اکنون RPKI از 70 درصد مسیرهای اینترنت محافظت می کند

شروع به استفاده از داده های IP دقیق برای امنیت سایبری، انطباق، و شخصی سازی کنید – بدون محدودیت، بدون هزینه.

اینترنت متکی به شبکه هایی است که با استفاده از BGP (پروتکل دروازه مرزی) به یکدیگر می گویند که به کدام آدرس IP می توانند ترافیک را تحویل دهند. این اعلامیه های مسیریابی از نظر تاریخی به شدت به اعتماد بستگی دارد. وقتی یک شبکه آدرس‌هایی را اعلام می‌کند که نباید تصادفی یا عمدی، ترافیک به مکان اشتباهی فرستاده شود و سرویس‌ها غیرقابل دسترس شوند.

در 24 فوریه 2008، پاکستان Telecom (AS17557) با اعلام یک مسیر مشخص تر برای آدرس های یوتیوب، سعی کرد یوتیوب را در داخل پاکستان مسدود کند. ارائه‌دهنده بالادست آن، PCCW Global (AS3491)، این اعلامیه را پذیرفت و آن را به بقیه اینترنت منتقل کرد، و ترافیک YouTube را به مدت تقریبا دو ساعت به پاکستان در سراسر جهان هدایت کرد (مطالعه موردی RIPE NCC). کار روی RPKI، که به شبکه‌ها اجازه می‌دهد اعلان‌هایی مانند آن را رد کنند، در IETF دو سال قبل شروع شده بود و ثبت‌های اینترنتی منطقه‌ای شروع به صدور گواهی‌های RPKI در سال 2011 کردند.

RPKI (زیرساخت کلید عمومی منبع) به دارنده بلوک آدرس‌های IP اجازه می‌دهد یک رکورد امضا شده، مجوز مبدأ مسیر (ROA)، نامگذاری شبکه‌ها (سیستم‌های خودکار یا ASes) که مجاز به اعلام آن هستند را منتشر کند. اپراتورهای شبکه ای که RPKI را بررسی می کنند، اعلان ها را با آن رکوردها مقایسه می کنند و می توانند مواردی را که شکست می خورند رد کنند.

ما یک سال از داده‌های روزانه RPKI IPinfo را بررسی کردیم تا ببینیم که اکنون چه مقدار از اینترنت محافظت می‌کند و کجا کم است. آنچه ما پیدا کردیم (TL;DR):

در ماه آگوست، Internet Society Pulse دریافت که فعالیت های مرتبط با RPKI کمتر از 1٪ از حجم به روز رسانی روزانه BGP را تشکیل می دهد، سهمی که در حال افزایش است اما هنوز کوچک است، بنابراین RPKI خود مسیریابی را بی ثبات نمی کند. می خواستیم بدانیم که آیا RPKI واقعا از مسیریابی اینترنت محافظت می کند یا خیر.

مسیرهایی با رکورد RPKI و مسیرهایی که هیچکدام به یک اندازه مسافت را طی می کنند: یک مسیر معمولی توسط 596 و 595 نقطه دید دیده می شود. مسیرهایی که در بررسی ناموفق هستند فقط توسط دو نفر دیده می شوند. اکنون که شبکه های کافی بررسی می کنند، این مسیرهای نامعتبر را حذف می کنند. تقریبا نیمی از تمام مسیرهای نامعتبر فقط به یک نقطه دید می رسند. هنگامی که شبکه اشتباه آدرس ها را اعلام می کند، واضح ترین نوع سرقت یا اشتباه، 71٪ فقط به یک آدرس می رسند.

این تغییر نحوه خواندن آمار RPKI در سطح کشور را تغییر می دهد. یک کشور ممکن است به دلیل اعلامیه هایی که تقریبا هیچ کس نمی بیند، بد به نظر برسد.

