RPKI protege ya el 70% de las rutas de Internet, impulsado por China

Internet funciona porque las redes se dicen entre sí a qué direcciones pueden entregar tráfico. Cuando alguien anuncia direcciones que no le pertenecen—por error o a propósito—el tráfico se va al lugar equivocado y los servicios desaparecen. En 2008, Pakistan Telecom intentó bloquear YouTube en su país anunciando una ruta más específica para sus direcciones. Su proveedor de tránsito aceptó el anuncio y lo propagó al resto de Internet, redirigiendo el tráfico global de YouTube a Pakistán durante dos horas. Ese incidente encendió una conversación que llevaba dos años en marcha en el IETF sobre cómo validar quién tiene derecho a anunciar qué.

Hoy, dieciocho años después, esa conversación tiene un resultado medible. El 70,3% de los bloques de direcciones IP que se anuncian en Internet está validado criptográficamente, frente al 54,0% de hace un año. Son 16,4 puntos porcentuales de avance en doce meses—cerca del 30% de ganancia anual—cuando en cada uno de los dos años previos el avance había sido de tres o cuatro puntos. El sistema se llama RPKI, Resource Public Key Infrastructure. Funciona así: quien posee un bloque de direcciones IP publica un registro firmado, una Route Origin Authorization, donde nombra los sistemas autónomos autorizados a anunciarlo. Los operadores que activan la validación de origen comparan cada anuncio con esos registros y descartan los que no coinciden.

La métrica que cambia la conversación es la propagación. Un prefijo válido típico es visto por 596 de los routers que alimentan los colectores públicos de datos de enrutamiento. Uno sin registro RPKI es visto por 595. Uno inválido, por apenas 2. Las rutas protegidas y las que no tienen registro viajan igual de lejos; las que fallan la validación prácticamente no se propagan. Ahora que suficientes redes validan, están descartando esos anuncios. Casi la mitad de todas las rutas inválidas llega a un único punto de observación. Cuando la red equivocada anuncia direcciones ajenas—el caso más claro de secuestro o de error—el 71% llega a uno solo. Esto significa que la validación está filtrando tráfico real, no solo generando reportes.

El salto de 2026 tiene un responsable claro: China. El país pasó de tener 3,7% de sus direcciones IPv4 en rutas válidas a 83,0% en un año, y concentró casi 60% de la ganancia global medida por direcciones. El movimiento fue reciente: a fines de diciembre de 2025 solo 2,9% de los prefijos enrutados chinos era válido. En 2025 China arrastraba el promedio global hacia abajo, con 53,1% mundial contra 58,0% sin el país; en 2026 lo empuja hacia arriba: 65,0% contra 63,2%. Otros países también avanzaron fuerte: Egipto de 23% a 99%, Kazajistán de 16% a 84%, México de 37% a 78% y Sudáfrica de 38% a 60%. IPv6 adelantó a IPv4 en adopción: los prefijos enrutados marcados como válidos pasaron de 56% a 79%, mientras los de IPv4 iban de 54% a 68%.

Pero la cobertura global oculta vulnerabilidades finas. RPKI valida quién puede originar un prefijo. No valida la ruta y no puede detener a un atacante que se mantiene dentro del permiso que tú publicaste. El ejemplo más claro ocurrió el 28 de agosto de 2026: apareció una ruta para 162.55.80.0/24, un bloque de 256 direcciones, con el AS24940 de Hetzner falsificado como origen. La ROA de Hetzner cubría el /16 que lo rodeaba, un bloque 256 veces mayor, y permitía anuncios tan chicos como un /24. La ruta falsificada cumplía la regla, no existía un /24 legítimo que la compitiera y el longest-prefix-match hizo que todos la prefirieran. Alcanzó para obtener un certificado TLS genuino y servir una actualización maliciosa de Virtualizor a hipervisores. La configuración laxa de Hetzner permitió desviar tráfico en dos tramos dentro de una ventana de 33 horas. Hetzner recuperó el espacio anunciando la ruta correcta 12 horas después del inicio; luego dejó de anunciarla y el atacante repitió el secuestro, esta vez con casi 10 horas de margen.

El problema de configuración es masivo. De 855.217 rutas IPv4 cubiertas por RPKI, 138.698 (16,2%) tienen una ROA más laxa que la ruta anunciada y ninguna ruta más específica que llene el hueco. En IPv6 es 20,9%. Eso deja unos 18 millones de prefijos más específicos que un atacante podría anunciar hoy, falsificar su origen y quedar como válido y sin competencia. Las decisiones entre operadores son muy dispares: Contabo tiene ventana abierta en 540 de 553 rutas cubiertas y DigitalOcean en 780 de 863, mientras OVH está en 11,5%. Entre proveedores de acceso el cuadro es peor: Cablevision en 98,1%, Shaw en 96,5% y Bharti Airtel en 85,0%.

La siguiente capa de seguridad es ASPA, Autonomous System Provider Authorization. Los ROAs aseguran el origen de una ruta, pero no dicen nada sobre si el camino para llegar a ese origen tiene sentido. Una red publica un registro firmado que nombra a sus proveedores de tránsito autorizados, y los demás pueden comparar los caminos observados contra esa lista y detectar fugas de ruta que la validación de origen no ve. El despliegue es temprano pero veloz: el 28 de septiembre de 2025 había 131 redes con registros ASPA; un año después eran 3.272, 25 veces más. Con esa base ya se puede preguntar cuánto del enrutamiento observado pasa los controles de ASPA: 9,7%, contra 6,2% un año antes. Al descontar los caminos que atraviesan solo una o dos redes—que siempre pasan bajo las reglas en borrador—los registros publicados verifican alrededor de 3,5% del enrutamiento, arriba de aproximadamente 0,1%. Ese es el avance real.