Le RPKI couvre désormais 67 pour cent des routes Internet, mais la plupart des réseaux ne les valident toujours pas

Le 29 juin 2026, la couverture RPKI de la table de routage Internet mondiale a atteint un record de 67,43 pour cent — 1 065 730 préfixes annoncés sur 1 580 470 intègrent désormais une Route Origin Authorization (ROA) signée. C'est un réel progrès face à un problème qui affecte le protocole de routage fondamental d'Internet, le BGP, depuis les années 1990. Mais cette étape importante occulte un chiffre plus crucial : seulement 12,3 pour cent des systèmes autonomes (AS) appliquent réellement une Route Origin Validation (ROV) complète sur les routes qu'ils acceptent, tandis que 36,2 pour cent ne font aucune validation.

Cet écart — entre la signature et l'application — est la véritable histoire de la sécurité du routage Internet en 2026. Comprendre pourquoi il existe, et pourquoi il compte, explique à la fois les progrès réels et une menace qui n'a pas disparu.

Le problème que le RPKI a été conçu pour résoudre

Le BGP, le protocole quichemine le trafic entre les quelque 70 000 réseaux et plus qui composent Internet, a été conçu à une époque où la confiance entre opérateurs allait de soi. N'importe quel réseau peut annoncer qu'il est à l'origine d'un bloc d'adresses IP, et par défaut, les autres réseaux le croient. Cela rend le détournement BGP — où un attaquant annonce l'espace d'adressage d'un tiers pour rediriger son trafic — extrêmement facile en l'absence de validation. Parmi les incidents historiques, citons les détournements de trafic affectant les principaux fournisseurs cloud, les plateformes d'échange de cryptomonnaies et les réseaux gouvernementaux.

Le RPKI (Resource Public Key Infrastructure) remédie à cela en permettant aux opérateurs réseau de signer cryptographiquement une déclaration : « ce numéro d'AS est autorisé à originer ce préfixe IP ». Les autres réseaux peuvent ensuite vérifier les annonces de routes entrantes par rapport à ces déclarations signées — c'est la Route Origin Validation — et rejeter ou déprioriser les routes qui ne correspondent pas.

Pourquoi une couverture de 67 pour cent ne signifie pas une protection de 67 pour cent

Signer une ROA est une action qu'un opérateur réseau effectue pour son propre espace d'adressage — c'est une démarche unilatérale et à faible friction. Appliquer la ROV est différent : cela exige d'un réseau qu'il rejette ou dégrade activement les routes qui échouent à la validation, ce qui implique de faire suffisamment confiance au système RPKI pour lui permettre d'affecter de réelles décisions de trafic. C'est un engagement opérationnel plus lourd, et c'est pourquoi l'application est largement en retard par rapport à la couverture.

La conséquence pratique : un attaquant peut toujours réussir à détourner un préfixe signé et protégé si un nombre suffisant de réseaux le long du chemin vers les victimes potentielles n'appliquent pas la ROV. Qrator Labs a documenté sept fuites de routes mondiales et un détournement BGP mondial rien qu'au premier trimestre 2026 — la preuve que la signature de certificats ne s'est pas encore traduite par un système de routage résistant à ces attaques à l'échelle d'Internet.

Les attaques que le RPKI n'arrête pas

Même là où la ROV est pleinement appliquée, le RPKI présente des angles morts bien connus. Des recherches menées cette année ont montré qu'un attaquant sophistiqué n'a pas besoin de lutter directement contre la ROA d'une cible — il peut la copier. En annonçant le préfixe exact de la victime avec le propre numéro d'AS de la victime à la position d'origine, puis en préfixant son propre numéro d'AS devant celui-ci, un attaquant peut construire une route qui passe les contrôles ROV tout en détournant le trafic à travers son propre réseau. Le RPKI valide l'origine, pas le chemin — et c'est une limitation structurelle, et non un bogue qui peut être corrigé.

Il existe également un problème de qualité des données qui nuit aux opérateurs essayant d'interpréter utilement les échecs de validation : environ 96,9 pour cent des préfixes invalides par RPKI trouvés dans la nature proviennent d'une mauvaise configuration plutôt que d'attaques actives. Ce bruit parasite complexifie la tâche des opérateurs réseau pour concevoir des systèmes de réponse automatisés capables de distinguer de manière fiable un véritable détournement d'une simple erreur de frappe commise par quelqu'un dans un enregistrement ROA.

Ce qui doit réellement se passer ensuite

La voie à suivre ne passe pas par une augmentation des signatures — la couverture approche déjà des deux tiers de la table de routage. Il s'agit de combler l'écart en matière d'application. Les grands fournisseurs de transit et réseaux de contenu appliquant la ROV sur les routes qu'ils acceptent ont un impact disproportionné, car cela supprime les chemins viables pour le trafic détourné même lorsque des réseaux en aval plus de petite taille n'ont pas adopté la validation eux-mêmes. Les technologies de validation de chemin (comme BGPsec, qui a connu un déploiement réel minime en raison de sa surcharge de performance) combleraient l'écart lié au préfixe d'AS, mais son adoption est au point mort depuis des années.

Pour les opérateurs réseau, l'étape concrète est simple : si vous n'avez pas activé l'application de la ROV sur vos routeurs de bordure, cela représente un gain de sécurité plus important à l'heure actuelle que de signer des ROA supplémentaires pour des préfixes que vous originez déjà. L'infrastructure pour rendre le BGP nettement plus sûr existe déjà — la majeure partie d'Internet n'a tout simplement pas encore activé la fonction.