RPKI beschermt nu 70% van de internetroutes, gestegen van 54% een jaar geleden

Op 24 februari 2008 probeerde Pakistan Telecom (AS17557) YouTube binnen Pakistan te blokkeren door een specifiekere route voor de adressen van YouTube aan te kondigen. De upstream-provider, PCCW Global (AS3491), accepteerde de aankondiging en gaf deze door aan de rest van het internet, waardoor YouTube-verkeer wereldwijd gedurende ongeveer twee uur naar Pakistan werd omgeleid (case study van RIPE NCC). Dit is precies het soort fout dat RPKI is ontworpen om te voorkomen. Het werk aan RPKI was twee jaar eerder gestart bij de IETF, en de regionale internetregisters begonnen in 2011 met het uitgeven van RPKI-certificaten.

RPKI (Resource Public Key Infrastructure) stelt de houder van een blok IP-adressen in staat om een ondertekend record te publiceren, een Route Origin Authorization (ROA), waarin de netwerken (Autonomous Systems, of AS-en) worden benoemd die bevoegd zijn om dit blok aan te kondigen. Netwerkbeheerders die RPKI controleren, vergelijken aankondigingen met deze records en kunnen diegene die niet voldoen, weigeren.

Het aandeel van gerouteerde prefixen (blokken IP-adressen) die RPKI-valide zijn, steeg van 54,0% in september 2025 naar 70,3% in september 2026, een winst van 16,4 procentpunt, of 30% in een jaar. Dat is een scherpe stijging; in elk van de twee voorgaande jaren steeg het slechts met drie tot vier punten. Een groot deel van deze sprong kwam uit één land: China ging van 3,7% van zijn IPv4-adressen in valide routes naar 83,0%, wat bijna 60% van de wereldwijde winst in termen van adressen vertegenwoordigt. RPKI groeide in het afgelopen jaar meer dan in de twee jaar daarvoor gecombineerd: 16,4 punten tegenover 3,9 en 3,2. De gegevens zijn elk jaar op 28 september verzameld.

RPKI doet waarvoor het is ontworpen. Een typische valide prefix wordt gezien door 596 van de routers die de publieke RIPE RIS- en RouteViews-collectoren voeden. Een prefix zonder RPKI-record wordt gezien door 595, en een ongeldige prefix door slechts twee.

Ongeldige routes verspreiden zich nauwelijks

In augustus stelde Internet Society Pulse vast dat RPKI-gerelateerde activiteit verantwoordelijk is voor minder dan 1% van het dagelijkse BGP-updatevolume. Dit aandeel stijgt, maar is nog steeds klein, wat betekent dat RPKI op zichzelf de routering niet destabiliseert. We wilden weten of RPKI de internetroutering daadwerkelijk beschermde.

Routes met een RPKI-record en routes zonder record leggen een gelijke afstand af: een typische route wordt gezien door respectievelijk 596 en 595 meetpunten (vantage points). Routes die de controle niet passeren, worden door slechts twee meetpunten gezien. Nu voldoende netwerken de controle uitvoeren, worden deze ongeldige routes gedropt. Bijna de helft van alle ongeldige routes bereikt slechts één meetpunt. Wanneer het verkeerde netwerk de adressen aankondigt—de duidelijkste vorm van een hijack of fout—bereikt 71% slechts één meetpunt.

Dit verandert hoe RPKI-statistieken op landniveau gelezen moeten worden. Een land kan er slecht uitzien door aankondigingen die bijna niemand ziet. Het simpelweg tellen van ongeldige routes kan de mate waarin een land wordt beïnvloed, zwaar overdrijven. Spanje heeft het hoogste aandeel ongeldige IPv4-prefixen met 28,2%. Maar als we de adressen in die routes tellen, gewogen naar het aantal meetpunten dat elke route ziet, daalt dit naar 0,057%. Slowakije daalt van 17,4% naar bijna nul. Italië heeft de hoogste waarde van elk land met ten minste een miljoen IPv4-adressen (0,121%, omhoog van 0,075% een jaar geleden), en 90% daarvan is toe te schrijven aan één netwerk.

