RPKI ya cubre el 67 por ciento de las rutas de internet, pero la mayoría de las redes todavía no las valida
El 29 de junio de 2026, la cobertura de RPKI de la tabla de enrutamiento global de internet alcanzó un récord del 67,43 por ciento: 1.065.730 de 1.580.470 prefijos anunciados cuentan ahora con una Autorización de Origen de Ruta (ROA) firmada. Eso es un progreso genuino en un problema que ha plagado el protocolo de enrutamiento central de internet, BGP, desde la década de 1990. Pero el hito oculta un número más importante: solo el 12,3 por ciento de los sistemas autónomos (AS) aplican realmente la Validación de Origen de Ruta (ROV) completa en las rutas que aceptan, mientras que el 36,2 por ciento no valida en absoluto.
Esa brecha, entre firmar y aplicar, es la verdadera historia de la seguridad del enrutamiento de internet en 2026. Comprender por qué existe y por qué importa explica tanto el progreso real como una amenaza que no ha desaparecido.
El problema para cuya solución se creó RPKI
BGP, el protocolo que enruta el tráfico entre los aproximadamente más de 70.000 redes que componen internet, fue diseñado en una era en la que se asumía la confianza entre los operadores. Cualquier red puede anunciar que origina un bloque de direcciones IP y, por defecto, otras redes lo creen. Esto hace que el secuestro de BGP —donde un atacante anuncia el espacio de direcciones de otra persona para redirigir su tráfico— sea increíblemente fácil en ausencia de validación. Los incidentes históricos incluyen la redirección de tráfico que afectó a importantes proveedores de la nube, intercambios de criptomonedas y redes gubernamentales.
RPKI (Infraestructura de Clave Pública de Recursos) aborda esto permitiendo que los operadores de red firmen criptográficamente una declaración: "este número de AS está autorizado a originar este prefijo IP". Otras redes pueden entonces verificar los anuncios de ruta entrantes contra estas declaraciones firmadas —eso es la Validación de Origen de Ruta— y rechazar o despriorizar las rutas que no coinciden.
Por qué una cobertura del 67 por ciento no significa una protección del 67 por ciento
Firmar una ROA es algo que un operador de red hace para su propio espacio de direcciones; es una acción unilateral y de baja fricción. Aplicar ROV es diferente: requiere que una red rechace o baje activamente de rango las rutas que fallan en la validación, lo que significa confiar en el sistema RPKI lo suficiente como para permitir que afecte las decisiones de tráfico real. Ese es un compromiso operativo mayor, y es por eso que la aplicación va muy por detrás de la cobertura.
La consecuencia práctica: un atacante aún puede secuestrar con éxito un prefijo firmado y protegido si suficientes redes a lo largo de la ruta hacia las víctimas potenciales no están aplicando ROV. Qrator Labs documentó siete fugas de rutas globales y un secuestro de BGP global solo en el primer trimestre de 2026, una evidencia de que la firma de certificados aún no se ha traducido en un sistema de enrutamiento resistente a estos ataques a escala de internet.
Los ataques que RPKI no detiene
Incluso donde ROV se aplica por completo, RPKI tiene puntos ciegos conocidos. La investigación de este año encontró que un atacante sofisticado no necesita luchar directamente contra la ROA de un objetivo: puede copiarla. Al anunciar el prefijo exacto de la víctima con el propio número de AS de la víctima en la posición de origen, y luego anteponer su propio número de AS delante de él, un atacante puede construir una ruta que pase las validaciones de ROV mientras sigue secuestrando el tráfico a través de su propia red. RPKI valida el origen, no la ruta, y esa es una limitación estructural, no un error que se pueda parchear.
También hay un problema de calidad de los datos que va en contra de los operadores que intentan interpretar los fallos de validación de manera útil: aproximadamente el 96,9 por ciento de los prefijos no válidos de RPKI encontrados en la naturaleza se deben a una mala configuración en lugar de a ataques activos. Ese ruido dificulta que los operadores de red construyan sistemas de respuesta automatizados que distingan de manera confiable un secuestro genuino del error tipográfico de alguien en un registro ROA.
Lo que realmente debe suceder a continuación
El camino a seguir no es más firmas; la cobertura ya se está acercando a dos tercios de la tabla de enrutamiento. Es cerrar la brecha de aplicación. Los grandes proveedores de tránsito y las redes de contenido que aplican ROV en las rutas que aceptan tienen un efecto desproporcionado, porque eliminan rutas viables para el tráfico secuestrado incluso cuando las redes secundarias más pequeñas no han adoptado la validación por sí mismas. Las tecnologías de validación de rutas (como BGPsec, que ha visto una implementación en el mundo real mínima debido a la sobrecarga de rendimiento) cerrarían la brecha de anteposición de AS, pero la adopción se ha estancado durante años.
Para los operadores de red, el paso accionable es sencillo: si no ha habilitado la aplicación de ROV en sus enrutadores de borde, eso representa una mayor ganancia de seguridad en este momento que firmar ROAs adicionales para prefijos que ya origina. La infraestructura para hacer que BGP sea significativamente más seguro ya existe; la mayor parte de internet simplemente aún no la ha activado.