RPKI, el escudo de rutas de Internet, ya cubre el 70%

¿Qué es RPKI y por qué ya cubre el 70% de las rutas de Internet?

El 70,3% de los bloques de direcciones IP que se anuncian en Internet está hoy validado criptográficamente, frente al 54,0% de solo un año antes. Son 16,4 puntos porcentuales de avance, cerca de 30% en doce meses, según el análisis de datos de enrutamiento y RPKI que publica IPinfo. Para ponerlo en perspectiva: en cada uno de los dos años previos el avance había sido de tres o cuatro puntos.

RPKI (Resource Public Key Infrastructure) es el sistema que permite a quien posee un bloque de direcciones IP publicar un registro firmado, una Route Origin Authorization (ROA), donde nombra los sistemas autónomos (AS) autorizados a anunciarlo. Los operadores que activan la validación de origen comparan cada anuncio con esos registros y descartan los que no coinciden.

Para un founder esto no es fontanería de red: enrutamiento es disponibilidad. Internet funciona porque las redes se dicen entre sí a qué direcciones IP pueden entregar tráfico, usando BGP (Border Gateway Protocol). Cuando una red anuncia direcciones que no le pertenecen, por error o a propósito, el tráfico se va al lugar equivocado y los servicios se vuelven inalcanzables.

El caso que originó todo es de 2008. Pakistan Telecom (AS17557) intentó bloquear YouTube en su país anunciando una ruta más específica para sus direcciones. Su proveedor de tránsito, PCCW Global (AS3491), aceptó el anuncio y lo propagó al resto de Internet, redirigiendo el tráfico global de YouTube a Pakistán durante unas dos horas. El trabajo en RPKI había empezado dos años antes en el IETF y los registros regionales de Internet comenzaron a emitir certificados en 2011.

¿Cuánto viaja de verdad una ruta inválida?

La métrica que cambia la conversación es la propagación. Un prefijo válido típico es visto por 596 de los routers que alimentan los colectores públicos RIPE RIS y RouteViews. Uno sin registro RPKI es visto por 595. Uno inválido, por apenas 2. Las rutas protegidas y las que no tienen registro viajan igual de lejos; las que fallan la validación prácticamente no se propagan.

Ahora que suficientes redes validan, están descartando esos anuncios. Casi la mitad de todas las rutas inválidas llega a un único punto de observación. Cuando la red equivocada anuncia direcciones ajenas, el caso más claro de secuestro o de error, el 71% llega a uno solo.

IPinfo también descarta que RPKI esté agregando ruido al sistema: un análisis de Internet Society Pulse citado en el informe encontró que la actividad relacionada con RPKI representa menos del 1% del volumen diario de actualizaciones BGP. La validación está protegiendo sin desestabilizar.

¿Por qué el salto de 2026 se explica por un solo país?

China pasó de tener 3,7% de sus direcciones IPv4 en rutas válidas a 83,0% en un año, y concentró casi 60% de la ganancia global medida por direcciones. El movimiento es reciente: a fines de diciembre de 2025 solo 2,9% de los prefijos enrutados chinos era válido. En 2025 China arrastraba el promedio global hacia abajo, con 53,1% mundial contra 58,0% sin el país; en 2026 lo empuja hacia arriba: 65,0% contra 63,2%.

Otros países también avanzaron fuerte: Egipto de 23% a 99%, Kazajistán de 16% a 84%, México de 37% a 78% y Sudáfrica de 38% a 60%.

Medido por direcciones IPv4 cada 28 de septiembre, la porción en rutas RPKI-válidas subió de 42,7% en 2023 a 47,9% en 2024, 53,1% en 2025 y 65,0% en 2026. El último salto fue de 11,9 puntos, contra unos cinco anuales en los años previos. Además, IPv6 adelantó a IPv4: los prefijos enrutados marcados como válidos pasaron de 56% a 79%, mientras los de IPv4 iban de 54% a 68%. En 2025 había inquietud porque la adopción en IPv6 parecía estancarse; los datos muestran lo contrario.

Como referencia independiente, cifras de LACNIC presentadas en el NANOG 96 y recogidas por el blog de InterNexa ubican la adopción global de rutas IPv4 válidas en 51,1% en 2025, desde 14,4% en 2019, y las de IPv6 en 57,0%, desde 20,2%. Los números difieren por metodología y ventana de medición, pero el sentido del movimiento coincide.

¿Qué enseña el incidente de Hetzner sobre los límites de RPKI?

RPKI valida quién puede originar un prefijo. No valida la ruta y no puede detener a un atacante que se mantiene dentro del permiso que tú publicaste. El ejemplo más claro ocurrió el 28 de agosto de 2026: apareció una ruta para 162.55.80.0/24, un bloque de 256 direcciones, con el AS24940 de Hetzner falsificado como origen. La ROA de Hetzner cubría el /16 que lo rodeaba, un bloque 256 veces mayor, y permitía anuncios tan chicos como un /24. La ruta falsificada cumplía la regla, no existía un /24 legítimo que la compitiera y el longest-prefix-match hizo que todos la prefirieran. Alcanzó para obtener un certificado TLS genuino y servir una actualización maliciosa de Virtualizor a hipervisores, según documentó Kentik.