WIND TRE (AS1267) kondigt 34 routes aan in zijn eigen adresruimte die door zijn eigen ROA's niet zijn toegestaan: 19 zijn specifieker dan de ROA's toestaan, en 15 komen van AS1267 terwijl de ROA het andere netwerk van WIND TRE, AS24608, benoemt. Geen van deze routes bereikt meer dan 77 meetpunten, tegenover ongeveer 617 voor de ondertekende blokken eromheen.

China dreef de sprong van 2026

Gemeten naar IPv4-adressen op 28 september van elk jaar, steeg het aandeel in RPKI-valide routes van 42,7% in 2023 naar 47,9% in 2024, 53,1% in 2025 en 65,0% in 2026. De laatste sprong was 11,9 punten, tegenover ongeveer vijf in elk voorgaand jaar.

Wanneer we China uit de berekening laten, blijkt hoeveel van die groei door één land kwam. Buiten China steeg het aandeel van 58,0% naar 63,2%, een winst van 5,2 punten, iets minder dan het jaar ervoor.

De verandering in China zelf was buitengewoon. In september 2025 was 3,7% van de Chinese IPv4-adressen in valide routes, en een jaar later was dat 83,0%. Het meeste hiervan gebeurde dit jaar: eind december 2025 was slechts 2,9% van de Chinese gerouteerde prefixen valide. China veranderde hiermee ook de richting waarin het de wereldcijfers beïnvloedde. In 2025 trok China het wereldgemiddelde omlaag: 53,1% wereldwijd tegenover 58,0% zonder China. In 2026 duwde het de cijfers omhoog: 65,0% tegenover 63,2%. Ook andere landen legden een grote afstand af: Egypte van 23% naar 99%, Kazachstan van 16% naar 84%, Mexico van 37% naar 78%, en Zuid-Afrika van 38% naar 60%.

De concentratie van onbeschermde adressen is evenzeer geconcentreerd. Van alle gerouteerde IPv4-ruimte die op 28 september niet in RPKI-valide routes zat, bevindt bijna 60% zich in de Verenigde Staten, en ongeveer één op de vier adressen behoort toe aan het Amerikaanse Ministerie van Defensie (US Department of Defense). Het meeste daarvan is ruimte die het Ministerie in 2021 is begonnen aan te kondigen om misbruik in de gaten te houden, niet om diensten te draaien.

IPv6 is verder gevorderd

Begin 2025 waren er zorgen dat de adoptie van RPKI voor IPv6 vertraagde. In plaats daarvan versnelde het en heeft het IPv4 nu ingehaald. In de RPKI-jaaroverzicht van 2024 voor RIPE Labs merkte Job Snijders op dat de groei van IPv6 ROA's "te stagneren lijkt." In onze meetperiode steeg het aandeel IPv6-gerouteerde prefixen gemarkeerd als valide van 56% naar 79%, terwijl IPv4-prefixen stegen van 54% naar 68%, waardoor IPv6 ongeveer tien punten voor staat. Het RPKI-rapport van Hurricane Electric laat dezelfde volgorde zien.

Twee andere metrieken die hij signaleerde, zijn ook veranderd: het gemiddelde aantal adresblokken per ROA steeg van 2,31 eind december naar 2,62. Daarnaast steeg het aantal publicatiepunten van 73 naar 91, wat betekent dat meer organisaties hun eigen repositories hosten in plaats van te vertrouwen op hun register (terwijl hij eerder een daling van 63 naar 53 zag en dit interpreteerde als consolidatie).

Wat RPKI niet doet

RPKI valideert wie een prefix mag oorsprong geven (originate). Het valideert het pad niet, en het kan een aanvaller niet stoppen die binnen de door jou gepubliceerde permissies blijft; het is dus niet kogelvrij.

