Resumen

  • En 2020, Ching-Heng Ku escribió que el 98% de los titulares de direcciones IP de Taiwán había firmado ROA de RPKI. El validador de TWNIC acababa de entrar en pruebas, con 46 miembros dispuestos a conectarse; el filtrado amplio seguía siendo una fase futura.
  • En junio de 2026, TWNIC citó datos de APNIC Labs hasta mayo: 97,60% de cobertura ROA y 57,83% de filtrado ROV. Los términos y unidades no son necesariamente comparables, por lo que no forman una serie directa desde 2020.
  • La relevancia de Ku está en la secuencia operativa que describió y en sus funciones documentadas. Ni las cifras nacionales ni el trabajo colectivo deben atribuirse a una sola persona o interpretarse como representación de todos los operadores.

La autorización no ejecuta la política

El titular del artículo de Ching-Heng Ku publicado por APNIC en octubre de 2020 parecía cerrar el relato: “El 98% de los titulares de direcciones IP de Taiwán ha firmado ROA de RPKI”. El texto, sin embargo, no presentaba una defensa desplegada de forma uniforme. Situaba el programa en fases. TWNIC había lanzado su validador y 46 miembros IP aceptaban conectarse para probarlo mientras avanzaban hacia la validación de origen de rutas (ROV). El filtrado integral aparecía después, sujeto a la experiencia y participación de los operadores.

Una ROA —Route Origin Authorization— es una autorización firmada que relaciona un prefijo IP con un sistema autónomo autorizado para originarlo, hasta una longitud máxima determinada. Al recibir un anuncio BGP, una red puede consultar los datos validados y comprobar si el origen anunciado coincide con lo autorizado. Es una pieza concreta de evidencia, no una orden central para que todas las redes rechacen lo que no coincide.

El control está repartido entre titulares de recursos, software validador y redes operadoras. El titular debe publicar una autorización actualizada y correcta. Un sistema de validación recupera los objetos y determina si el anuncio es válido, inválido o desconocido. Después cada operador decide si observa el resultado, lo usa en algunos enlaces o configura una política de rechazo. Conectar un validador durante una prueba no prueba que un operador filtre rutas inválidas en producción. Tampoco demuestra que lo haga en todas sus sesiones o para ambas familias de direcciones.

La cautela tiene una razón práctica: una ruta clasificada como inválida puede proceder de una suplantación, pero también de un ROA desactualizado o de una longitud máxima mal elegida después de un cambio legítimo. El indicador no explica por sí solo la causa. Una política de rechazo puede contener ciertos errores de origen, pero una autorización incorrecta también puede retirar rutas legítimas de las tablas de operadores que confían en la validación. Por eso la expansión del filtrado exige inventario, pruebas, observabilidad y una vía de reversión.

Dos métricas que no deben mezclarse

TWNIC publicó en junio de 2026 que, según APNIC Labs a mayo, Taiwán tenía 97,60% de cobertura ROA y una tasa de filtrado ROV de 57,83%. Su objetivo para ese año era 98% de cobertura y superar de forma estable el 65% de filtrado. La institución plantea, por tanto, dos metas diferentes: ampliar las autorizaciones de origen y llevar la validación a las decisiones de encaminamiento en vivo.

Sería tentador restar una cifra de la otra y hablar de una brecha de 39,77 puntos. Pero la página citada no establece que ambos porcentajes tengan el mismo denominador. “Cobertura ROA” podría referirse a prefijos o espacio de direcciones; “filtrado ROV” podría estimarse mediante redes o trayectos de usuarios que encuentran filtros. Sin unidad común, la resta da una apariencia de precisión que la evidencia no sostiene. Aún menos justificado sería decir que 57,83% de los operadores filtra rutas.

La cifra de 2020 tampoco es una línea de base equivalente. Ku hablaba de titulares de direcciones que habían firmado durante los dos años anteriores. En 2026, TWNIC dice cobertura. Otro informe de APNIC en marzo de 2026 menciona porcentajes separados de prefijos IPv4 e IPv6 considerados válidos. Titulares, prefijos anunciados, espacio cubierto y observaciones de filtrado describen objetos distintos. No hay base para decir que la adopción bajó del 98% al 97,60%.

La explicación metodológica de APNIC Labs muestra el motivo. Su análisis de ROA combina objetos validados con vistas BGP de prefijos y orígenes; distingue prefijos válidos, inválidos y desconocidos, y puede estimar por separado el espacio de direcciones expuesto. Los colectores no observan una réplica perfecta de todo el Internet. Para el ROV también importa si el método mide usuarios, rutas observadas o redes que aplican una política. La ficha pública de cada indicador debería exponer esa definición, el intervalo, las exclusiones y cualquier cambio metodológico.

