RPKI и ROA
Это печать на праве объявлять адреса. С печатью чужой анонс отбросят, без неё подлинный и поддельный выглядят одинаково.
Протокол BGP верит анонсам на слово. RPKI — дополнительная система, которая это исправляет. Владелец префикса (Префикс) создаёт подписанную запись ROA: «этот блок вправе объявлять такая-то сеть». Оператор, который проверяет RPKI, сверяет каждый анонс с ROA и ставит один из трёх статусов: valid (совпало), invalid (не совпало) или unknown (записи нет).
Invalid обычно отбрасывают. А вот unknown пропускают: записи нет, и отбрасывать не на чем. Поэтому без ROA подлинный анонс и подделка выглядят одинаково.
Пример из атласа
Когда в 2022 году RTComm объявил префикс Twitter своим, у Twitter была ROA с законным origin AS13414. Операторы с проверкой отбросили анонс как invalid, и перехват не разошёлся по миру.1
Для сети AS61280 ГРЧЦ картина обратная: валидатор routinator по проверенному /24 из 212.192.156.0/22 вернул статус unknown и пустой список ROA.2 Подробный разбор — расследование Чужие маршруты: как российские сети перехватывали интернет и почему у ГРЧЦ нет щита.
А если своя RPKI?
По сообщению Хабра, Роскомнадзор планирует собственную инфраструктуру проверки маршрутов,3 а в форме реестра РАНР уже упомянут атрибут roa-uri.4 Работающего сервиса публично не видно.
Все термины: Словарь.
Примечания
- заявление ROA Twitter заставила операторов отбросить чужой анонс. MANRS, заметка о защите маршрутизации Twitter (по заголовку ссылки), 2022-03-28.
- измерение RPKI: у проверенных анонсов нет покрывающих ROA. RIPE NCC, RIPEstat, 2026-10-19.
- заявление Хабр: РКН планирует собственную инфраструктуру валидации маршрутизации. Хабр, новость.
- документ В форме route-объекта руководства РАНР упомянут атрибут roa-uri. РКН, руководство пользователя ЛК регистранта РАНР.