Op 28 augustus 2026 verscheen er een route voor 162.55.80.0/24 (een blok van 256 adressen) waarbij de AS24940 van Hetzner werd vervalst als oorsprong. De ROA van Hetzner besloeg de omliggende /16, een blok dat 256 keer groter is, en stond aankondigingen toe tot een grootte van /24. De vervalste route voldeed dus aan de eisen. De route was RPKI-valide, er bestond geen legitieme /24 om ermee te concurreren, en door longest-prefix-match gaven alle routers de voorkeur aan deze route. Dit was voldoende om een echt TLS-certificaat te verkrijgen en een kwaadaardige Virtualizor-update te serveren aan hypervisors, zoals gedocumenteerd door Kentik. Er was niets mis met de werking van RPKI; de ROA stond dit simpelweg toe.

We hebben gemeten hoe gebruikelijk deze configuratie is. Van de 855.217 RPKI-gedekte IPv4-routes hebben 138.698 (16,2%) een ROA die ruimer is dan de aangekondigde route, zonder dat er een specifiekere route van de eigenaar zelf het gat vult. Voor IPv6 is dit 20,9%. Dit laat ongeveer 18 miljoen specifiekere prefixen open die een aanvaller vandaag zou kunnen aankondigen, de oorsprong zou kunnen vervalsen, en die vervolgens RPKI-valide en onbetwist zouden zijn.

Operators in dezelfde sector maken hier heel verschillende keuzes. Onder hostingproviders heeft Contabo een open venster op 540 van de 553 gedekte routes en DigitalOcean op 780 van de 863, terwijl OVH op 11,5% zit. Toegangsaanbieders (access providers) scoren nog slechter: Cablevision op 98,1%, Shaw op 96,5%, Bharti Airtel op 85,0%.

RFC 9319 stelt al dat de best practice is om maxLength niet in te stellen. maxLength is de instelling waarmee een ROA ook kleinere blokken binnen het hoofdblok kan dekken; door dit niet in te stellen, komt een ROA alleen overeen met het daadwerkelijk aangekondigde blok. Hetzner heeft na het incident drie prefixen aangescherpt, inclusief degene die werd gekaapt, hoewel 49 van de 63 gedekte routes open blijven.

Waar de RPKI-dekking is afgenomen

RPKI-dekking kan ook verdwijnen zonder dat dit een storing veroorzaakt. Een ontbrekende ROA verwijdert simpelweg de bescherming, en niemand merkt dat tenzij ze specifiek kijken. We vonden verschillende gevallen waar dit het afgelopen jaar gebeurde.

In tegenstelling tot China zag Mauritius de RPKI-dekking dalen. Het aandeel van de IPv4-adressen in valide routes daalde tussen september 2025 en september 2026 van 94,0% naar 69,0%. SEACOM (AS37100) verloor op 1 januari vier van de zes ROA's. Eén daarvan besloeg 105.16.0.0/12, een blok van ongeveer een miljoen adressen, waarvan 46% in Mauritius ligt. Alleen dat blok verklaart de daling van Mauritius, en op 28 september was er nog steeds geen ROA.

Twee andere operators tonen hetzelfde patroon, maar dan met herstel. Saudi Telecom (AS25019) verloor RPKI-bescherming op 19 routes, waaronder zes grote blokken van in totaal ongeveer 1,6 miljoen adressen, toen de ROA's voor die zes blokken tussen 30 maart en 13 april verdwenen. De dekking van Saoedi-Arabië herstelde zich toen de ROA's op 21 en 22 september terugkwamen.

In Marokko is Orange Maroc (AS36925) de enige grote operator die ROA's publiceert, en de meeste daarvan verdwenen twee keer: van juli 2025 tot juli 2026, en opnieuw van 25 juli tot 3 september. Marokko ging van 20% dekking naar bijna niets, en weer terug.

Een valkuil bij het meten

Er is een kritieke meetvalkuil. Sommige validatiemethoden kunnen een RPKI-record als "mislukt" tellen, terwijl het in de praktijk nog steeds bescherming biedt.

Elk ondertekend record bevat een link naar het bovenliggende certificaat. Wanneer een operator zijn repository verplaatst, kan die link verouderen. Een controle die records één voor één inspecteert, zal dan een harde fout rapporteren. Maar de validatie die daadwerkelijk de lijst produceert die routers gebruiken, volgt die link niet; deze loopt naar beneden vanaf de trust anchors.

