Desentrañando el misterio de los prefijos no válidos de la RPKI: causas ocultas y riesgos reales

La Infraestructura de Claves Públicas de Recursos (RPKI) se ha convertido en una piedra angular de la seguridad en Internet. Ayuda a las redes a verificar si un anuncio de ruta —es decir, una declaración sobre quién es el propietario y quién gestiona un bloque de direcciones IP— es legítimo. De este modo, desempeña un papel fundamental a la hora de prevenir el secuestro de rutas, una amenaza de larga data que puede redirigir el tráfico, interrumpir los servicios o facilitar la vigilancia.

En nuestro artículo, «Desentrañando los prefijos no válidos de RPKI: causas ocultas y riesgos de seguridad», desde Virginia Tech, en colaboración con CableLabs, llevamos a cabo el primer estudio exhaustivo para comprender por qué persisten las rutas no válidas según el RPKI, identificar sus causas fundamentales y evaluar su impacto real en el enrutamiento de Internet.

¿Qué son los prefijos no válidos de RPKI?

En los últimos años, la adopción del RPKI ha crecido rápidamente. En la actualidad, más de la mitad de todas las rutas de Internet están protegidas por autorizaciones criptográficas (denominadas ROA). Este avance se considera, en general, un gran paso adelante para garantizar la seguridad del enrutamiento global.

Sin embargo, existe un problema. A pesar de su amplia implantación, miles de rutas siguen marcadas como «RPKI-invalid». Nuestro estudio reciente revela que, en un día cualquiera, aparecen más de 6.000 rutas no válidas en el sistema de enrutamiento global, con decenas de miles observadas a lo largo del tiempo, y esa cifra no ha disminuido de forma significativa, tal y como muestra la figura 1. Esto plantea una cuestión importante: si el RPKI funciona, ¿por qué persisten estas rutas no válidas?

¿A qué se deben las rutas no válidas según el RPKI?

Además de los errores de configuración más conocidos y fácilmente detectables, como los que se producen entre AS de una misma organización, hemos identificado dos causas fundamentales importantes, aunque menos evidentes, de la invalidez de la RPKI:

Arrendamiento de propiedad intelectual

Dada la creciente escasez de direcciones IPv4, las organizaciones suelen arrendar prefijos IP en lugar de ser sus propietarios directos. En la mayoría de los casos, el propietario original conserva el control de los registros RPKI, mientras que el arrendatario anuncia los prefijos en BGP.

Los problemas surgen cuando la autorización de la RPKI no se actualiza para incluir la red del arrendatario. Como consecuencia, los anuncios de enrutamiento perfectamente legítimos pueden marcarse como no válidos, no a causa de un ataque, sino debido a una falta de coordinación entre las partes.

Tránsito de IP opaco

Los servicios de red modernos, como la mitigación de ataques DDoS o el tunelizado de tráfico, pueden ocultar el verdadero origen de un prefijo. En estas configuraciones, un proveedor puede anunciar el prefijo de un cliente en su propia red, al tiempo que reenvía el tráfico internamente al cliente.

Desde el punto de vista de la RPKI, el origen observado ya no coincide con el autorizado, por lo que la ruta se clasifica como no válida. Estas prácticas suelen ser intencionadas y necesarias desde el punto de vista operativo, pero no siempre se ajustan a los modelos de validación actuales.

Conjuntamente, hemos constatado que más del 96 % de los prefijos no válidos según la RPKI que figuran en las tablas de enrutamiento IPv4 actuales, recopiladas a partir de Routeviews, se deben a errores de configuración que podemos explicar y clasificar en la figura 2.

¿Cuáles son las repercusiones en la vida real?

Estas rutas no válidas según el RPKI tienen consecuencias tangibles para el funcionamiento de Internet. Para evaluar el impacto en la práctica, hemos llevado a cabo mediciones de ping y traceroute mediante el Protocolo de Mensajes de Control de Internet (ICMP) desde más de 5.000 sondas de RIPE Atlas repartidas por más de 1.600 AS de todo el mundo, dirigiéndolas a hosts activos dentro de más de 4.000 prefijos no válidos según el RPKI. Hemos constatado que

• El 3,1 % de los prefijos no válidos según la RPKI sufren una pérdida de conectividad desde al menos un punto de observación de la red. Esta observación pone en tela de juicio la suposición de que las rutas no válidas son inofensivas siempre que exista una ruta alternativa, una suposición muy extendida en la actualidad.
• El 18,5 % de los prefijos no válidos según la RPKI sufren cambios de enrutamiento no deseados. Estos reenrutamientos suelen eludir las redes de nivel superior destinadas a proporcionar servicios de seguridad, como la mitigación de ataques DDoS o la inspección del tráfico. El impacto en el rendimiento es significativo: casi todos los prefijos afectados sufren un aumento de la latencia, y el 39,2 % registra aumentos de latencia superiores a 100 milisegundos. Muchos de ellos también atraviesan un número considerablemente mayor de saltos de AS, lo que aumenta la exposición a la congestión y las superficies de ataque.

Vaya más allá de la higiene pasiva

La persistencia de rutas no válidas según el RPKI pone de manifiesto una brecha crítica entre la autorización criptográfica y las realidades operativas del tránsito y el arrendamiento de direcciones IP en la actualidad. Para salvar esta brecha, es necesario que la comunidad vaya más allá de la creación pasiva de ROA y adopte prácticas proactivas de gestión del enrutamiento.

En primer lugar, los operadores de red deben adaptar sus prácticas a iniciativas como MANRS (Normas acordadas mutuamente para la seguridad del enrutamiento). El cumplimiento de las directrices de MANRS garantiza que las organizaciones no solo filtren las rutas no válidas, sino que también mantengan una coordinación estricta entre su intención de enrutamiento y sus registros RPKI.

Para las organizaciones que se dedican al arrendamiento de direcciones IP o a acuerdos de tránsito complejos —como los centros de filtrado para la mitigación de ataques DDoS—, la gestión manual de los ROA ya no resulta viable. Los operadores deben integrar la creación y eliminación de ROA directamente en sus procesos automatizados de aprovisionamiento de red para evitar los fallos de coordinación que provocan la gran mayoría de estos casos de invalidación.

Además, la comunidad debe pasar de una mentalidad de «configurar y olvidarse» a una validación continua del estado de la RPKI. Es esencial aprovechar las herramientas de supervisión proactiva para alertar sobre discrepancias en el origen del BGP antes de que se propaguen a nivel mundial. Los debates en el seno del Grupo de Trabajo SIDROPS (Operaciones SIDR) de la IETF ponen de relieve la necesidad apremiante de contar con dichas directrices operativas y de mejorar las herramientas.

En definitiva, el RPKI sigue siendo la piedra angular de la seguridad del enrutamiento a escala mundial, pero su eficacia depende de que adaptemos nuestros modelos operativos a la complejidad estructural de la Internet actual. Instamos a los operadores de red a que revisen sus configuraciones actuales de concesión de direcciones IP y de tránsito, e invitamos a los investigadores y a los responsables políticos a colaborar en el desarrollo de modelos de autorización más flexibles que den cabida a las prácticas legítimas de enrutamiento opaco sin comprometer la seguridad.

Lea nuestro artículo y siga nuestra presentación en NDSS 2026 para obtener más información.

Weitong Li es investigador posdoctoral en Virginia Tech, donde su trabajo se centra en la medición y la seguridad de la infraestructura de enrutamiento de Internet.