شمارش ساده مسیرهای نامعتبر می تواند به شدت اغراق کند که چه میزان از یک کشور تحت تأثیر قرار گرفته است. اسپانیا با 28.2 درصد بیشترین سهم پیشوندهای IPv4 نامعتبر را دارد. به جای آن آدرس‌ها را در آن مسیرها بشمارید، وزن آن‌ها بر اساس تعداد نقاط برتری که هر کدام را می‌بینید، به 0.057% کاهش می‌دهد. اسلواکی از 17.4 درصد به تقریبا صفر سقوط می کند. ایتالیا بالاترین رقم را در بین هر کشوری با حداقل یک میلیون آدرس IPv4 دارد، 0.121 درصد، نسبت به 0.075 درصد در سال گذشته، و 90 درصد آن یک شبکه است.

WIND TRE (AS1267) 34 مسیر را در فضای آدرس خود اعلام می کند که ROA های خود اجازه نمی دهد: 19 مسیر خاص تر از مجوز ROA هستند، و 15 مسیر از AS1267 می آیند در حالی که ROA شبکه دیگر WIND TRE، AS24608 را نام می برد. هیچ یک به بیش از 77 نقطه برتری نمی رسد، در مقابل حدود 617 برای بلوک های امضا شده در اطراف آنها.

با احتساب آدرس‌های IPv4 در 28 سپتامبر هر سال، سهم مسیرهای معتبر RPKI از 42.7 درصد در سال 2023 به 47.9 درصد در سال 2024، 53.1 درصد در سال 2025 و 65.0 درصد در سال 2026 افزایش یافت. آخرین جهش در هر سال گذشته 11.9 امتیاز بوده است.

حذف چین نشان می دهد که چقدر از آن یک کشور بوده است. در خارج از چین، سهم از 58.0 درصد به 63.2 درصد افزایش یافت، یک افزایش 5.2 واحدی، کمی کمتر از سال قبل.

تغییر چین نیز ناگهانی بود: 3.7٪ از آدرس های IPv4 آن در سپتامبر 2025 در مسیرهای معتبر بودند و 83.0٪ یک سال بعد. بیشتر این اتفاق در سال جاری افتاد: در پایان دسامبر 2025، فقط 2.9٪ از پیشوندهای روت شده چین معتبر بودند. همچنین تغییر جهت حرکت دادن چهره جهانی. در سال 2025 چین میانگین جهانی را کاهش داد: 53.1 درصد در سراسر جهان در مقابل 58.0 درصد بدون چین. در سال 2026 آن را افزایش داد: 65.0٪ در مقابل 63.2٪. سایرین نیز مسیر طولانی را طی کردند: مصر از 23 درصد به 99 درصد، قزاقستان از 16 درصد به 84 درصد، مکزیک از 37 درصد به 78 درصد، و آفریقای جنوبی از 38 درصد به 60 درصد.

جایی که آدرس های محافظت نشده هستند به همان اندازه متمرکز است. از تمام فضای IPv4 مسیریابی شده که در مسیرهای معتبر RPKI در 28 سپتامبر نیست، تقریبا 60٪ در ایالات متحده است و تقریبا یک آدرس از هر چهار آدرس متعلق به وزارت دفاع ایالات متحده است (اطلاعات بیشتر در مورد افرادی که IPv4 دارند در پست آینده). بخش اعظم آن فضایی است که وزارتخانه در سال 2021 برای نظارت بر استفاده نادرست و نه اجرای خدمات اعلام کرد.

در اوایل سال 2025 این نگرانی وجود داشت که پذیرش IPv6 RPKI کند شده است. در عوض، شتاب گرفت و اکنون IPv4 را پشت سر گذاشته است. در سال 2024 RPKI در بررسی RIPE Labs، جاب اسنایدرز خاطرنشان کرد که رشد IPv6 ROA "به نظر می رسد که متوقف شده است." در پنجره ما، پیشوندهای روت شده IPv6 که دارای علامت معتبر بودند از 56% به 79% افزایش یافتند در حالی که پیشوندهای IPv4 از 54% به 68% افزایش یافتند که IPv6 تقریبا ده امتیاز جلوتر بود. گزارش Hurricane Electric RPKI نیز همین ترتیب را نشان می دهد.