La lectura segura de los datos de 2026 es que TWNIC, citando APNIC Labs, informa de una cobertura de autorizaciones muy elevada y de un indicador de filtrado menor, y que fija objetivos específicos para cada etapa. TWNIC atribuye parte del trabajo pendiente a titulares que deben gestionar recursos directamente con APNIC y a organizaciones pequeñas con poca capacidad técnica; enumera inventarios, comprobaciones, alertas, consultas y capacitación. Son descripciones de la propia institución, no una evaluación independiente del impacto de cada servicio.

Un programa distribuido, no un resultado individual

El artículo de Ku cuenta que TWNIC promovía RPKI desde que firmó su autoridad de certificación con APNIC en 2018. También menciona apoyo técnico y capacitación. Un informe de evento publicado por APNIC por separado confirma el lanzamiento del validador en Taiwan RPKI Day y recoge la referencia a cerca del 98% de direcciones IPv4 e IPv6 con ROA. Esa coincidencia refuerza la cronología del evento, pero no vuelve idénticas las unidades descritas en las dos publicaciones.

Los 46 miembros acordaron conectarse para probar el servicio. El registro público no especifica qué redes completaron las pruebas, qué prefijos cubrieron ni cuántas activaron después el rechazo de rutas inválidas en producción. No se debe llenar ese vacío con una conjetura favorable o desfavorable. El paso documentado fue significativo porque puso una herramienta de validación en manos de miembros; el resultado posterior no queda cuantificado en ese texto.

La página electoral de APNIC 62 identifica a Ku como director del departamento IP de TWNIC. En su propia declaración dice que dirige investigación de política IP, servicios de recursos numéricos y el proyecto de despliegue y promoción de IPv6 y RPKI en Taiwán. Conviene atribuirlo como autodescripción. Su artículo de 2020 ofrece evidencia pública más acotada: fue autor de una explicación del calendario y de la fase de pruebas.

Su trabajo de política regional tiene otro objeto. APNIC registra a Ku como uno de tres coautores de prop-127 junto con Aftab Siddiqui y Yen-Chieh Wang. La propuesta redujo a un /23 el tamaño máximo de delegación desde el bloque IPv4 103/8 para prolongar la reserva y facilitar el acceso de nuevos miembros sin recurrir al mercado de transferencias. APNIC la registra como implementada en abril de 2019. Es un resultado de proceso comunitario y autoría compartida, no una consecuencia del proyecto RPKI ni un logro personal exclusivo.

En APNIC 62, celebrado en septiembre de 2026, Ku fue reelegido copresidente del Policy SIG. Eso acredita un cargo elegido en una comunidad técnica regional. No lo convierte en portavoz de cada titular de recursos, operador o usuario de Taiwán. Mantener ese límite es útil: un perfil puede reconocer influencia y trabajo sin confundir participación con mandato universal.

Qué debería publicar la siguiente medición

Un informe próximo debería mantener dos series separadas. Para las ROA, debería especificar si cuenta titulares, prefijos anunciados o espacio cubierto; describir cómo trata prefijos más específicos; desglosar IPv4 e IPv6 cuando aplique; e identificar fecha y fuente. Para ROV, debería explicar qué significa “filtrado”, qué puntos de observación y redes incluye, si observa tráfico de usuarios o anuncios, y si la medida describe producción o un entorno de prueba. Las series antiguas deberían conservarse y los cambios de método quedar señalados.

Los indicadores operativos son distintos de las metas públicas: disponibilidad y frescura del validador, desajustes entre el origen observado y la autorización, rutas inválidas investigadas, porcentaje de políticas probadas en modo de observación y alcance real del filtrado activado. Si sube el porcentaje de filtrado, hay que confirmar que cambió el despliegue y no la muestra. Si baja, la misma revisión debe preceder a cualquier atribución de retroceso.

Hay dos errores de gestión contrapuestos. Contar solo ROA puede premiar autorizaciones presentes pero incorrectas o desactualizadas. Contar solo filtros puede incentivar despliegues amplios sin procedimientos para falsos positivos. La cautela absoluta también tiene un coste: puede retrasar una protección útil. La decisión profesional consiste en delimitar la política, probarla, observar falsos inválidos, asignar responsables y poder revertirla rápidamente.

La historia pública de Ku muestra una cadena: TWNIC coordina y presta apoyo, APNIC aporta servicios y medición, los miembros prueban, cada operador controla su política, y los foros regionales evolucionan las reglas comunes. Ningún porcentaje puede sustituir esa distribución de responsabilidades. El avance que conviene medir no es solo un valor más alto, sino quién está cubierto, qué se rechaza, cómo se detecta un error y qué actor puede corregirlo.

Fuentes