Кратко

  • ROV может отклонить маршрут, не соответствующий текущим ROA, не спрашивая владельца префикса. Сеть принимает решение, а объяснение может не вернуться.
  • iROV предлагает срочное подписанное разрешение и канал обратной связи. Улучшение доступности показано в моделировании и не подтверждает глобальное развёртывание.

Проблема проявляется при срочной смене маршрута. Во время атаки оператор перенаправляет трафик на службу защиты, но новое объявление ещё противоречит ROA в кэше валидаторов. ROV действует по правилам: помечает маршрут как недействительный и отбрасывает его. Владелец может не узнать ни место отказа, ни масштаб потери связности.

Younsoo Kim, Seungjin Baek, Weitong Li, Tijay Chung и Min Suk Kang предложили iROV в работе для USENIX Security 2026; Kang представил её на NANOG 98. Валидатор может запросить у владельца краткосрочное подписанное разрешение. Ответ можно приложить к маршруту, чтобы последующие сети с iROV проверяли его локально, без повторного запроса. Вероятностные запросы ограничивают начальную нагрузку.

Самая заметная цифра — рост доступности при срочных изменениях с 23% почти до 90%. Это результат масштабного моделирования авторов. В основном сценарии внедрение iROV у сетей первого уровня зафиксировано на 100%; доли ROV и вероятности запросов заданы по уровням, а распространение маршрутов описано упрощённой моделью valley-free с локальными предпочтениями. Авторы признают, что модель не отражает всего разнообразия реальных политик управления. Прототип BIRD/FORT работал в закрытом испытательном стенде. Ни симуляция, ни прототип не показывают результаты глобального внедрения.

Цена компромисса понятна. Недействительный маршрут всё ещё требует криптографически проверяемого разрешения владельца; если ответ не пришёл или проверка не прошла, применяется обычный отказ ROV. Но теперь нужно обслуживать сервер владельца, защищать ключи, задавать политику запросов, разбирать оповещения и реагировать на всплеск запросов, который сам может стать атакой. Авторы не оценивают эти расходы: они зависят от конкретной сети.

iROV — серьёзное проектное предложение для операторского обсуждения, а не уже работающая глобальная функция. NANOG спрашивает, какую обратную связь должен давать ROV и как добавить её без неприемлемого риска. Открыты и вопросы управления: кто задаёт параметры, кто отвечает на сигналы и что считать аварийным исключением?

Источники: работа USENIX Security 2026 · официальная сессия NANOG 98 · RFC 6811: ROV · RFC 6482: ROA. · PDF original