в стране. Испания имеет наибольшую долю невалидных IPv4-префиксов — 28,2%. Если считать адреса в этих маршрутах, взвешенные по количеству точек наблюдения, видящих каждый, доля падает до 0,057%. Словакия падает с 17,4% почти до нуля. Италия имеет наибольший показатель среди стран как минимум с одним миллионом IPv4-адресов — 0,121%, вверх с 0,075% год назад, и 90% этого — одна сеть.
WIND TRE (AS1267) объявляет 34 маршрута в собственном адресном пространстве, которые её собственные ROA не разрешают: 19 более специфичны, чем разрешают ROA, и 15 приходят от AS1267, тогда как ROA называет другую сеть WIND TRE — AS24608. Ни один из них не доходит до более чем 77 точек наблюдения, тогда как подписанные блоки вокруг них видны примерно у 617.
Китай обеспечил большую часть прироста в 2026 году
По количеству IPv4-адресов на 28 сентября каждого года доля в RPKI-валидных маршрутах выросла с 42,7% в 2023 году до 47,9% в 2024, 53,1% в 2025 и 65,0% в 2026. Последний скачок составил 11,9 пункта против примерно пяти в каждый из двух предыдущих лет.
Если убрать Китай, становится видно, насколько большую часть прироста обеспечила одна страна. За пределами Китая доля выросла с 58,0% до 63,2% — прирост на 5,2 пункта, немного меньше, чем годом раньше.
Изменение в Китае произошло резко: в сентябре 2025 года 3,7% его IPv4-адресов были в валидных маршрутах, а год спустя — 83,0%. Большая часть произошла в этом году: в конце декабря 2025 года валидными были всего 2,9% маршрутизируемых префиксов Китая. Это также изменило, в какую сторону он сдвигает глобальный показатель. В 2025 году Китай опускал глобальный средний: 53,1% во всём мире против 58,0% без Китая. В 2026 году поднимал: 65,0% против 63,2%. Другие тоже сдвинулись значительно: Египет с 23% до 99%, Казахстан с 16% до 84%, Мексика с 37% до 78%, Южная Африка с 38% до 60%.
Где находится незащищённое адресное пространство, столь же сосредоточено. Из всего маршрутизируемого IPv4-пространства, не находящегося в RPKI-валидных маршрутах на 28 сентября, почти 60% находится в США, и примерно один из четырёх адресов принадлежит Министерству обороны США (подробнее о том, кому принадлежит IPv4, в предстоящей публикации). Большая часть этого — пространство, которое Министерство начало объявлять в 2021 году для контроля за неправомерным использованием, а не для запуска сервисов.
IPv6 вышел вперёд
В начале 2025 года были опасения, что внедрение RPKI для IPv6 замедляется. Вместо этого оно ускорилось и теперь обогнало IPv4. В обзоре RPKI за 2024 год для RIPE Labs Job Snijders отметил, что рост ROA для IPv6 «кажется, застопорился». На нашей выборке маршрутизируемые префиксы IPv6, отмеченные как валидные, выросли с 56% до 79%, тогда как IPv4 префиксы выросли с 54% до 68%, что ставит IPv6 примерно на 10 пунктов впереди. Отчёт RPKI от Hurricane Electric показывает то же распределение.
Два других показателя, которые отметил, тоже изменились: среднее количество адресных блоков на ROA выросло обратно с 2,31 в конце декабря до 2,62, а точки публикации, которые он считал падающими с 63 до 53 и расценивал как консолидацию, выросли с 73 до 91, так как больше организаций начали размещать собственные репозитории вместо того, чтобы опираться на свой реестр.
Что RPKI не делает
RPKI проверяет, кто может объявить префикс. Она не проверяет путь и не может уловить злоумышленника, который остаётся в пределах разрешений, которые вы опубликовали, поэтому это не панацея.
28 августа 2026 года появился маршрут для 162.55.80.0/24 (блок из 256 адресов) с поддельным источником AS24940 компании Hetzner. ROA компании Hetzner охватывала окружающий /16 — блок в 256 раз больше — и разрешала объявления размером вплоть до /24, поэтому поддельный маршрут соответствовал требованиям. Маршрут был RPKI-валидным, не существовало законного /24 для конкуренции, и longest-prefix-match означал, что все его предпочитали. Этого было достаточно, чтобы получить подлинный TLS-сертификат и развернуть вредоносное обновление Virtualizor на гипервизорах, как задокументировала Kentik.
Измерили распространённость этого сценария. Из 855 217 RPKI-покрытых IPv4-маршрутов 138 698, или 16,2%, имеют ROA менее строгую, чем объявленный маршрут, и нет более специфичного маршрута собственной разработки, заполняющего пробел. Для IPv6 это 20,9%. Это оставляет примерно 18 миллионов более специфичных префиксов, которые злоумышленник может объявить сегодня, подделать источник и получить RPKI-валидный и неконкурирующий результат.
