Les incidents de BGP hijacking sont en hausse tandis que l'adoption du RPKI tarde encore là où c'est crucial

Mi-2026, 67,43 % des routes internet annoncées disposaient de Route Origin Authorizations valides, et 70,3 % du trafic mondial transitait par des chemins validés par RPKI. En apparence, c'est une vraie victoire pour l'infrastructure : la Resource Public Key Infrastructure, le système cryptographique conçu pour empêcher les réseaux de revendiquer faussement la propriété de blocs d'adresses IP, est passée d'une bonne pratique de niche à une adoption majoritaire en moins d'une décennie. Pourtant, Qrator Labs a recensé sept fuites de routes et au moins un BGP hijack significatif au seul premier trimestre 2026, et les opérateurs réseau signalent plus de 6 000 préfixes RPKI-invalides annoncés chaque jour. L'adoption progresse. Les incidents, eux, ne disparaissent pas. Ces deux réalités ne sont pas contradictoires — et comprendre pourquoi est essentiel pour quiconque opère une infrastructure qui dépend de la couche de routage internet.

Ce que le RPKI corrige réellement — et ce qu'il ne corrige pas

Le Border Gateway Protocol, le système qui permet aux réseaux d'annoncer « je possède ce bloc d'adresses IP, faites transiter le trafic correspondant par moi », a été conçu à une époque où la bonne foi entre opérateurs était supposée acquise. Il ne dispose d'aucune authentification native : n'importe quel réseau peut revendiquer la propriété d'un bloc d'adresses, et les réseaux voisins acceptent généralement cette annonce sans sourciller. Le RPKI règle la version la plus élémentaire de ce problème — un réseau signe cryptographiquement une Route Origin Authorization (ROA) attestant qu'il est autorisé à annoncer un préfixe donné, et les autres réseaux peuvent valider cette signature avant d'accepter la route.

Ce que la validation ROA de base du RPKI ne corrige pas, c'est la falsification de chemin combinée à des annonces plus spécifiques. C'est le mécanisme à l'origine de la plupart des incidents qui surviennent encore en 2026 sur des réseaux supposément bien protégés : un attaquant falsifie le numéro d'AS d'origine pour qu'il corresponde à une ROA légitime, puis annonce un sous-préfixe plus spécifique que le préfixe légitime. L'algorithme de sélection de chemin du BGP préfère les routes plus spécifiques de manière quasi inconditionnelle — c'est un principe de conception fondamental, vieux de plusieurs décennies, pas un bug — si bien que l'annonce falsifiée et illégitime l'emporte dans la décision de routage, même sur les réseaux appliquant scrupuleusement la Route Origin Validation (ROV). La ROA est valide. Le préfixe est simplement erroné d'une manière que la ROV seule ne détecte pas.

Pourquoi la solution à ce problème piétine

La réponse technique au BGP hijacking par sous-préfixe avec falsification d'origine existe : l'Autonomous System Provider Authorization (ASPA), un objet RPKI plus récent qui permet à un réseau de déclarer cryptographiquement ses fournisseurs upstream légitimes, neutralisant ainsi une catégorie d'attaques par falsification de chemin que la validation ROA seule ne peut pas contrer. Le problème, c'est le déploiement : à mi-2026, les objets ASPA ne couvrent qu'environ 2,54 % des systèmes autonomes dans le monde. Pour que la protection soit effective, chaque réseau sur un chemin doit y participer — ce qui en fait un problème de coordination classique : un réseau individuel ne tire que peu de bénéfices du déploiement d'ASPA tant que ses voisins ne l'adoptent pas à leur tour, si bien que l'adoption avance au ralenti malgré une technologie mature et standardisée.

Il existe aussi une raison plus simple, moins technique, pour laquelle les incidents persistent : les annonces RPKI-invalides à raison de plus de 6 000 préfixes par jour ne sont pas, pour la plupart, le fait d'attaquants malveillants testant des techniques sophistiquées de falsification d'origine — ce sont des erreurs de configuration, des fautes de frappe et des ROAs obsolètes d'opérateurs qui ont mis en place le RPKI une fois puis ne l'ont jamais révisé au fil de l'évolution de leur réseau. Ces erreurs de routine créent exactement le type de bruit de fond qui complique la détection du nombre restreint de BGP hijacks véritablement malveillants qui s'y mêlent.

Ce que cela signifie pour quiconque opère une infrastructure de production

Si votre organisation se connecte directement à des fournisseurs upstream ou exploite son propre AS, la Route Origin Validation est désormais le minimum syndical — la déployer n'est plus difficile à vendre, et la plupart des grands opérateurs de transit la prennent en charge nativement. Mais considérez la ROV comme un plancher, non comme un plafond. Surveillez vos propres préfixes pour détecter toute annonce non autorisée plus spécifique via un service de surveillance de routes (plusieurs proposent des niveaux gratuits spécifiquement pour cela), car un BGP hijacking par sous-préfixe avec falsification d'origine ciblant votre espace d'adressage passera la validation ROV sans déclencher les alertes que la plupart des équipes pensent avoir en place. Et si vous évaluez un fournisseur de transit ou cloud en partie sur sa résilience réseau, demandez explicitement s'il a déployé ASPA — avec une couverture mondiale inférieure à 3 %, un « oui » reste un vrai facteur de différenciation, pas une case que tout le monde peut cocher.