دو معیار دیگر که او پرچم‌گذاری کرد نیز تغییر کرد: میانگین تعداد بلوک‌های آدرس به ازای هر ROA از 2.31 در پایان دسامبر به 2.62 رسید، و نقاط انتشار، که از 63 به 53 کاهش یافت و به عنوان ادغام خوانده شد، از 73 به 91 افزایش یافت زیرا سازمان‌های بیشتری شروع به میزبانی از مخزن‌های ذخیره‌سازی خود کردند.

RPKI تأیید می کند که چه کسی ممکن است یک پیشوند ایجاد کند. این مسیر را تأیید نمی‌کند و نمی‌تواند مهاجمی را که در داخل مجوزی که شما منتشر کرده‌اید می‌ماند دستگیر کند، بنابراین ضد گلوله نیست.

در 28 آگوست 2026، مسیری برای 162.55.80.0/24 (یک بلوک از 256 آدرس) با AS24940 Hetzner به عنوان مبدا ظاهر شد. ROA Hetzner's 16/ اطراف را پوشش می‌دهد، یک بلوک 256 برابر بزرگ‌تر، و اجازه می‌دهد تا اعلان‌هایی به کوچکی یک /24 را ارائه کند، بنابراین مسیر جعلی آن را برآورده می‌کند. مسیر RPKI معتبر بود، هیچ /24 قانونی برای رقابت با آن وجود نداشت، و طولانی‌ترین پیشوند-مچ به این معنی بود که همه آن را ترجیح می‌دادند. این برای به دست آوردن یک گواهی TLS واقعی و ارائه یک به‌روزرسانی مخرب Virtualizor برای هایپروایزرها کافی بود، همانطور که Kentik مستند کرده است.

ما اندازه گیری کردیم که این وضعیت چقدر رایج است. از 855,217 مسیر IPv4 تحت پوشش RPKI، 138,698 یا 16.2 درصد، ROA کمتر از مسیر اعلام شده دارند و هیچ مسیر خاص تری برای پر کردن شکاف خود ندارند. برای IPv6 20.9٪ است. این تقریبا 18 میلیون پیشوند خاص باقی می‌گذارد که مهاجم می‌تواند امروز اعلام کند، مبدأ را جعل کند و RPKI معتبر و بی‌رقیب باشد.

اپراتورهای یک کسب و کار در اینجا انتخاب های بسیار متفاوتی دارند. در میان ارائه دهندگان میزبانی، Contabo دارای یک پنجره باز در 540 از 553 مسیر تحت پوشش و DigitalOcean در 780 از 863 مسیر است، در حالی که OVH در 11.5٪ قرار دارد. ارائه دهندگان دسترسی هنوز بدتر هستند: Cablevision با 98.1٪، Shaw با 96.5٪، Bharti Airtel با 85.0٪.

RFC 9319 قبلا می گوید بهترین روش این است که maxLength را تنظیم نشده رها کنید. maxLength تنظیمی است که به یک ROA اجازه می‌دهد بلوک‌های کوچک‌تر داخل آن را نیز بپوشاند، بنابراین تنظیم نشدن آن به این معنی است که ROA فقط با بلوک اعلام‌شده مطابقت دارد. هتزنر پس از این حادثه سه پیشوند را سفت کرد، از جمله پیشوندی که ربوده شد، اگرچه 49 مسیر از 63 مسیر تحت پوشش آن همچنان باز است.

پوشش RPKI نیز می تواند بدون ایجاد قطعی ناپدید شود. ROA از دست رفته به سادگی محافظت را حذف می کند و هیچ کس متوجه نمی شود مگر اینکه نگاه کند. ما چندین مورد را پیدا کردیم که در یک سال گذشته این اتفاق افتاد.