Операторы в одной и той же сфере делают очень разные выборы здесь. Среди хостинг-провайдеров Contabo имеет открытое окно на 540 из 553 покрытых маршрутов, DigitalOcean на 780 из 863, тогда как OVH находится на уровне 11,5%. Провайдеры доступа ещё хуже: Cablevision на 98,1%, Shaw на 96,5%, Bharti Airtel на 85,0%.
RFC 9319 уже говорит, что лучшая практика — оставить maxLength не установленным. maxLength — это параметр, который позволяет ROA также охватывать более мелкие блоки внутри неё, поэтому если оставить его неустановленным, ROA соответствует только действительно объявленному блоку. Hetzner ужесточила три префикса после инцидента, включая тот, что был перехвачен, хотя 49 из её 63 покрытых маршрутов остались открытыми.
Где покрытие RPKI снизилось
Покрытие RPKI может исчезнуть и без какого-либо сбоя. Отсутствующая ROA просто снимает защиту, и никто не замечает, если не смотреть специально. За прошлый год обнаружили несколько случаев, когда это произошло.
В отличие от Китая, Маврикий видел снижение покрытия RPKI. Доля его IPv4-адресов в валидных маршрутах упала с 94,0% до 69,0% между сентябрём 2025 и сентябрём 2026 года. SEACOM (AS37100) потеряла четыре из шести ROA 1 января. Одна охватывала 105.16.0.0/12 — блок примерно из одного миллиона адресов, 46% которых находятся в Маврикии. Этот блок один объясняет падение Маврикия, и на 28 сентября на него так и не было ROA.
Два других оператора показывают то же происходящее и потом исправление. Saudi Telecom (AS25019) потеряла RPKI-защиту на 19 маршрутов, включая шесть больших блоков, всего примерно 1,6 миллиона адресов, когда ROA для этих шести блоков исчезли между 30 марта и 13 апреля. Покрытие Саудовской Аравии восстановилось, когда ROA вернулись 21 и 22 сентября.
В Марокко Orange Maroc (AS36925) — единственный крупный оператор, публикующий ROA, и большинство из них исчезли дважды: с июля 2025 по июль 2026 года, и снова с 25 июля по 3 сентября. Марокко прошёл от 20% покрытия почти к нулю и обратно.
Одна ловушка при измерении
В зависимости от способа проверки запись RPKI может выглядеть сломанной, тогда как она всё ещё защищает свои маршруты. Столкнулись с этим при подсчёте.
Каждая подписанная запись несёт ссылку на сертификат выше неё. Когда оператор перемещает свой репозиторий, эта ссылка может устареть, и проверка, которая проверяет записи одну за другой, сообщит о жёстком сбое. Но проверка валидности, которая реально выдаёт список для маршрутизаторов, никогда не следует по этой ссылке, она спускается с якорей доверия вместо этого.
Нашли тысячи записей, отмеченных как ошибочные, которые присутствовали в каждом независимо проверенном наборе, и их маршруты оставались RPKI-валидными. Если читаешь чьи-то цифры RPKI, включая наши, стоит знать, какие из двух они считали. Подсчёт ошибочных записей — не мера потери защиты.
Проверка пути начинает приходить
ROA защищает источник маршрута. Они ничего не говорят о том, имеет ли смысл путь, используемый для достижения этого источника.
ASPA, или Autonomous System Provider Authorization, решает эту задачу. Сеть публикует подписанную запись, называя авторизованные провайдеров вышестоящего уровня, что позволяет другим проверять наблюдаемые пути AS против них и ловить утечки маршрутов, которые проверка источника пропускает.
Развёртывание раннее, но быстрое. На 28 сентября 2025 года 131 сеть опубликовал записи ASPA. К 28 сентября 2026 года их было 3 272 — в 25 раз больше.
Рост идёт скачками, а не кривой. RIPE NCC сидел на примерно 85 сетях с сентября до конца ноября, потом вскочил на 470 к концу декабря. ARIN шагнул вперёд с 21 января, APNIC в конце июня и снова в сентябре, когда его счёт почти удвоился. Каждый скачок следует за реестром, делающим подписание ASPA доступным, поэтому инструменты были основным движителем. Стоит выделить один деталь: APNIC объявила о поддержке 9 июля, а кривая начала расти 26 июня.
Это покрытие теперь достаточно, чтобы задать лучший вопрос: какая часть наблюдаемой маршрутизации ASPA-валидна?
На 28 сентября 2026 года 9,7% наблюдаемой маршрутизации прошло проверки ASPA, вверх с 6,2% год назад. Большая часть — автоматическая: в соответствии с проектом правил, путь через одну или две сети всегда проходит, и такие короткие пути составляли примерно 6% маршрутизации в оба года.
Выключи их, и записи, которые сети опубликовали, проверяют примерно 3,5% маршрутизации, вверх с примерно 0,1% год назад.
