RPKI 现已保护 70% 的互联网路由，一年前为 54%

📌 One-Sentence Summary

RPKI 有效路由在一年内从 54% 跃升至 70%，几乎完全由中国推动，但仅靠源验证仍使 16% 的已覆盖路由暴露于伪造劫持之下。

📝 Summary

IPinfo 对每日 RPKI 数据的分析显示，RPKI 有效的已路由前缀占比从 2025 年 9 月的 54.0% 上升至 2026 年 9 月的 70.3%，增幅达 16.4 个百分点，而此前每年仅增长三到四个百分点。中国贡献了其中的大部分：其有效路由中的 IPv4 地址从 3.7% 升至 83.0%，按地址数量计算占全球增量的近 60%。无效路由几乎不会传播，中位数仅被两个 BGP 观测点看到，而有效路由为 596 个，因此国家级无效前缀占比严重高估了实际暴露程度；西班牙 28.2% 的无效前缀占比在按可见性加权后降至 0.057%。IPv6 在 RPKI 覆盖率上已超过 IPv4，分别为 79% 和 68%。文章还记录了源验证的局限性：一条伪造的 Hetzner /24 路由通过了 RPKI，因为周边的 ROA 允许 /24 的 maxLength，而 16.2% 的已覆盖 IPv4 路由存在这样的开放窗口。ASPA 路径验证增长迅速，发布网络从 131 个增至 3，272 个，但仅约 3.5% 的路由由已发布记录验证，且约四分之一的路径中段失败可追溯至同一家运营商——叙利亚电信。

💡 Main Points

RPKI 有效路由一年内增长 16.4 个百分点，中国推动了其中的大部分。

RPKI 有效的已路由前缀占比在 2025 年 9 月至 2026 年 9 月间从 54.0% 升至 70.3%，而此前两年每年仅增长三到四个百分点。中国有效路由中的 IPv4 地址从 3.7% 升至 83.0%，按地址计算占全球增量的近 60%；若排除中国，增幅仅为 5.2 个百分点。

无效路由几乎不会传播，因此统计无效前缀会夸大国家层面的暴露程度。

一条典型的有效前缀被 596 个 BGP 观测点看到，无 RPKI 记录的前缀为 595 个，而无效前缀仅被两个观测点看到。近一半的无效路由只到达一个观测点，71% 的错误源宣告也是如此。西班牙 28.2% 的无效 IPv4 前缀占比在按看到每条路由的观测点数量加权后降至 0.057%。

源验证无法阻止停留在已发布 ROA 范围内的劫持。

2026 年 8 月 28 日，一条以 Hetzner 的 AS24940 为源的 162.55.80.0/24 伪造路由通过了 RPKI 验证，因为 Hetzner 的 ROA 覆盖了周边的 /16 并允许 /24 宣告。该路由被用于获取 TLS 证书并提供恶意的 Virtualizor 更新。在 855，217 条 RPKI 覆盖的 IPv4 路由中，16.2% 的 ROA 比所宣告的路由更宽松，且没有更具体的前缀填补空缺，这意味着攻击者可以宣告约 1，800 万个前缀并保持有效。

RPKI 覆盖率可能在未引发中断的情况下悄然消失。

1 月 1 日 SEACOM 丢失了六个 ROA 中的四个后，毛里求斯的覆盖率从 94.0% 降至 69.0%，其中包括一个覆盖约一百万个地址的区块。沙特电信在 3 月和 4 月失去了 19 条路由的保护，直到 9 月才恢复，而 Orange Maroc 的 ROA 两次消失，使摩洛哥的覆盖率从 20% 降至几乎为零。

ASPA 路径验证增长迅速，但仍只覆盖路由的一小部分。

发布 ASPA 记录的网络一年内从 131 个增至 3，272 个，在注册机构推出签名工具后出现跃升。在观测到的路由中，9.7% 通过了 ASPA 检查，但其中约 6 个百分点是短路径的结构性下限；已发布记录仅验证约 3.5%，高于此前的 0.1%。约四分之一的路径中段失败可追溯至叙利亚电信不完整的记录。

💬 Key Quotes

RPKI 验证谁可以发起某个前缀。它不验证路径，也无法抓住停留在你所发布许可范围内的攻击者，所以它并非无懈可击。

RPKI 本身没有任何失效。是 ROA 允许了它。

仅仅统计无效路由，会严重夸大一个国家受影响的程度。

缺失的 ROA 只是移除了保护，除非有人去看，否则没人会注意到。

这意味着全球 ASPA 失败率尚不能衡量互联网的健康状况。其中约四分之一来自一家运营商不完整的记录。

📊 Article Meta

AI Screening： 90

Featured： Yes

Source： Hacker News: Front Page

Author： emot

Category： 软件编程

Language： 英文

Read Time： 14 min

Word Count： 3285

Tags：

编程与工程 , 安全 , 科技新闻 , 互联网基础设施 , BGP