برخلاف چین، موریس شاهد کاهش پوشش RPKI خود بود. سهم آدرس‌های IPv4 آن در مسیرهای معتبر از 94.0% به 69.0% بین سپتامبر 2025 و سپتامبر 2026 کاهش یافت. SEACOM (AS37100) چهار مورد از شش ROA خود را در 1 ژانویه از دست داد. یکی از آنها 105.16.0.0/12، بلوکی از حدود یک میلیون درصد از آدرس‌ها را پوشش می‌دهد. این بلوک به تنهایی ریزش موریس را توضیح می دهد و هنوز در 28 سپتامبر هیچ ROA نداشت.

دو اپراتور دیگر نشان می دهند که همین اتفاق می افتد و سپس ثابت می شود. مخابرات عربستان سعودی (AS25019) حفاظت RPKI را در 19 مسیر، از جمله شش بلوک بزرگ که مجموعا حدود 1.6 میلیون آدرس را شامل می‌شد، از دست داد، زمانی که ROA برای آن شش بلوک بین 30 مارس تا 13 آوریل ناپدید شد. پوشش عربستان سعودی با بازگشت ROA در 21 و 22 سپتامبر بهبود یافت.

در مراکش، Orange Maroc (AS36925) تنها اپراتور بزرگی است که ROA ها را منتشر می کند، و بیشتر آنها دو بار ناپدید شدند: از ژوئیه 2025 تا ژوئیه 2026، و دوباره از 25 ژوئیه تا 3 سپتامبر. مراکش از 20 درصد به تقریبا هیچ، رسید و برگشت.

بسته به نحوه بررسی شما، یک رکورد RPKI ممکن است شکسته به نظر برسد در حالی که هنوز از مسیرهای خود محافظت می کند. در حین شمارش به این موضوع برخورد کردیم.

هر رکورد امضا شده پیوندی به گواهی بالای آن دارد. هنگامی که یک اپراتور مخزن خود را جابجا می کند، آن پیوند ممکن است کهنه شود و چکی که سوابق را یک به یک بررسی می کند، یک شکست سخت را گزارش می دهد. اما اعتباری که در واقع لیستی را که روترها استفاده می‌کنند تولید می‌کند، هرگز از آن پیوند پیروی نمی‌کند، در عوض از لنگرهای اعتماد پایین می‌آید.

ما هزاران رکورد را پیدا کردیم که به‌عنوان ناموفق پرچم‌گذاری شده‌اند که در هر مجموعه تأیید شده مستقلی که بررسی می‌کردیم وجود داشتند، و مسیرهای آنها هنوز RPKI-معتبر است. بنابراین اگر اعداد RPKI هر کسی، از جمله شماره ما را می خوانید، ارزش این را دارد که بدانید آنها کدام یک از این دو را شمارش کرده اند. شمارش سوابق ناموفق معیاری برای محافظت از دست رفته نیست.

ROA ها مبدأ یک مسیر را ایمن می کنند. آنها در مورد اینکه آیا مسیری که برای رسیدن به آن مبدأ استفاده می شود منطقی است یا نه چیزی نمی گویند.

ASPA یا Autonomous System Provider Authorization به این موضوع می پردازد. یک شبکه یک رکورد امضا شده با نام ارائه دهندگان بالادستی مجاز خود منتشر می کند، که به دیگران امکان می دهد مسیرهای AS مشاهده شده را در برابر آنها بررسی کنند و نشت مسیرهایی را که اعتبار سنجی مبدأ از دست داده است را شناسایی کنند.

استقرار زود اما سریع است. در 28 سپتامبر 2025، 131 شبکه رکوردهای ASPA را منتشر کرده بودند. تا 28 سپتامبر 2026 تعداد 3272 نفر، 25 برابر بیشتر بود.