Почти всё остальное не падает. Оно неизвестно, потому что слишком мало сетей на этих путях опубликовали записи, чтобы рассказать. На практике ASPA может проверять только маленький кусочек маршрутизации сегодня, и этот кусочек растёт с каждой сетью, что публикует запись.
Из путей, которые можно судить, те, что нарушают правила ASPA на середине пути — сигнал, который сборщик может читать с максимальной уверенностью — выросли с практически нуля до 0,048% наблюдений. Это не обязательно маршрутизация ухудшается: путь можно назвать невалидным только раз, когда достаточно много его объявило провайдеров, так что по мере роста публикации пути, что раньше были неразбираемы, стали тестируемы и некоторые провалились.
Приписание этих сбоев требует осторожности, потому что пробел сидит посередине пути: один провайдер с устаревшей записью делает каждый из маршрутов его клиентов выглядящим невалидным, поэтому ранжирование по источнику винит неправильную сторону.
Приписывай прыжку вместо этого и сетей вверху — те, что делают это правильно. Cogent, Arelion и GTT каждая объявляют AS0, что значит они не покупают транзит ни у кого. Это правда, и это точно то, что останавливает устаревшую запись дальше по пути от скрывания как «нет аттестации». Реальные пробелы меньше: из 3 272 сетей, публикующих записи ASPA, 479 имеют провайдеров вышестоящего уровня видимы в наших данных маршрутизации, что они никогда не объявляли, всего 658 отсутствующих отношений.
Крупнейшая единственная причина — один оператор. Syrian Telecom (AS29386) публикует запись, называя четыре перевозчика. Три из них несут всего 16% транзита, что мы наблюдаем через неё, и четвёртый не несёт ничего. Четыре перевозчика, что обрабатывают остальные 84%, отсутствуют из записи, так что примерно 40% путей, прибывающих через них, падают проверку, а остальные выходят неизвестными.
Через собственные маршруты Syrian Telecom и два сирийских сетей, что достигают Интернета через неё, эта запись составляет 21% всех сбоев ASPA на середине пути в Интернете. Ещё 3 пункта приходят от AS201550, второй сети Syrian Telecom, чья запись копирует те же четыре перевозчика вместо называния сетей Syrian Telecom, что она связывает через. Так что глобальная частота сбоев ASPA — не ещё мера здоровья Интернета: примерно четверть её приходит от неполных записей одного оператора.
Восемнадцать лет спустя PCCW Global передала объявление Pakistan Telecom для адресов YouTube, PCCW — пробел в более новой системе. ASPA не остановила бы инцидент 2008 года; проверка источника RPKI — вот что её охватывает. Но ASPA позволяет другим проверить место PCCW в пути, и AS3491 не опубликовала запись. Это ничего не ломает само. Тем не менее, почти 6 000 путей, пересекающих PCCW, читают ASPA-невалидными сегодня, потому что сети ниже публикуют записи, что оставляют PCCW вне.
Что могут делать операторы
RPKI теперь защищает большинство маршрутов Интернета, и невалидные маршруты едва распространяются. Оставшиеся пробелы в основном в руках сетей, что владеют адресами:
- Публикуйте ROA для всего, что объявляете. Три из десяти маршрутизируемых префиксов всё ещё не RPKI-валидны.
- Оставляйте maxLength неустановленным. Один из шести покрытых IPv4-маршрутов имеет окно, как то, что использовали против Hetzner.
- Проверяйте, что ваши ROA всё ещё там. Saudi Telecom, SEACOM и Orange Maroc каждая потеряли некоторые из них, и поскольку ничего не сломалось, было легко пропустить.
- Публикуйте ASPA и перечисляйте каждого провайдера. Запись Syrian Telecom упускает четыре перевозчика, что обрабатывают большинство трафика, что мы видим достигающим неё, так что много маршрутов через них падают проверку.
IPinfo отслеживает статус RPKI каждого маршрутизируемого префикса ежедневно: ipinfo.io/data/rpki.
Методология
Все цифры поступают из ежедневных данных маршрутизации и RPKI компании IPinfo, сравнивая 28 сентября каждого года, если не указано иное. Данные маршрутизации поступают от общедоступных сборщиков RIPE RIS и RouteViews. Доход маршрута — это количество его пиров BGP (точек наблюдения), видящих его, и цифры дохода — медианы. «RPKI-валидный» означает маршрут совпадает с проверяемым набором ROA, который используют маршрутизаторы, не со статусом отдельных записей. Цифры по стране используют только IPv4 и считают адреса: каждый маршрут разбивается по странам, используя геолокацию IPinfo (текущее отображение для каждого года), каждый адрес считается один раз, и считается покрытым, если любой валидный маршрут его включает. На диаграмме 3 доля префикса использует первый адрес каждого префикса, и взвешенная доля умножает адреса каждого маршрута на его доход. Цифры maxLength охватывают маршруты, видные по крайней мере у двух точек наблюдения. Цифры ASPA взвешены по тому, как часто каждый маршрут наблюдается, и 0,048% считает сбои только в середине пути.