Ars Technica reconstruyó el resto de la cadena de errores: la configuración laxa de Hetzner permitió desviar tráfico en dos tramos dentro de una ventana de 33 horas. Hetzner recuperó el espacio anunciando la ruta correcta 12 horas después del inicio; luego dejó de anunciarla y el atacante repitió el secuestro, esta vez con casi 10 horas de margen. A eso se sumó que los clientes de actualización de Softaculous no verificaban criptográficamente los paquetes, según advirtió la propia empresa.

El problema de configuración es masivo. La RFC 9319 ya dice que lo mejor es dejar maxLength sin definir, porque ese parámetro es el que permite que una ROA cubra bloques más chicos dentro de ella. De 855.217 rutas IPv4 cubiertas por RPKI, 138.698 (16,2%) tienen una ROA más laxa que la ruta anunciada y ninguna ruta más específica que llene el hueco. En IPv6 es 20,9%. Eso deja unos 18 millones de prefijos más específicos que un atacante podría anunciar hoy, falsificar su origen y quedar como válido y sin competencia.

Las decisiones entre operadores del mismo negocio son muy dispares: Contabo tiene ventana abierta en 540 de 553 rutas cubiertas y DigitalOcean en 780 de 863, mientras OVH está en 11,5%. Entre proveedores de acceso el cuadro es peor: Cablevision en 98,1%, Shaw en 96,5% y Bharti Airtel en 85,0%. Hetzner ajustó tres prefijos después del incidente, incluido el secuestrado, pero 49 de sus 63 rutas cubiertas siguen abiertas.

¿Cómo se leen las estadísticas de RPKI de un país?

Contar rutas inválidas puede exagerar mucho el problema. España tiene la mayor proporción de prefijos IPv4 inválidos, 28,2%. Pero si se cuentan las direcciones de esas rutas ponderadas por cuántos puntos de observación las ven, la cifra cae a 0,057%. Eslovaquia pasa de 17,4% a casi cero. Italia registra el valor más alto entre países con al menos un millón de direcciones IPv4, 0,121%, arriba del 0,075% del año anterior, y 90% de eso es una sola red: WIND TRE (AS1267) anuncia 34 rutas en su propio espacio que sus ROAs no permiten, y ninguna llega a más de 77 puntos de observación, contra unos 617 de los bloques firmados que las rodean.

La cobertura también puede desaparecer sin causar una caída. Mauricio cayó de 94,0% a 69,0% de sus direcciones IPv4 en rutas válidas: SEACOM (AS37100) perdió cuatro de sus seis ROAs el 1 de enero, y una de ellas cubría un bloque de cerca de un millón de direcciones del que 46% está en el país. Saudi Telecom (AS25019) perdió la protección de 19 rutas, incluidas seis que suman unos 1,6 millones de direcciones, entre el 30 de marzo y el 13 de abril; recuperó la cobertura cuando los ROAs volvieron, el 21 y 22 de septiembre. En Marruecos, Orange Maroc (AS36925) es el único gran operador que publica ROAs y la mayoría desapareció dos veces.

Hay además una trampa de medición. Cada registro firmado lleva un enlace al certificado superior; si el operador mueve su repositorio, ese enlace queda obsoleto y una validación que revisa registros uno por uno reporta un fallo duro, aunque la validación que realmente usan los routers recorre el árbol desde las anclas de confianza. Miles de registros marcados como fallidos siguen presentes en los conjuntos validados independientes, con sus rutas aún válidas. Vale la pena saber cuál de los dos conteos está leyendo cualquier informe, incluido el de IPinfo.

ASPA: ¿qué capa cubre lo que RPKI no puede ver?

Los ROAs aseguran el origen de una ruta, pero no dicen nada sobre si el camino para llegar a ese origen tiene sentido. Para eso existe ASPA (Autonomous System Provider Authorization): una red publica un registro firmado que nombra a sus proveedores de tránsito autorizados, y los demás pueden comparar los caminos observados contra esa lista y detectar fugas de ruta que la validación de origen no ve.

El despliegue es temprano pero veloz. El 28 de septiembre de 2025 había 131 redes con registros ASPA; un año después eran 3.272, 25 veces más. El crecimiento llega en escalones y no en curva, y cada salto sigue a un registro regional que habilita la firma: RIPE NCC pasó de unos 85 a 470 redes hacia fin de diciembre, ARIN empujó desde el 21 de enero y APNIC a fines de junio y otra vez en septiembre, cuando casi duplicó su cuenta.

