Hay algo que me sigue sorprendiendo después de años administrando servidores: el encaminamiento de internet —el sistema que decide por dónde viajan tus paquetes— funciona básicamente por fe. Si un proveedor anuncia «yo entrego el tráfico de tal bloque de IPs», el resto del mundo le cree y le manda los paquetes. Sin verificar nada. Y de esa fe históricamente se han aprovechado tanto weones torpes como ladrones de verdad.
El cambio del último año
RPKI es el mecanismo que le pone firma criptográfica a ese sistema. El dueño legítimo de un bloque de direcciones publica un registro firmado (un ROA) que dice qué redes están autorizadas a anunciarlo, y los operadores que lo revisan pueden rechazar las rutas que no calzan. Suena básico, porque lo es: es exactamente lo que le faltaba a BGP desde los 80.
Lo que reportó IPinfo hace unos días: las rutas RPKI-válidas pasaron de 54% en septiembre de 2025 a 70,3% en septiembre de 2026. Ese salto de 16,4 puntos es mayor que el de los dos años anteriores combinados. Y el responsable principal fue sorpresivo: China, que pasó del 3,7% al 83% de sus direcciones IPv4 en rutas válidas. Otra sorpresa del monitoreo: en México el salto fue de 37% a 78%.
La parte que me gusta de este reporte es que no se quedaron en el porcentaje bonito, sino que midieron si la protección funciona de verdad. Y funciona: una ruta con ROA válido la ven típicamente 596 puntos de observación en los colectores públicos; una ruta inválida, solo 2. Es decir, casi nadie propaga ya una ruta falsificada cuando falla la verificación. El sistema dejó de ser papel mojado.
Cómo se veía el mundo sin esto
El caso clásico es de 2008: Pakistan Telecom quería bloquear YouTube dentro de Pakistán y anunció una ruta más específica de las direcciones de YouTube; su proveedor upstream la aceptó y la pasó al resto del mundo, y por un par de horas el tráfico de YouTube del planeta entero terminaba en Pakistán. Ese tipo de accidente —o de secuestro deliberado de rutas— es exactamente lo que RPKI impide.
Eso sí, hay que leerlo con calle. RPKI valida quién puede anunciar un bloque, no el camino completo, y no atrapa a un atacante que se queda dentro de lo que el dueño autorizó. Hace unas semanas apareció una ruta con el AS de Hetzner falsificado como origen que cumplía el ROA del bloque afectado. La firma ayuda, no salva: es un candado, no un guardia en la puerta.
Lo que hago yo con esto
Para quien administra VPS como yo, esto es accionable, no teoría: cuando elijas proveedor para algo serio, pregunta si sus prefijos tienen ROA publicado y si hacen filtrado RPKI en sus sesiones de BGP. Si el vendedor ni idea de qué hablas, ya sabes qué clase de operación es. En la práctica, si tu proveedor no firma sus rutas, tu tráfico depende de que ningún vecino torpe ni malintencionado anuncie tu bloque por accidente. Ese margen se está cerrando en el mundo, y la IPv4 que sigue sin RPKI está concentrada: casi el 60% está en Estados Unidos, y buena parte es espacio del Departamento de Defensa que anuncia para vigilar, no para prestar servicio.
El internet tardó cuarenta años en empezar a firmar sus rutas, y aun así lo está haciendo rápido cuando se pone la voluntad —miren China o Egipto, del 23% al 99% en un año. La infraestructura antigua sí se puede arreglar; lo que falta casi nunca es la tecnología, es que alguien decida hacerlo obligatorio.
Fuente del tema: RPKI Now Protects 70% of Internet Routes, Up From 54% a Year Ago, del blog de IPinfo.
Fuente de inspiración: RPKI Now Protects 70% of Internet Routes, Up From 54% a Year Ago (IPinfo)
