Accueil / Routage
BGP, RPKI et les fuites de routes
Le nommage vous donne une adresse. Le routage décide du chemin. BGP, le protocole qui relie entre eux les soixante-quinze mille réseaux d'Internet, a été conçu sur un principe de confiance mutuelle entre opérateurs — et cette confiance n'a jamais été vérifiable jusqu'à récemment.
Comment un réseau annonce des adresses
Internet n'est pas un réseau mais une fédération de réseaux indépendants, appelés systèmes autonomes. Chacun porte un numéro — un AS — et détient des plages d'adresses IP, les préfixes.
BGP est la conversation permanente entre ces réseaux. Chaque opérateur annonce à ses voisins : « voici les préfixes que je sais joindre, et voici par quels réseaux il faut passer ». Les voisins retransmettent, en ajoutant leur propre numéro au chemin. De proche en proche, chaque routeur du monde finit par connaître un chemin vers chaque préfixe.
Deux règles qui expliquent presque tout
- Le préfixe le plus spécifique gagne. Une annonce portant sur une plage plus étroite l'emporte toujours sur une plage plus large, quel que soit l'émetteur. C'est le mécanisme exploité par la plupart des détournements.
- Rien n'est vérifié. Historiquement, un routeur croit ce que lui dit son voisin. Il n'existait aucun moyen cryptographique de savoir si l'annonce était légitime.
Transit et appairage
Deux types de relations commerciales structurent ces annonces. Le transit est un service payant : le fournisseur transmet votre trafic vers le reste d'Internet. L'appairage est un échange direct, généralement gratuit, entre deux réseaux qui ont intérêt à s'échanger du trafic. La règle non écrite est qu'on ne retransmet pas à un pair ce qu'on a reçu d'un autre pair. Quand cette règle est enfreinte par accident, on obtient une fuite de routes.
Détournements et fuites de routes
Le détournement d'origine
Un réseau annonce un préfixe qui ne lui appartient pas. Si l'annonce est plus spécifique que la vraie, elle l'emporte partout où elle se propage. Le trafic destiné à la victime arrive chez l'attaquant, qui peut le jeter, l'observer, ou le renvoyer après inspection.
Le cas d'école est celui de février 2008 : un opérateur national annonce une route plus précise pour bloquer une plateforme vidéo sur son territoire. L'annonce fuit vers son fournisseur, puis vers le monde entier. Le service devient inaccessible partout pendant environ deux heures.
En avril 2018, un détournement visant les serveurs DNS d'un fournisseur cloud majeur a permis de rediriger les utilisateurs d'un portefeuille de cryptomonnaies vers une copie frauduleuse, munie d'un certificat obtenu au passage. Le détournement de routage a servi à obtenir un nom, puis un certificat, puis de l'argent.
La fuite de routes
Aucune annonce n'est fausse : elles sont simplement retransmises à des voisins qui n'auraient jamais dû les recevoir. Un petit réseau qui retransmet à l'un de ses fournisseurs ce qu'il a appris d'un autre se retrouve soudain à porter un trafic mille fois supérieur à sa capacité. Le résultat est une congestion massive et des détours de plusieurs milliers de kilomètres.
Le 22 janvier 2026, une modification automatisée de politique de routage chez un grand fournisseur d'infrastructure a produit une politique trop permissive depuis un routeur de Miami. Du trafic tiers en IPv6 a été aspiré vers ce centre de données pendant vingt-cinq minutes. L'opérateur a publié une analyse détaillée de l'incident et corrigé son automatisation.
La distinction qui compte
Un détournement ment sur l'origine d'un préfixe : quelqu'un prétend détenir ce qu'il ne détient pas. Une fuite ment sur le chemin : l'origine est correcte, mais l'annonce circule là où elle n'aurait pas dû.
Cette distinction est essentielle parce que la RPKI, dans sa forme déployée aujourd'hui, ne traite que le premier cas. C'est la limite la plus importante du dispositif actuel.
Intentionnel ou accidentel ?