رشد به جای یک منحنی، به صورت پلکانی است. RIPE NCC از سپتامبر تا اواخر نوامبر در حدود 85 شبکه قرار داشت، سپس تا پایان دسامبر به 470 شبکه رسید. ARIN از 21 ژانویه، APNIC در پایان ژوئن و دوباره در سپتامبر، زمانی که تعداد آن تقریبا دو برابر شد، افزایش یافت. هر پرش به دنبال یک رجیستری است که امضای ASPA را در دسترس قرار می دهد، بنابراین ابزارسازی محرک اصلی بوده است. یکی از جزئیات ارزش برجسته کردن: APNIC پشتیبانی خود را در 9 جولای اعلام کرد و منحنی آن در 26 ژوئن شروع به صعود کرد.

این پوشش اکنون برای پرسیدن سوال بهتر کافی است: چه مقدار از مسیریابی مشاهده شده ASPA معتبر است؟

در 28 سپتامبر 2026، 9.7 درصد از مسیریابی های مشاهده شده بررسی های ASPA را پشت سر گذاشتند که نسبت به سال قبل 6.2 درصد افزایش داشت. بیشتر آن خودکار است: طبق قوانین پیش نویس، یک مسیر از طریق تنها یک یا دو شبکه همیشه عبور می کند، و آن مسیرهای کوتاه حدود 6٪ مسیریابی در هر دو سال بود.

آنها را بردارید و شبکه های سوابقی منتشر کرده اند حدود 3.5 درصد از مسیریابی را تأیید می کنند، از حدود 0.1 درصد.

تقریبا همه بقیه شکست نمی‌خورند. ناشناخته است، زیرا تعداد بسیار کمی از شبکه‌ها در این مسیرها سوابقی را منتشر کرده‌اند که نمی‌توان آن را گفت. در عمل، ASPA امروز می‌تواند تنها بخش کوچکی از مسیریابی را بررسی کند، و این برش با هر شبکه‌ای که رکوردی را منتشر می‌کند، افزایش می‌یابد.

از میان مسیرهایی که می توان قضاوت کرد، آنهایی که قوانین ASPA را در میانه مسیر زیر پا می گذارند، سیگنالی که یک گردآورنده می تواند با اطمینان بیشتر بخواند، از صفر به 0.048 درصد مشاهدات افزایش یافته است. این لزوما بدتر شدن مسیریابی نیست: یک مسیر را فقط زمانی می توان نامعتبر نامید که به اندازه کافی ارائه دهندگان آن را اعلام کرد، بنابراین با افزایش انتشار، مسیرهایی که قبلا غیرقابل قضاوت بودند قابل آزمایش شدند و برخی شکست خوردند.

نسبت دادن این خرابی‌ها نیاز به مراقبت دارد، زیرا شکاف در میانه راه قرار دارد: یک ارائه‌دهنده با سابقه قدیمی باعث می‌شود مسیرهای هر یک از مشتریانش نامعتبر به نظر برسد، بنابراین رتبه‌بندی بر اساس مبدا، طرف اشتباه را مقصر می‌داند.

در عوض به hop نسبت داده شود و شبکه‌های بالا آن‌هایی هستند که این کار را درست انجام می‌دهند. Cogent، Arelion و GTT هر کدام AS0 را اعلام می‌کنند که می‌گوید ترانزیت را از هیچ‌کس نمی‌خرند. این درست است، و دقیقا همان چیزی است که یک سابقه قدیمی را از پنهان شدن به عنوان "بدون گواهی" باز می دارد. شکاف‌های واقعی کوچک‌تر هستند: از 3272 شبکه‌ای که رکوردهای ASPA را منتشر می‌کنند، 479 شبکه ارائه‌دهنده‌های بالادستی در داده‌های مسیریابی ما قابل مشاهده هستند که هرگز اعلام نکرده‌اند، در 658 رابطه گمشده.

