تغطي بنية RPKI الآن 67 بالمئة من مسارات الإنترنت، لكن معظم الشبكات لا تزال لا تتحقق منها
في 29 يونيو 2026، سجلت تغطية RPKI لجدول توجيه الإنترنت العالمي رقماً قياسياً بلغ 67.43 بالمائة — حيث تحمل الآن 1,065,730 بادئة من أصل 1,580,470 بادئة معلنة تفويض منشأ المسار (ROA) موقّعاً. هذا تقدم حقيقي في مشكلة عانت منها بروتوكول توجيه الإنترنت الأساسي، BGP، منذ التسعينيات. لكن هذا الإنجاز يحجب رقماً أهم: 12.3 بالمائة فقط من الأنظمة المستقلة (ASes) تطبق فعلياً التحقق التام من منشأ المسار (ROV) على المسارات التي تقبلها، بينما لا يقوم 36.2 بالمائة بالتحقق على الإطلاق.
تلك الفجوة — بين التوقيع والتطبيق — هي القصة الحقيقية لأمن توجيه الإنترنت في عام 2026. إن فهم سبب وجودها، ولماذا هي مهمة، يوضح كلاً من التقدم الحقيقي والتهديد الذي لم يختفِ.
المشكلة التي صُممت RPKI لحلها
بروتوكول BGP، المسؤول عن توجيه حركة المرور بين ما يقرب من 70,000 شبكة وأكثر والتي تشكل الإنترنت، صُمم في عصر كانت فيه الثقة بين المشغلين مفترضة. يمكن لأاي شبكة أن تعلن أنها تنشئ كتلة من عناوين IP، وقياسياً، تصدق الشبكات الأخرى ذلك. هذا يجعل اختطاف BGP — حيث يعلن مهاجم عن مساحة عناوين شخص آخر لإعادة توجيه حركة المرور الخاصة به — أمراً في غاية السهل في غياب التحقق. وتشمل الحوادث التاريخية توجيه حركة المرور بشكل خاطئ مما أثر على مزودي السحابة الكبار، وبورصات العملات المشفرة، والشبكات الحكومية.
تتعامل RPKI (البنية التحتية لمفاتيح الموارد العامة) مع هذا من خلال السماح لمشغلي الشبكات بالتوقيع تشفيرياً على بيان: "رقم AS هذا مصرح له بإنشاء بادئة IP هذه". يمكن للشبكات الأخرى بعد ذلك التحقق من إعلانات المسار الواردة مقابل هذه البيانات الموقّعة — وهذا هو التحقق من منشأ المسار (ROV) — ورفض أو تقليل أولوية المساراتที่ไม่ تتطابق.
لماذا لا تعني تغطية 67 بالمائة حماية بنسبة 67 بالمائة
توقيع ROA هو أمر يفعله مشغل الشبكة لمساحة عناوينه الخاصة — إنه إجراء أحادي الجانب ومنخفض الاحتكاك. أما تطبيق ROV فهو أمر مختلف: فهو يتطلب من الشبكة رفض أو خفض رتبة المسارات التي تفشل في التحقق بنشاط، مما يعني الوثوق في نظام RPKI بدرجة كافية للسماح له بالتأثير على قرارات حركة المرور الحقيقية. هذا التزام تشغيلي أكبر، ولهذا السبب يتأخّر التطبيق عن التغطية بفارق كبير.
النتيجة العملية: لا يزال بإمكان المهاجم اختطاف بادئة موقّعة ومحمية بنجاح إذا لم تكن كافٍ من الشبكات على طول الطريق إلى الضحايا المحتملين تطبق ROV. وثّقت مختبرات Qrator سبعة تسريبات مسارات عالمية واختطاف BGP عالمي واحد في الربع الأول من عام 2026 وحده — وهو دليل على أن توقيع الشهادات لم يترجم بعد إلى نظام توجيه مقاوم لهذه الهجمات على نطاق الإنترنت.
الهجمات التي لا توقفها RPKI
حتى حيث يتم تطبيق ROV بالكامل، فإن لـ RPKI نقاط عمياء معروفة. وجد البحث هذا العام أن المهاجم المتطور لا يحتاج إلى محاربة ROA الخاص بالهدف مباشرة — بل يمكنه نسخه. من خلال إعلان بادئة الضحية بالضبط مع رقم AS الخاص بالضحية نفسه في موضع المنشأ، ثم إضافة رقم AS الخاص به أمامه، يمكن للمهاجم بناء مسار يجتاز فحوصات ROV بينما يستمر في اختطاف حركة المرور عبر شبكته الخاصة. تتحقق RPKI من المنشأ وليس المسار — وهذه قيود هيكلية، وليست خطأ يمكن تصحيحه.
هناك أيضاً مشكلة جودة البيانات التي تعيق المشغلين الذين يحاولون تفسير اخفاقات التحقق بشكل مفيد: ما يقرب من 96.9 بالمائة من البادئات غير الصالحة لـ RPKI الموجودة في البرية تعود إلى سوء التكوين بدلاً من الهجمات النشطة. هذا الضجيج يجعل من الصعب على مشغلي الشبكات بناء أنظمة استجابة تلقائية تفرق بشكل موثوق بين الاختطاف الحقيقي وخطأ مطبعي لشخص ما في سجل ROA.
ما الذي يجب أن يحدث فعلاً بعد ذلك
الطريق إلى الأمام ليس المزيد من التوقيع — فالتغطية تقترب بالفعل من ثلثي جدول التوجيه. بل هو إغلاق فجوة التطبيق. إن قيام مزودي النقل الكبار شبكات المحتوى بتطبيق ROV على المسارات التي يقبلونها له تأثير هائل، لأنه يزيل المسارات القابلة للتطبيق لحركة المرور المختطفة حتى عندما لا تكون الشبكات الأصغر حجماً التابعة لها قد اعتمدت التحقق بنفسها. تقنيات التحقق من المسار (مثل BGPsec، التي شهدت انتشاراً واقعياً ضئيلاً بسبب عبء الأداء) ستغلق الفجوة المتمثلة في إضافة AS، لكن الاعتماد متوقف لسنوات.
بالنسبة لمشغلي الشبكات، فإن الخطوة القابلة للتنفيذ واضحة مباشرة: إذا لم تكن قد مكّنت تطبيق ROV على أجهزة التوجيه الحدودية الخاصة بك، فهذا مكسب أمني أكبر الآن من توقيع ROAs إضافية للبادئات التي تنشئها بالفعل. البنية التحتية لجعل BGP أكثر أماناً بشكل معنوي موجودة بالفعل — معظم الإنترنت لم تقم بتشغيلها بعد.