We vonden duizenden records die als mislukt werden gemarkeerd, maar die aanwezig waren in elke onafhankelijk gevalideerde set die we controleerden, waarbij de routes nog steeds RPKI-valide waren. Als je RPKI-cijfers leest, inclusief de onze, is het waardevol om te weten welke van de twee methoden is geteld. Een telling van mislukte records is niet hetzelfde als een maatstaf voor verloren bescherming.

Padvalidatie begint te arriveren

ROA's beveiligen de oorsprong van een route. Ze zeggen niets over de vraag of het pad dat wordt gebruikt om die oorsprong te bereiken logisch is. ASPA (Autonomous System Provider Authorization) pakt dit aan. Een netwerk publiceert een ondertekend record waarin zijn geautoriseerde upstream-providers worden genoemd, waardoor anderen geobserveerde AS-paden kunnen controleren en route leaks kunnen detecteren die oorsprong-validatie mist.

De implementatie is vroeg, maar gaat snel. Op 28 september 2025 hadden 131 netwerken ASPA-records gepubliceerd. Op 28 september 2026 waren dat er 3.272, 25 keer zoveel.

De groei verloopt in stappen in plaats van een vloeiende curve. RIPE NCC zat op ongeveer 85 netwerken van september tot eind november, en steeg toen naar 470 eind december. ARIN nam een stap omhoog op 21 januari, APNIC eind juni en opnieuw in september, toen het aantal bijna verdubbelde. Elke sprong volgt op het moment dat een register ASPA-ondertekening beschikbaar stelt; tooling is dus de belangrijkste drijfveer. (Een detail: APNIC kondigde ondersteuning aan op 9 juli, maar de curve begon al te stijgen op 26 juni).

Deze dekking is nu voldoende om de betere vraag te stellen: hoeveel van de geobserveerde routering is ASPA-valide? Op 28 september 2026 passeerde 9,7% van de geobserveerde routering de ASPA-controles, omhoog van 6,2% een jaar eerder. Het grootste deel hiervan is automatisch: volgens de conceptregels passeert een pad via slechts één of twee netwerken altijd. Deze korte paden vormden in beide jaren ongeveer 6% van de routering.

Haal die eruit, en de records die netwerken hebben gepubliceerd verifiëren ongeveer 3,5% van de routering, omhoog van ongeveer 0,1%. Dat is de werkelijke vooruitgang. Bijna al de rest is niet "mislukt", maar "onbekend", omdat er te weinig netwerken langs die paden records hebben gepubliceerd. In de praktijk kan ASPA vandaag slechts een klein deel van de routering controleren, en dat deel groeit met elk netwerk dat een record publiceert.

Interessanter is het deel dat beoordeeld kan worden en faalt. Paden die halverwege de ASPA-regels overtreden—het signaal dat een collector met de meeste zekerheid kan lezen—stegen van effectief nul naar 0,048% van de observaties. Dit betekent niet noodzakelijkerwijs dat de routering slechter wordt: een pad kan pas als ongeldig worden bestempeld zodra een groot genoeg deel van het pad providers heeft opgegeven. Naarmate de publicatie groeide, werden paden die voorheen onbeoordeelbaar waren, testbaar, en sommige faalden.

Het toeschrijven van deze fouten vereist voorzichtigheid, omdat het gat halverwege het pad zit: één provider met een verouderd record zorgt ervoor dat alle routes van zijn klanten ongeldig lijken. Als je rangschikt op oorsprong, krijgt de verkeerde partij de schuld.

Als je het toeschrijft aan de hop, zie je dat de netwerken bovenaan de lijst het juist doen. Cogent, Arelion en GTT verklaren elk AS0, wat betekent dat ze geen transit inkopen van iemand anders. Dat is waar en het is precies wat voorkomt dat een verouderd record verderop in het pad zich verbergt als "geen attestatie". De werkelijke gaten zijn kleiner: van de 3.272 netwerken die ASPA-records publiceren, hebben er 479 upstream-providers die zichtbaar zijn in onze routeringsdata maar die ze nooit hebben gedeclareerd, over 658 ontbrekende relaties.

