Слишком широкие ROA в RPKI открыли 18 млн маршрутов для подмены

Анализ 855 217 IPv4-маршрутов под RPKI показал, что 16,2% из них (138 698) имеют ROA с maxLength шире анонсируемого префикса, а для IPv6 доля достигает 20,9%. Это позволяет анонсировать около 18 млн поддельных more-specific префиксов, проходящих валидацию; атака 28 августа на серверы обновлений Virtualizor через поддельный /24 в блоке Hetzner /16 это подтвердила.

• 16,2% IPv4-маршрутов и 20,9% IPv6-маршрутов уязвимы к forged-origin hijack
• У Contabo 97,6% маршрутов с избыточными ROA, у DigitalOcean — 90,4%, у OVH — 11,5%
• Атака на Virtualizor прошла через поддельный /24 внутри /16 Hetzner с maxLength 24
• RFC 9319 рекомендует не задавать maxLength, чтобы ROA покрывал только точный префикс