RPKI agora cobre 67 por cento das rotas da internet, mas a maioria das redes ainda não as valida
Em 29 de junho de 2026, a cobertura RPKI da tabela de roteamento da internet global atingiu o recorde de 67,43 por cento — 1.065.730 de 1.580.470 prefixos anunciados agora possuem uma Route Origin Authorization (ROA) assinada. Esse é um progresso genuíno em um problema que afeta o protocolo de roteamento principal da internet, o BGP, desde a década de 1990. Mas esse marco oculta um número mais importante: apenas 12,3 por cento dos sistemas autônomos (ASes) realmente aplicam a Route Origin Validation (ROV) completa nas rotas que aceitam, enquanto 36,2 por cento não fazem nenhuma validação.
Essa lacuna — entre assinar e aplicar — é a verdadeira história da segurança de roteamento da internet em 2026. Entender por que ela existe e por que importa explica tanto o progresso real quanto uma ameaça que não desapareceu.
O problema que o RPKI foi criado para resolver
O BGP, o protocolo que roteia o tráfego entre os cerca de 70.000+ redes que compõem a internet, foi projetado em uma era em que a confiança entre operadores era assumida. Qualquer rede pode anunciar que origina um bloco de endereços IP e, por padrão, outras redes acreditam nisso. Isso torna o sequestro de BGP — onde um atacante anuncia o espaço de endereços de outra pessoa para redirecionar seu tráfego — extremamente fácil na ausência de validação. Incidentes históricos incluem o desvio de tráfego afetando grandes provedores de nuvem, exchanges de criptomoedas e redes governamentais.
O RPKI (Resource Public Key Infrastructure) resolve isso permitindo que operadores de rede assinem criptograficamente uma declaração: "este número de AS está autorizado a originar este prefixo IP". Outras redes podem então verificar os anúncios de rotas recebidos em comparação com essas declarações assinadas — isso é a Route Origin Validation — e rejeitar ou despriorizar rotas que não correspondam.
Por que 67 por cento de cobertura não significa 67 por cento de proteção
Assinar uma ROA é algo que um operador de rede faz para o seu próprio espaço de endereços — é uma ação unilateral e de baixo atrito. Aplicar a ROV é diferente: exige que uma rede rejeite ativamente ou rebaixe rotas que falham na validação, o que significa confiar no sistema RPKI o suficiente para deixá-lo afetar decisões de tráfego reais. Esse é um compromisso operacional maior, e é por isso que a aplicação fica muito atrás da cobertura.
A consequência prática: um atacante ainda pode sequestrar com sucesso um prefixo assinado e protegido se redes suficientes ao longo do caminho para potenciais vítimas não estiverem aplicando a ROV. A Qrator Labs documentou sete vazamentos de rotas globais e um sequestro de BGP global apenas no primeiro trimestre de 2026 — evidência de que a assinatura de certificados ainda não se traduziu em um sistema de roteamento resistente a esses ataques em escala da internet.
Os ataques que o RPKI não impede
Mesmo onde a ROV é totalmente aplicada, o RPKI tem pontos cegos conhecidos. Pesquisas deste ano descobriram que um atacante sofisticado não precisa combater diretamente a ROA de um alvo — ele pode copiá-la. Ao anunciar o prefixo exato da vítima com o próprio número de AS da vítima na posição de origem, e então antepor o seu próprio número de AS na frente dele, um atacante pode construir uma rota que passa pelas verificações de ROV enquanto ainda sequestra o tráfego através de sua própria rede. O RPKI valida a origem, não o caminho — e essa é uma limitação estrutural, não um bug que pode ser corrigido.
Também há um problema de qualidade de dados trabalhando contra operadores que tentam interpretar falhas de validação de forma útil: aproximadamente 96,9 por cento dos prefixos inválidos de RPKI encontrados na natureza decorrem de configuração incorreta em vez de ataques ativos. Esse ruído torna mais difícil para operadores de rede construírem sistemas de resposta automatizados que distingam de forma confiável um sequestro genuíno do erro de digitação de alguém em um registro ROA.
O que realmente precisa acontecer a seguir
O caminho a seguir não é mais assinatura — a cobertura já está se aproximando de dois terços da tabela de roteamento. É fechar a lacuna de aplicação. Grandes provedores de trânsito e redes de conteúdo que aplicam a ROV nas rotas que aceitam têm um efeito desproporcional, porque removem caminhos viáveis para o tráfego sequestrado, mesmo quando redes menores a jusante não adotaram a validação por conta própria. Tecnologias de validação de caminho (como o BGPsec, que viu implantação no mundo real mínima devido à sobrecarga de desempenho) fechariam a lacuna de antecipação de AS, mas a adoção está estagnada há anos.
Para operadores de rede, o passo acionável é direto: se você não habilitou a aplicação de ROV em seus roteadores de borda, isso representa um ganho de segurança maior no momento do que assinar ROAs adicionais para prefixos que você já origina. A infraestrutura para tornar o BGP significativamente mais seguro já existe — a maior parte da internet simplesmente ainda não a ativou.