De grootste enkele oorzaak is één operator. Syrian Telecom (AS29386) publiceert een record waarin vier carriers worden genoemd. Drie van hen verzorgen slechts 16% van de transit die we observeren via dit netwerk, en de vierde verzorgt niets. De vier carriers die de overige 84% afhandelen, ontbreken in het record, waardoor ongeveer 40% van de paden die via hen arriveren, de controle niet passeert, en de rest onbekend blijft. Via de eigen routes van Syrian Telecom en die van twee Syrische netwerken die via hen het internet bereiken, is dit record verantwoordelijk voor 21% van alle mid-path ASPA-fouten op het internet. Een andere 3 procent komt van AS201550, een tweede Syrian Telecom-netwerk waarvan het record dezelfde vier carriers kopieert in plaats van de Syrian Telecom-netwerken waar het mee verbindt. Dit betekent dat het wereldwijde ASPA-foutpercentage nog geen maatstaf is voor de gezondheid van het internet. Ongeveer een kwart ervan komt voort uit de incomplete records van één operator.

Achtien jaar nadat PCCW Global de aankondiging van Pakistan Telecom voor de YouTube-adressen doorgaf, is PCCW een gat in het nieuwere systeem. ASPA zou het incident uit 2008 niet hebben gestopt; de RPKI-oorsprongcontrole is wat dat dekt. Maar ASPA stelt anderen in staat om de plek van PCCW in een pad te controleren, en AS3491 heeft geen record gepubliceerd. Dat breekt op zichzelf niets. Toch lezen bijna 6.000 paden die PCCW kruisen vandaag als ASPA-ongeldig, omdat netwerken onder hem records publiceren waarin PCCW wordt weggelaten.

Wat operators kunnen doen

RPKI beschermt nu de meeste internetroutes, en ongeldige routes verspreiden zich nauwelijks. De gaten die overblijven, liggen grotendeels in de handen van de netwerken die de adressen bezitten:

• Publiceer ROA's voor alles wat je aankondigt. Drie op de tien gerouteerde prefixen zijn nog steeds niet RPKI-valide.
• Laat maxLength oningesteld. Eén op de zes gedekte IPv4-routes heeft een open venster zoals dat werd gebruikt tegen Hetzner.
• Controleer of je ROA's nog steeds aanwezig zijn. Saudi Telecom, SEACOM en Orange Maroc verloren er elk enkele, en omdat er niets kapot ging, was dit makkelijk over het hoofd te zien.
• Publiceer ASPA en vermeld elke provider. Het record van Syrian Telecom laat de vier carriers weg die het grootste deel van het verkeer afhandelen, waardoor veel routes via hen de controle niet passeren.

***

Methodologie

Alle cijfers komen uit de routerings- en RPKI-datasets van IPinfo, met één RPKI-snapshot per dag. RPKI-validiteit is het aandeel gerouteerde prefixen geclassificeerd als valide tegenover de gevalideerde autorisatieset, niet de validatiestatus van individuele RPKI-objecten. Routeringsdata komen van de publieke RIPE RIS- en RouteViews-collectoren. De zichtbaarheid van een prefix is het aantal verschillende BGP-peers van die collectoren die deze dragen.

Landcijfers gebruiken uitsluitend IPv4 en tellen adressen, niet prefixen. Elke gerouteerde prefix wordt per land verdeeld via IPinfo-geolocatie. Een adres telt als gedekt als elke RPKI-valide route dit bevat. De gewogen ongeldige share wordt berekend per route: het vermenigvuldigt de adressen van elke route met het aantal meetpunten dat deze ziet.

De maxLength-meting beslaat prefixen gezien door twee of meer meetpunten op 28 september 2026. Een "open venster" is een gerouteerde prefix waarvan de overkoepelende ROA een langere prefix toestaat dan de aangekondigde, zonder dat er een specifiekere route van de operator zelf binnen dat bereik is.

ASPA-cijfers beslaan dagelijkse observaties van 9 september 2025 tot 28 september 2026, gewogen naar route-observaties in plaats van unieke AS-paden. De waarde van 0,048% betreft uitsluitend mid-path ongeldigheid; terminal-hop ongeldigheid is uitgesloten omdat deze afhangt van het record van de collector-peer zelf.