La majorité des incidents BGP documentés sont des erreurs : doigt qui glisse, filtre absent, automatisation mal testée, préfixe de laboratoire annoncé en production. Les détournements délibérés existent — notamment à des fins d'interception ou de fraude — mais ils sont minoritaires en nombre. Les protections déployées visent d'ailleurs autant l'erreur que la malveillance, et c'est ce qui les rend acceptables par la communauté.
La RPKI, ou prouver qu'on détient une adresse
L'infrastructure à clés publiques des ressources — RPKI, RFC 6480 — attache une preuve cryptographique à la détention d'adresses IP. Elle repose sur les cinq registres régionaux, qui sont les seules entités capables d'attester qui détient quoi.
Deux gestes, deux acteurs
- Signer. Le détenteur d'un préfixe crée une autorisation d'origine de route — un ROA — auprès de son registre régional. Ce document signé dit : « le préfixe 203.0.113.0/24 ne peut être annoncé que par l'AS 64500, avec une longueur maximale de /24 ».
- Vérifier. Un opérateur fait tourner un logiciel de validation — Routinator, rpki-client, Fort — qui télécharge l'ensemble des ROA publiés et alimente ses routeurs. Ceux-ci comparent chaque annonce reçue et rejettent celles qui contredisent un ROA.
Le point crucial : signer ne vous protège que dans la mesure où les autres vérifient. C'est un dispositif à effet de réseau, ce qui explique la lenteur de son adoption initiale et son accélération récente.
Record atteint le 29 juin 2026 : 1 065 730 routes sur 1 580 470, selon le rapport d'adoption de Hurricane Electric. Le moniteur du NIST donnait environ 66,6 % en juillet 2026.
Mesure RoVista : part des systèmes autonomes pleinement protégés. 36,2 % ne valident pas du tout. Les grands transitaires, eux, valident presque tous.
Stable depuis des années. Des travaux présentés en 2026 estiment que plus de 96 % de ces invalides sont des erreurs de configuration, pas des attaques.
Ce que ça change concrètement
Une route évaluée comme invalide voit sa propagation réduite de moitié à deux tiers, parce que la plupart des grands réseaux de transit la rejettent. Un détournement n'est donc plus mondial : il reste confiné aux réseaux qui ne valident pas. Ce n'est pas une élimination, c'est une réduction considérable du rayon d'action.
Le piège de la longueur maximale
L'erreur la plus courante consiste à publier un ROA avec une longueur maximale plus permissive que nécessaire — par exemple autoriser jusqu'à /24 sur un /20 qu'on n'annonce qu'en entier. Cela laisse la porte ouverte à un détournement par préfixe plus spécifique, tout en restant « valide » aux yeux de la RPKI. La longueur maximale doit correspondre exactement à ce que vous annoncez réellement.
La suite : ASPA
L'autorisation de fournisseur d'AS — ASPA — étend la RPKI au chemin. Un réseau déclare quels AS sont ses fournisseurs légitimes, ce qui permet de détecter une annonce empruntant un chemin impossible : exactement le cas des fuites de routes. Le déploiement en est à ses débuts, très loin derrière celui des ROA, mais c'est la brique manquante la plus attendue.
Ce que la RPKI ne couvre pas
L'adoption progresse vite, mais il faut être précis sur ce qui est réellement protégé.
Un travail publié par RIPE Labs en juillet 2026 classe les attaques sur BGP en quatre familles et constate que la validation d'origine n'en traite sérieusement qu'une partie d'une seule. C'est un correctif utile à l'enthousiasme des chiffres d'adoption.
| Famille | Exemple | Couvert par ? |
|---|---|---|
| Manipulation de route | Annonce d'un préfixe non détenu | ROA / ROV — oui |
| Cohérence du chemin | Insertion d'un AS fictif dans le chemin | BGPsec — non déployé |
| Violation de politique | Fuite de routes entre pairs | ASPA — émergent |
| Attaque sur la session | Interruption ou détournement de session BGP | Aucune réponse cryptographique |
Pourquoi BGPsec ne décolle pas
BGPsec, décrit par le RFC 8205, signe le chemin complet et non seulement l'origine. Techniquement, il répond à la deuxième famille. En pratique, il exige que chaque routeur du chemin signe et vérifie, ce qui suppose une capacité de calcul et une mémoire dont ne disposent pas les équipements déployés, et un déploiement quasi universel pour être utile. Quinze ans après sa spécification, le déploiement reste expérimental.
