Кратко

  • На 30 сентября 2026 года ARIN отчиталась о 9 673 организациях, зарегистрированных для RPKI, против 7 612 годом ранее. В Hosted RPKI около 1 195 организаций пока не создали ни одного ROA.
  • Учётная запись и сертификат ресурсов открывают возможность работы; подписанный ROA отдельно указывает ASN, префикс и допустимую максимальную длину. Публикацию нужно сопоставить с валидатором и наблюдаемым маршрутом.
  • Показатели 94% выделенных IPv4-блоков, пригодных для RPKI, и 59,4% объявляемых блоков ARIN в состоянии RPKI Valid имеют разные основания для расчёта.

Самая длинная колонка на слайде ARIN 58 о безопасности маршрутизации — 9 673. Столько организаций, по данным реестра, зарегистрировались для RPKI к третьему кварталу 2026 года. Годом раньше их было 7 612; промежуточные значения — 8 140, 8 602 и 9 106. Но рядом с победной лестницей ARIN нарисовала совсем другую ведомость. В Hosted RPKI примерно 8 300 организаций создали ROA, а около 1 195 не создали ни одного. Реестр называет эту долю приблизительно одной седьмой. Данные приведены по состоянию на 30 сентября.

Удобная ошибка — поделить 1 195 на 9 673 и объявить точный процент незащищённых клиентов. ARIN не давала для этого общего знаменателя. Первое число относится к регистрации организаций для RPKI, второе — к участникам именно Hosted-модели. Существуют и делегированное управление, и услуга публикации репозитория. К тому же приблизительные числа Hosted не складываются в 9 673. Статистика реестра даёт более важное наблюдение без выдуманной точности: измеримая группа вошла в сервис, но ещё не опубликовала ни одного подписанного разрешения на происхождение маршрута.

ROA — не свидетельство о вступлении в клуб. Документация ARIN определяет его как криптографически подписанный объект, указывающий, какому автономному системному номеру разрешено анонсировать заданный IP-префикс. Держатель вводит исходный AS, префикс и максимальную длину. Последнее поле решает судьбу более специфичных анонсов. В практическом руководстве ARIN предупреждает: если разрешить только агрегат /16, а в сети объявлять /24, эти более узкие маршруты могут получить статус Invalid. Регистрация в кабинете не знает, как настроены маршрутизаторы держателя.

Hosted RPKI снимает с клиента значительную техническую нагрузку. ARIN эксплуатирует центр сертификации и репозиторий, подписывает и публикует объекты. Описание вариантов развёртывания отделяет эту услугу от делегированной модели, при которой держатель сохраняет криптографический контроль, и от публикации репозитория силами ARIN. Разгрузка инфраструктуры полезна. Она не передаёт реестру право угадывать, какой AS клиент использует как источник маршрута и какие длины префиксов должны быть допустимы. Пустой список ROA поэтому вполне возможен при исправно работающем Hosted-сертификате.

Для руководителя в этом и состоит смысл двух графиков. Сначала ресурс попадает под соглашение и становится пригодным для RPKI. Затем организация регистрируется, получает сертификат, формирует ROA, видит его в репозитории, проверяет результат валидатора и сравнивает с BGP-анонсом. Сеть ещё должна применить результат проверки в своей работе. На каждой ступени остаётся отдельная квитанция и отдельный ответственный. График регистрации доказывает доступ к механизму. Он не подтверждает наличие объекта, по которому механизм будет судить маршрут.

На другом слайде ARIN указывает, что 94% выделенных ею IPv4-блоков пригодны для RPKI благодаря соглашению с реестром. Там же сказано: 59,4% зарегистрированных у ARIN IPv4-блоков, присутствующих в интернет-анонсах, находятся в состоянии RPKI Valid. Первое основание — выделенные блоки, второе — блоки в анонсах. Диаграмма называет 1 646 млн выделенных адресов, 1 548 млн под соглашением и 920 млн Valid. Вычитание 59,4 из 94 не покажет ни долю организаций без ROA, ни «пробел в защите» одной и той же совокупности. Это две разные стадии с разными точками отсчёта.

В опубликованном материале нет списка примерно 1 195 организаций с датой регистрации, сроком пребывания без ROA, их анонсируемыми префиксами и причиной отсутствия объекта. Такой список позволил бы отличить свежую запись от проекта, застрявшего между сетевым отделом и администратором аккаунта, а также от случая без маршрута для авторизации. Но уже опубликованного достаточно, чтобы изменить вопрос на совещании: не сколько организаций нажали «подключить», а сколько сделали подписанное заявление, соответствующее живому маршруту.

Официальная страница ARIN 58 указывает докладчиком Brad Gorman, руководителя технического обслуживания клиентов. Реестр сам поставил рядом красивую кривую и невыполненную работу. Оператор может проверить свой ROA в репозитории, результат валидатора и собственный BGP-анонс. Совет директоров вправе требовать эти три записи прежде, чем назвать растущее число аккаунтов ростом безопасности. Войти в зал — ещё не подписать маршрут.