8月28日のVirtualizorアップデート攻撃は、偽装されたオリジンIPアドレスを使用することでRPKI検証を悪用しました。この攻撃が成功したのは、HetznerのRoute Origin Authorization (ROA)がより大きなIPアドレスブロックをカバーしており、/24までのアナウンスを許可していたためです。決定的なのは、アナウンスを無効にする、より具体的な正規の/24ルートが存在しなかったことです。分析により、この脆弱性はかなり一般的であることが明らかになり、RPKIでカバーされているIPv4ルートの16.2%、IPv6ルートの20.9%がより緩いROAを持っています。これにより、数百万ものより具体的な、異議のないRPKI有効アナウンスが可能になる可能性があります。ホスティングプロバイダーは、ROAの設定方法に大きなばらつきが見られます。RPKI無効ルートはますますドロップされており、主なリスクは現在、RPKI検証を通過するルートにあります。RFC 9319で提案されている修正案は、ROAでmaxLengthフィールドを未設定のままにすることを示唆しています。これにより、ROAはアナウンスされている正確なIPブロックのみに一致することが保証されます。この分析の方法論は、元の投稿の最後に詳述されています。