بزرگترین علت منفرد یک اپراتور است. مخابرات سوریه (AS29386) رکوردی را با نام چهار شرکت مخابراتی منتشر کرد. سه مورد از آنها فقط 16 درصد از ترانزیت را که ما از طریق آن مشاهده می‌کنیم، انجام می‌دهند و چهارمی هیچ‌کدام را حمل نمی‌کند. چهار حاملی که 84 درصد دیگر را اداره می‌کنند، از رکورد گم شده‌اند، بنابراین حدود 40 درصد از مسیرهایی که از طریق آنها می‌آیند بررسی نمی‌شوند و بقیه ناشناخته می‌شوند.

از طریق مسیرهای خود سوریه مخابرات و مسیرهای دو شبکه سوری که از طریق آن به اینترنت می‌رسند، این رکورد 21 درصد از کل خرابی‌های ASPA در اینترنت را به خود اختصاص می‌دهد. 3 امتیاز دیگر از AS201550، یک شبکه مخابراتی دوم سوریه است که سابقه آن به جای نامگذاری شبکه های مخابرات سوریه که از طریق آن متصل می شود، از همان چهار شرکت مخابراتی کپی می کند. بنابراین نرخ شکست جهانی ASPA هنوز معیاری برای سلامت اینترنت نیست: حدود یک چهارم آن از سوابق ناقص یک اپراتور ناشی می شود.

هجده سال پس از اینکه PCCW Global اعلامیه پاکستان مخابرات را برای آدرس‌های YouTube منتشر کرد، PCCW یک شکاف در سیستم جدیدتر است. ASPA حادثه 2008 را متوقف نمی کرد. چک مبدا RPKI چیزی است که آن را پوشش می دهد. اما ASPA به دیگران اجازه می‌دهد تا جای PCCW را در یک مسیر بررسی کنند و AS3491 سابقه‌ای منتشر نکرده است. که به خودی خود چیزی را خراب نمی کند. با این حال، تقریبا 6000 مسیری که از PCCW عبور می کنند، امروزه ASPA-invalid خوانده می شوند، زیرا شبکه های زیر آن رکوردهایی را منتشر می کنند که PCCW را حذف می کند.

RPKI اکنون از بیشتر مسیرهای اینترنتی محافظت می کند و مسیرهای نامعتبر به سختی سفر می کنند. شکاف هایی که باقی می ماند بیشتر در دست شبکه هایی است که صاحب آدرس ها هستند:

IPinfo وضعیت RPKI هر پیشوند مسیریابی شده را روزانه ردیابی می کند: ipinfo.io/data/rpki.

روش‌شناسی: همه ارقام از مسیریابی روزانه IPinfo و داده‌های RPKI، مقایسه ۲۸ سپتامبر هر سال به دست می‌آیند مگر اینکه گفته شود. داده‌های مسیریابی از گردآورنده‌های عمومی RIPE RIS و RouteViews می‌آیند. دسترسی یک مسیر تعداد همتایان BGP آنها (نقاط برتر) است که آن را حمل می‌کنند و ارقام دسترسی میانگین هستند. "RPKI-valid" به این معنی است که یک مسیر با مجموعه تایید شده ROAهایی که روترها استفاده می کنند، مطابقت دارد، نه با وضعیت سوابق فردی.

ارقام کشور فقط از IPv4 استفاده می‌کنند و آدرس‌ها را می‌شمارند: هر مسیر با استفاده از موقعیت جغرافیایی IPinfo بین کشورها تقسیم می‌شود (نقشه‌برداری کنونی برای هر سال)، هر آدرس یک‌بار شمارش می‌شود، و اگر مسیر معتبری شامل آن شود، به‌عنوان تحت پوشش محسوب می‌شود. در نمودار 3، اشتراک پیشوند از اولین آدرس هر پیشوند استفاده می‌کند و سهم وزنی آدرس‌های هر مسیر را در دامنه آن ضرب می‌کند. ارقام maxLength مسیرهایی را پوشش می‌دهند که حداقل در دو نقطه دید دیده می‌شوند. ارقام ASPA بر اساس تعداد دفعات مشاهده هر مسیر وزن می‌شوند و 0.048% فقط خرابی‌ها در وسط یک مسیر را محاسبه می‌کند.