حوادث اختطاف BGP في تصاعد مع تأخر انتشار RPKI حيث يهم الأمر

بحلول منتصف عام 2026، كانت 67.43% من مسارات الإنترنت المُعلَنة تحمل Route Origin Authorizations صالحة، وكان 70.3% من حركة البيانات العالمية يسري عبر مسارات RPKI-valid. ظاهرياً، يمثّل ذلك انتصاراً حقيقياً للبنية التحتية: فقد تحوّل Resource Public Key Infrastructure، النظام التشفيري المصمَّم للحيلولة دون ادّعاء الشبكات زوراً ملكيةَ كتل عناوين IP، من ممارسة مقتصرة على المتخصصين إلى تبنٍّ واسع تجاوز النسبة الأغلبية خلال أقل من عقد. غير أن مختبرات Qrator رصدت سبع حالات تسريب مسارات وحادثة اختطاف BGP واحدة على الأقل ذات أثر بالغ في الربع الأول من عام 2026 وحده، وأفاد مشغّلو الشبكات برصد أكثر من 6,000 بادئة RPKI-invalid مُعلَنة في أي يوم معيّن. الانتشار في ازدياد، والحوادث لم تنته. وهذان الواقعان ليسا في تناقض حقيقي، وفهم السبب أمر بالغ الأهمية لكل من يُدير بنية تحتية تعتمد على سلامة طبقة التوجيه في الإنترنت.

ما يُصلحه RPKI فعلاً — وما لا يُصلحه

Border Gateway Protocol، النظام الذي يُتيح للشبكات الإعلان عن "أنا أملك هذه الكتلة من عناوين IP، مرّر حركة البيانات الخاصة بها عبري"، بُنيَ في حقبة افترضت حسن النية بين المشغّلين. فهو خالٍ من أي آلية مصادقة مدمجة: بإمكان أي شبكة الإعلان عن ملكية أي كتلة عناوين، وتقبل الشبكات المجاورة ذلك الإعلان في الغالب دون تحفّظ ما لم تلفت انتباهها إليه أمارة ما. يُعالج RPKI الصورة الأبسط من هذه المشكلة — إذ تُوقّع الشبكة تشفيرياً على Route Origin Authorization (ROA) يُثبت تفويضها بالإعلان عن بادئة محددة، فيمكن للشبكات الأخرى التحقق من ذلك التوقيع قبل قبول المسار.

ما لا تُصلحه عملية التحقق الأساسية من ROA في RPKI هو تزوير المسار مقروناً بإعلانات ذات بادئات أكثر تحديداً. هذه هي الآلية الكامنة وراء أغلب الحوادث التي لا تزال تقع على شبكات يُفترض أنها محمية جيداً في 2026: يزوّر المهاجم رقم AS المصدر ليطابق ROA شرعياً، ثم يُعلن عن بادئة فرعية أكثر تحديداً من البادئة الشرعية. تُفضّل خوارزمية اختيار المسار في BGP المساراتِ الأكثر تحديداً بصورة شبه مطلقة — وهو مبدأ تصميمي جوهري عمره عقود لا عيب فيه — فيفوز الإعلان المزوّر غير الشرعي في قرار التوجيه حتى على الشبكات التي تُجري Route Origin Validation (ROV) وفق أرسخ الممارسات. يجتاز ROA الفحص، والبادئة وحدها هي الخاطئة بطريقة لا يكتشفها ROV منفرداً.

لماذا يتعثّر الحل

الجواب التقني على هجمات الاختطاف بالبادئات الفرعية ذات المصدر المزوّر موجود: Autonomous System Provider Authorization (ASPA)، وهو كائن RPKI أحدث يُتيح للشبكة الإعلان تشفيرياً عن مزودي التدفق الشرعيين لها، مما يُغلق فئة من هجمات تزوير المسارات التي لا تستطيع عملية التحقق المقتصرة على ROA اكتشافها. المشكلة تكمن في الانتشار: حتى منتصف 2026، لم تشمل كائنات ASPA سوى نحو 2.54% من الأنظمة المستقلة حول العالم. ويتطلب هذا النظام مشاركة كل شبكة في المسار حتى تكون الحماية ذات معنى، مما يجعله مشكلة تنسيق كلاسيكية — إذ تحصل أي شبكة منفردة على فائدة محدودة من تطبيق ASPA ما لم يفعل ذلك عدد كافٍ من جيرانها، فيتعثّر الانتشار رغم نضج التقنية وتقنينها.

ثمة أيضاً سبب أبسط وأقل تقنية لاستمرار الحوادث: الإعلانات RPKI-invalid البالغة 6,000 بادئة يومياً أو أكثر لا تصدر في معظمها عن مهاجمين يختبرون تقنيات تزوير المصدر المتطورة — بل هي في الغالب أخطاء تهيئة، وأغلاط إملائية، وROA منتهية الصلاحية من مشغّلين ضبطوا RPKI مرة واحدة ثم لم يُراجعوه مع تطور شبكاتهم. وتُفرز هذه الأخطاء الاعتيادية ضجيجاً متواصلاً يجعل رصد الأعداد الأقل من حوادث الاختطاف الخبيثة الحقيقية المنبثّة فيها أمراً عسيراً.

ما يعنيه ذلك لمن يُشغّل بنية تحتية إنتاجية

إن كانت مؤسستك تتشارك الاتصال مباشرة مع مزودي الاتصالات العلوية أو تُشغّل AS خاصاً بها، فإن Route Origin Validation بات الحد الأدنى المطلوب في هذه المرحلة — فتطبيقه لم يعد أمراً عسير الإقناع، وأغلب كبار مزودي الترانزيت باتوا يدعمونه أصلاً. غير أن ينبغي اعتبار ROV أرضية لا سقفاً. راقب بادئاتك الخاصة بحثاً عن إعلانات غير مصرّح بها ذات تحديد أعلى، وذلك عبر خدمة مراقبة المسارات — تتيح عدة خدمات طبقات مجانية لهذا الغرض تحديداً — إذ إن اختطاف البادئة الفرعية بمصدر مزوّر ضد نطاق عناوينك سيجتاز التحقق من ROV بسلاسة ولن يُطلق التنبيهات التي يفترض معظم الفرق أنها ترصد مثل هذه الحالات. وإن كنت تقيّم مزود ترانزيت أو سحابة جزئياً استناداً إلى متانة شبكته، فاسأل تحديداً عما إذا كان قد طبّق ASPA — فمع بلوغ التغطية العالمية 3% بالكاد، تظل الإجابة بـ"نعم" ميزة تنافسية حقيقية لا مجرد خانة اختيار يمكن للجميع ادّعاء تحقيقها.