RPKI artık internet yönlendirmelerinin yüzde 70'ini doğruluyor; sıçramada Çin öncü

IPinfo'nun yayımladığı ölçüm çalışmalarına göre internetin yönlendirilen öneklerinin yüzde 70'i artık RPKI doğrulamasından geçiyor. Geçerli işaretli öneklerin payı Eylül 2025'te yüzde 54,0 iken Eylül 2026'da yüzde 70,3'e yükseldi; bu, önceki iki yıldaki artışların toplamından daha büyük bir kazanım olan 16,4 puanlık bir artış.

İnternette yönlendirme her zaman güven üzerine işledi: ağlar, hangi IP adres bloklarına trafiği teslim edebildiklerini bildiren BGP duyuruları değişir, ancak bir duyurunun meşru olduğunu kontrol eden yerleşik bir mekanizma yoktur. RIPE NCC vaka çalışmasında belgelendiği üzere, ders niteliğindeki klasik örnek 24 Şubat 2008'de yaşandı: Pakistan Telecom, hizmeti yerel olarak engellemek amacıyla YouTube'un adreslerini duyurdu ve yönlendirme PCCW Global üzerinden dünyaya sızarak YouTube'u yaklaşık iki saat boyunca erişilemez hale getirdi. RPKI, yani Resource Public Key Infrastructure, sektörün yapısal çözümü: bir adres bloğunun sahibi, o bloğu duyurma yetkisine sahip otonom sistemleri belirten ve Route Origin Authorization adı verilen imzalı bir kayıt yayımlar; doğrulama yapan işletmeciler ise kontrolden geçemeyen duyuruları reddedebilir.

Artışın büyük bölümünü Çin sağladı

Önek sayısı yerine IPv4 adresleriyle ölçüldüğünde, küresel geçerli pay yıl içinde yüzde 53,1'den yüzde 65,0'a çıktı ve bu artışın neredeyse yüzde 60'ı tek bir ülkeden geldi. Çin, geçerli yönlendirmelerdeki IPv4 adreslerinin payını yüzde 3,7'den yüzde 83,0'a taşıdı; Aralık 2025 sonunda bile geçerli önekler içindeki payı yalnızca yüzde 2,9'du. Bu dönüşüm, Çin'in dünya rakamı üzerindeki etkisini de tersine çevirdi: 2025'te küresel ortalamayı aşağı çekiyordu, 2026'da yukarı itiyor. Çin dışındaki kazanım ise yüzde 58,0'dan yüzde 63,2'ye, yani 5,2 puan oldu. IPinfo başka yerlerde de keskin hareketler kaydediyor: Mısır yüzde 23'ten yüzde 99'a, Kazakistan yüzde 16'dan yüzde 84'e, Meksika yüzde 37'den yüzde 78'e, Güney Afrika yüzde 38'den yüzde 60'a çıktı.

Geçersiz yönlendirmeler neredeyse yayılmıyor

Doğrulama, ancak ağlar kontrolden geçemeyen duyuruları gerçekten çöpe atarsa yönlendirmeyi korur ve IPinfo'nun verileri bunu artık yaptıklarını gösteriyor. 28 Eylül 2026'daki 1.614.288 yönlendirilen önek arasında, tipik bir geçerli önek RIPE RIS ve RouteViews toplayıcılarını besleyen gözlem noktalarının 596'sından görülebildi, RPKI kaydı olmayan bir önek ise 595'inden. Doğrulamadan geçemeyen bir önek yalnızca iki gözlem noktası tarafından görüldü. Geçersiz yönlendirmelerin neredeyse yarısı tek bir gözlem noktasına ulaşabiliyor ve bloğu yanlış ağ duyurduğunda bu oran yüzde 71'e çıkıyor — bu, en belirsizliği olmayan ele geçirme ya da hata biçimi.

Bu bulgu, ülke bazlı istatistikleri de yeniden yorumlatıyor; çünkü bir ülke, neredeyse kimsenin görmediği duyurular yüzünden kötü görünebilir. İspanya, geçersiz IPv4 önekleri payında yüzde 28,2 ile en yüksek orana sahip; ancak adreslere ve görünürlüğe göre ağırlıklandırıldığında bu oran yüzde 0,057'ye düşüyor. En az bir milyon IPv4 adresine sahip ülkeler arasında İtalya yüzde 0,121 ile önde ve bunun yüzde 90'ı tek bir ağa, duyuruları kendi yetkilendirmeleriyle kısmen çelişen WIND TRE'ye dayanıyor.

