Contexte et fonctionnement de RPKI
Le Border Gateway Protocol (BGP) repose sur la confiance entre opérateurs pour annoncer les préfixes IP. Une annonce non autorisée peut détourner le trafic, comme l’incident de 2008 où Pakistan Telecom a redirigé YouTube pendant deux heures. RPKI (Resource Public Key Infrastructure) introduit des Route Origin Authorizations (ROA) signées qui lient chaque bloc d’adresses à un ou plusieurs systèmes autonomes (AS). Les routeurs qui interrogent les bases RPKI comparent chaque annonce aux ROA et rejettent les préfixes non conformes.
Évolution des routes valides 2025‑2026
Selon les relevés de RIPE RIS et RouteViews, la part des préfixes annoncés avec une validation RPKI est passée de 54,0 % en septembre 2025 à 70,3 % en septembre 2026, soit un gain de 16,4 points (≈30 % en un an). Cette progression dépasse largement les augmentations de trois à quatre points observées les deux années précédentes. Le principal moteur est la Chine, dont la proportion de préfixes IPv4 valides est passée de 3,7 % à 83,0 %, représentant près de 60 % du gain mondial.
En dehors de la Chine, la part valide a progressé de 58,0 % à 63,2 %. D’autres pays affichent des hausses marquées : Égypte (23 % → 99 %), Kazakhstan (16 % → 84 %), Mexique (37 % → 78 %) et Afrique du Sud (38 % → 60 %). Au niveau IPv6, la validité est passée de 56 % à 79 % sur la même période, maintenant une avance d’environ dix points sur IPv4.
Limites du modèle RPKI et scénarios d’évasion
RPKI ne vérifie que l’origine du préfixe, pas le chemin complet. Un attaquant peut exploiter un ROA trop permissif. L’exemple du 28 août 2026 montre une annonce 162.55.80.0/24 forgée par Hetzner AS24940 : le ROA couvrait le /16 englobant le /24, autorisant ainsi l’annonce légitime du préfixe et la rendant RPKI‑valide. Le préfixe a été utilisé pour obtenir un certificat TLS et diffuser un malware, sans que RPKI ne signale d’anomalie.
Sur les 855 217 routes IPv4 couvertes, 138 698 (16,2 %) possèdent un ROA plus large que le préfixe annoncé et aucun préfixe plus spécifique ne comble le vide. Pour IPv6, le ratio est de 20,9 %. Ces marges laissent environ 18 millions de préfixes plus spécifiques exploitables, capables d’être annoncés avec une origine conforme au ROA et de passer inaperçus.
Implications pour les opérateurs
Les mesures montrent que les routes invalides sont vues par très peu de points de vue (en moyenne deux), tandis que les routes valides sont observées par près de six cents collecteurs. Ainsi, un opérateur qui applique strictement les filtres RPKI élimine la plupart des annonces dangereuses, mais doit renforcer la granularité des ROA pour réduire les fenêtres d’exploitation. La concentration des adresses non protégées aux États‑Unis (≈60 % du total non‑validé) indique un besoin de mise à jour des politiques de publication, notamment pour les blocs du Département de la Défense qui restent largement non‑validés.
En résumé, la couverture RPKI a atteint un niveau historique, mais la sécurité du routage dépend désormais de la précision des ROA et de la complémentarité avec d’autres mécanismes de validation de chemin.