Con esa base ya se puede preguntar cuánto del enrutamiento observado pasa los controles de ASPA: 9,7%, contra 6,2% un año antes. Gran parte es automático, porque los caminos que atraviesan solo una o dos redes siempre pasan bajo las reglas en borrador, y esos caminos cortos representaban cerca del 6% en ambos años. Al descontarlos, los registros publicados verifican alrededor de 3,5% del enrutamiento, arriba de aproximadamente 0,1%. Ese es el avance real.

El resto no falla: es desconocido, porque muy pocas redes de esos caminos publicaron registros. Lo interesante es la parte que sí se puede juzgar y falla. Los caminos que rompen las reglas a mitad de ruta, la señal más confiable, subieron de casi cero a 0,048% de las observaciones. Y ahí aparece un sesgo importante: Syrian Telecom (AS29386) publica un registro que nombra cuatro operadores, tres de los cuales llevan apenas 16% del tránsito observado y el cuarto ninguno, mientras los cuatro que manejan el otro 84% no aparecen. Ese registro explica 21% de todas las fallas de ASPA a mitad de ruta en Internet. Es decir, la tasa global de fallas todavía no mide la salud de la red: mide los registros incompletos de un operador.

Dieciocho años después del incidente de PCCW Global, la firma sigue siendo un hueco en el sistema nuevo: AS3491 no publicó registro ASPA y casi 6.000 caminos que la atraviesan se leen como inválidos porque las redes debajo de ella sí publicaron. ASPA no habría detenido el caso de 2008, ese lo cubre la validación de origen, pero muestra cómo la presión de transparencia se acumula sobre quien no publica.

¿Qué significa esto para tu startup?

Si tu producto depende de que tus servicios sean alcanzables y de que tu tráfico no sea interceptado, la seguridad de enrutamiento dejó de ser un tema exclusivo de operadores de telecomunicaciones. Esto es lo que puedes hacer esta semana:

• Publica o audita tus ROAs. Si tienes ASN y prefijos propios, emite ROAs que cubran exactamente lo que anuncias y deja maxLength sin definir, como recomienda la RFC 9319. Si no gestionas infraestructura propia, exige a tu proveedor de hosting la postura descrita antes: cuántas de sus rutas cubiertas tienen ventana abierta.
• Revisa la validación de tus proveedores de tránsito. Pregunta si descartan anuncios inválidos (route origin validation) y si publican registros ASPA. Los operadores grandes ya lo hacen por defecto; los proveedores de acceso con ventanas abiertas del 85% o más todavía no. La respuesta pertenece al contrato, no a la buena voluntad.
• Monta una alerta sobre la desaparición de ROAs. El caso de Mauricio enseña lo peor de esta tecnología: la protección se pierde sin que nada se caiga y nadie lo nota. Un chequeo periódico contra los datasets públicos de RPKI cuesta poco y evita descubrirlo tras un incidente.
• Firma criptográficamente tus actualizaciones. El incidente de Virtualizor no explotó una falla de RPKI: explotó la ausencia de verificación de paquetes en el cliente. Si distribuyes software desde direcciones propias, la firma de código es la última línea de defensa.
• No te confíes por el país. Que el 70% de las rutas esté protegido no implica que tus prefijos lo estén, y las estadísticas nacionales ponderadas por propagación cambian radicalmente la lectura. En América Latina, LACNIC ofrece RPKI sin costo adicional, un punto de partida accesible para startups que operan su propia red.

La discusión ya se mueve a la capa siguiente. La cadena de confianza de RPKI se apoya en criptografía de clave pública tradicional, la misma que la computación cuántica amenaza con romper; el análisis publicado por CircleID plantea ambos frentes como un problema único de agilidad criptográfica. Para un founder, la lección es de arquitectura: elegir hoy proveedores con seguridad de enrutamiento madura es más barato que migrar cuando el estándar mínimo suba otra vez.

Conclusión

RPKI pasó de cubrir la mitad a proteger siete de cada diez rutas de Internet en un año, y el salto tiene un responsable claro: China, que concentró casi 60% de la ganancia medida por direcciones. La métrica que importa no es cuántos registros existen, sino cuánto viaja una ruta que falla: los anuncios inválidos llegan a dos puntos de observación contra casi 600 de los válidos, y eso significa que la validación ya está filtrando tráfico real, no solo generando reportes.

El pendiente está en los detalles finos. Una ROA mal configurada convierte un ataque en un anuncio perfectamente válido, como demostró el caso de Hetzner, y hay unos 18 millones de prefijos más específicos expuestos por esa vía. La lección para quien construye producto es directa: la seguridad de enrutamiento se gestiona con inventario, configuración y monitoreo continuo, igual que cualquier otra dependencia crítica de tu infraestructura.

Fuentes

• IPinfo: RPKI Now Protects 70% of Internet Routes (fuente original)
• Ars Technica: BGP hijack infecting networks caused by a comedy of errors
• InterNexa: Dimensionamiento de Red y BGP Avanzado para ISP
• CircleID: Why Route Security (RPKI) is the Prerequisite for Quantum Readiness (PQC)