Geriye kalan korumasız alan son derece yoğunlaşmış durumda: geçerli yönlendirmelerin dışındaki yönlendirilmiş IPv4 alanının neredeyse yüzde 60'ı Amerika Birleşik Devletleri'nde ve yaklaşık her dört adresten biri, bu alanın büyük bölümünü 2021'de hizmet işletmek değil de kötüye kullanımı izlemek amacıyla duyurmaya başlayan ABD Savunma Bakanlığı'na ait.

IPv6 öne geçti

2025 başında IPv6'nın RPKI benimsemesinin yavaşladığına dair korkular yanlış çıktı. Geçerli IPv6 önekleri yüzde 56'dan yüzde 79'a yükselirken IPv4 yüzde 54'ten yüzde 68'e çıktı; bu, Job Snijders'ın RIPE Labs'ın 2024 yıl değerlendirmesinde tanımladığı duraklama örüntüsünü tersine çevirdi. IPinfo ayrıca daha fazla kuruluş kendi depolarını barındırmaya başladıkça yayım noktalarının 73'ten 91'e çıktığını ve ROA başına düşen ortalama blok sayısının 2,31'den 2,62'ye toparlandığını belirtiyor. Ayrıca Internet Society Pulse, Ağustos ayında RPKI ile ilgili etkinliğin günlük BGP güncelleme hacminin yüzde 1'inin altında kaldığını saptadı; yani bu büyüme yönlendirmeyi istikrarsızlaştırmıyor.

RPKI'nin hâlâ engelleyemediği şeyler

RPKI, bir öneki kimin duyurabileceğini kontrol eder; bir yönlendirmenin izlediği yolu değil ve bir saldırganın bir işletmecinin yayımladığı yetkiler içinde kaldığı sürece onu yakalayamaz. 28 Ağustos 2026'da, kaynağındaki ASN olarak Hetzner'inki görünen 162.55.80.0/24 için sahte bir yönlendirme doğrulamadan geçti; çünkü Hetzner'ın ROA'sı çevreleyen /16'yı kapsıyor ve /24 kadar küçük duyurulara izin veriyordu. Kentik tarafından belgelendiği üzere bu yönlendirme daha sonra gerçek bir TLS sertifikası elde etmek ve hipervizörlere kötü niyetli bir Virtualizor güncellemesi sunmak için kullanıldı. RPKI'de arızalanan bir şey yoktu — ROA basitçe buna izin veriyordu. IPinfo, 855.217 RPKI kapsamındaki IPv4 yönlendirmesinin yüzde 16,2'sinde, boşluğu dolduran daha spesifik bir yönlendirme olmadan duyurulan yönlendirmeden daha gevşek ROA'lar olduğunu ölçtü; bu, bir saldırganın bugün sahte bir kaynakla duyurabileceği ve yine de geçerli kaydedileceği yaklaşık 18 milyon önek demek.

Neden önemli

BGP ele geçirmeleri — ister kazara ister kasıtlı olsun — trafiği bir dinleyiciye yönlendirebilir ya da tüm hizmetleri erişilemez hale getirebilir ve onlarca yıl boyunca sistematik bir savunma yoktu. Yüzde 70 eşiğinin aşılması — geçersiz yönlendirmelerin artık fiilen yayılamamasıyla birlikte — kaynak doğrulamasının internet ölçeğinde işe yaradığına dair ilk somut kanıt. Ancak bu kilometre taşı eşitsiz. İmzalanmamış kalan alan ABD devletinin elindeki adreslerde yoğunlaşmış durumda ve gevşek ROA'lar milyonlarca öneki tamamen meşru görünürken saldırılabilir bırakıyor. Kapsam sorunun daha kolay yarısıydı; yetkilendirmeleri sıkılaştırmak ve yolları doğrulamak, önümüzdeki daha zor iş.