Deux angles morts pratiques
- Les faux positifs. Un ROA mal configuré rend invalide une route parfaitement légitime. Le trafic bascule alors sur des chemins de secours non prévus pour un usage normal : latence supplémentaire, instabilité, parfois dix à cent minutes de perturbation avant correction.
- La longue traîne. Les grands transitaires valident. Les cinquante mille petits réseaux terminaux, très majoritairement, non. La protection est donc excellente au cœur du réseau et faible en périphérie.
Six pratiques qui évitent la plupart des incidents
Quatre engagements
L'initiative des normes mutuellement convenues pour la sécurité du routage demande quatre gestes : filtrer ses annonces, empêcher l'usurpation d'adresse source, tenir à jour ses coordonnées de contact, et publier ses données de routage dans les registres. Ce ne sont pas des normes techniques mais un engagement public vérifiable.
Filtrage à la source
Un réseau ne devrait jamais laisser sortir un paquet dont l'adresse source ne lui appartient pas. Cette règle, formulée en 2000, rend impossibles les attaques par réflexion et amplification. Son application partielle est la raison pour laquelle ces attaques existent encore vingt-cinq ans plus tard.
N'accepter que le prévu
Chaque session BGP avec un client doit être assortie d'une liste explicite des préfixes attendus, construite à partir des registres de routage et de la RPKI. La plupart des grandes fuites de routes auraient été arrêtées par un filtre correct chez le fournisseur du réseau fautif.
Plafonner le nombre de préfixes
Une session configurée pour accepter au maximum quelques milliers de préfixes d'un petit client se coupe automatiquement si celui-ci en annonce soudain cinq cent mille. C'est un garde-fou rustique, très efficace contre les fuites.
La pression institutionnelle
La commission fédérale américaine des communications a proposé des obligations de déclaration sur la gestion du risque BGP et le déploiement de la RPKI pour les grands fournisseurs. En Europe, la directive NIS2 range explicitement le routage parmi les fonctions à sécuriser pour les entités essentielles.
Être alerté de son propre détournement
Plusieurs services publics ou gratuits envoient une alerte lorsqu'un préfixe change d'origine ou apparaît sous un AS inattendu. Sans surveillance, un détournement peut durer des heures avant qu'un client ne signale un problème.
Observer le routage mondial
Le routage mondial est l'une des infrastructures les plus observables qui soient : ses données sont publiques par nature, puisqu'elles circulent entre opérateurs.
| Outil | Ce qu'il montre | Usage typique |
|---|---|---|
| RIPE RIS | Archive mondiale des annonces BGP depuis des dizaines de points de collecte | Reconstituer un incident a posteriori |
| RouteViews | Même principe, projet universitaire américain | Recherche, corroboration |
| RIPE Atlas | Réseau de milliers de sondes matérielles chez des volontaires | Mesurer l'accessibilité réelle depuis partout |
| Looking glasses | Vue de la table de routage depuis le réseau d'un opérateur | Vérifier comment on est vu depuis l'extérieur |
| Moniteur RPKI du NIST | État de validation de l'ensemble de la table mondiale | Suivre l'adoption, repérer ses propres invalides |
| IODA | Détection de pannes à l'échelle d'un pays ou d'un opérateur | Confirmer une coupure nationale en temps réel |
Un test en dix secondes
Le site isbgpsafeyet.com vérifie si votre fournisseur d'accès rejette les routes invalides, depuis votre navigateur. C'est le moyen le plus simple de savoir si le réseau que vous utilisez applique la validation d'origine.