16% маршрутов IPv4, охваченных RPKI, по-прежнему допускают подмену источника, которая проходит проверку, — это то, что стоит за атакой с обновлением Virtualizor.
Атака на Virtualizor 28 августа использовала проверку RPKI, применяя поддельный IP-адрес источника. Атака увенчалась успехом, поскольку авторизация происхождения маршрута (ROA) Hetzner охватывала больший блок IP-адресов, позволяя делать анонсы вплоть до /24. Важно, что не существовало более конкретного, легитимного маршрута /24, который мог бы аннулировать анонс. Анализ показал, что эта уязвимость довольно распространена: 16,2% IPv4-маршрутов, покрытых RPKI, и 20,9% IPv6-маршрутов имеют более свободные ROA. Это потенциально позволяет делать миллионы более конкретных, неоспоримых анонсов, валидных по RPKI. Хостинг-провайдеры демонстрируют значительные различия в настройке своих ROA. Маршруты, недействительные по RPKI, все чаще отбрасываются, что означает, что основной риск теперь связан с маршрутами, проходящими проверку RPKI. Предлагаемое исправление в RFC 9319 предполагает оставление поля maxLength неустановленным в ROA. Это гарантировало бы, что ROA будет соответствовать только точному анонсируемому блоку IP-адресов. Методология этого анализа подробно описана в конце оригинального сообщения.
