Number Resource Society
RPKI et IRR : deux mécanismes différents, deux protections nécessaires
Le RPKI vérifie cryptographiquement quel AS peut annoncer un préfixe. L’IRR décrit les intentions et les relations de routage. Ils ne répondent pas à la même question et doivent être maintenus ensemble dans une véritable pratique de sécurité.
Sur cette page
Deux formes de confiance dans le routage
Cet article distingue le RPKI, l’IRR et leur rôle dans la gouvernance des ressources. Le texte historique est conservé ; les chiffres et citations qui demandent une vérification actuelle sont signalés séparément.
La sécurité du routage n’est pas un interrupteur. Elle dépend de données responsables, de contrôles indépendants et de la capacité à expliquer puis corriger une décision.
Pourquoi la sécurité du routage reste fondamentale
Le BGP transporte les informations qui permettent aux réseaux de se joindre. Il a été conçu dans un environnement où la confiance entre opérateurs était largement présumée, sans preuve cryptographique intégrée.
Les erreurs de configuration, les fuites et les détournements peuvent interrompre un service ou détourner le trafic. Plus l’Internet devient critique, moins cette confiance implicite suffit.
Ce que l’IRR apporte encore
Les registres de routage Internet publient les intentions des opérateurs : préfixes annoncés, relations entre AS et politiques d’échange. Les objets RPSL servent souvent à produire des filtres de préfixes.
L’IRR offre un contexte riche, mais sa qualité dépend de mises à jour humaines. Un objet ancien ou contradictoire peut produire une politique incorrecte ; l’IRR doit donc être entretenu et vérifié.
Ce que le RPKI change
Le RPKI relie un préfixe et un AS autorisé au moyen d’objets signés. Une ROA indique quel AS peut être l’origine ; les validateurs produisent des VRP utilisés par la validation d’origine de route.
Cette preuve concerne l’autorisation d’origine. Elle ne constitue pas à elle seule une preuve générale de propriété et ne décrit pas toutes les relations de transit, de peering ou de trafic.
Pourquoi le RPKI ne remplace pas l’IRR
Le RPKI répond à une question étroite : cet AS est-il autorisé à annoncer ce préfixe ? L’IRR donne l’intention opérationnelle plus large. Écarter l’un des deux laisse un angle mort.
La couverture RPKI et la validation ne sont pas uniformes. Lorsque le résultat est NotFound ou qu’aucune ROA n’existe, l’IRR reste utile pour filtrer et diagnostiquer.
Les utiliser ensemble
Une équipe peut utiliser l’IRR pour établir un filtre de base, puis le RPKI pour vérifier l’origine. Une route Invalid peut être rejetée ; NotFound doit suivre une politique locale clairement documentée.
Les conflits doivent avoir une procédure : ordre de priorité, exception, revue humaine et retour arrière. La règle doit être connue avant l’incident.
Le routage est aussi une question de gouvernance
La qualité des deux systèmes dépend de la responsabilité sur les données et de la possibilité de corriger une erreur. Une responsabilité d’adressage mal définie fragilise même un bon contrôle technique.
NRS défend une gestion transparente des ressources, des décisions traçables et une participation réelle des opérateurs. Les outils sont plus fiables quand la gouvernance qui les alimente l’est aussi.
Les erreurs les plus fréquentes
Créer une ROA puis oublier de la modifier lors d’un changement peut rendre une annonce légitime Invalid. Déployer seulement le RPKI sans nettoyer l’IRR laisse des filtres fondés sur des informations obsolètes.
L’inventaire des préfixes, AS, ROA et objets IRR doit entrer dans le processus de changement, avec une revue périodique et une trace de décision.
Pourquoi une défense en profondeur est nécessaire
L’Internet est distribué et hétérogène. Aucun système ne peut couvrir seul tous les opérateurs et toutes les politiques. L’IRR apporte l’intention ; le RPKI apporte une vérification d’autorisation.
Cette approche exige aussi une supervision et un retour arrière. Ajouter des contrôles sans définir leurs limites crée une nouvelle illusion de sécurité.
Conclusion
Le RPKI et l’IRR traitent des faiblesses différentes. L’IRR offre du contexte mais demande de la discipline ; le RPKI fournit une preuve d’origine mais reste limité à cette question.
Ensemble, ils constituent une défense pratique. Leur efficacité dépend néanmoins de la responsabilité sur les ressources, de la qualité des données et de la capacité des opérateurs à contester les décisions qui les affectent.
Questions fréquentes
Le RPKI est-il plus sûr que l’IRR ?
Pour la validation d’origine, la signature du RPKI apporte une preuve plus forte. Elle ne remplace pas les informations de politique fournies par l’IRR.
Pourquoi l’IRR est-il encore utilisé ?
Il décrit des politiques et des relations que le RPKI ne représente pas, et reste utile là où la couverture RPKI est incomplète.
Le RPKI bloque-t-il tous les détournements BGP ?
Non. Il réduit surtout les détournements d’origine ; les manipulations de chemin, les erreurs et les préfixes non couverts demandent d’autres contrôles.
Que faire en cas de conflit entre IRR et RPKI ?
Appliquer la politique locale publiée, rejeter selon la règle prévue les routes Invalid et ouvrir une revue lorsque les données se contredisent.
Quel est le rôle de NRS ?
NRS défend une responsabilité transparente sur les ressources IP et une gouvernance à laquelle les opérateurs peuvent participer. Il ne remplace pas la décision technique locale.
Note éditoriale : vérifier les chiffres actuels
Publié le 1er janvier 2026 et mis à jour le 12 juin 2026. Les statistiques et citations de la version historique sont conservées comme contexte daté ; avant de s’y fier, consulter les RFC, l’APNIC et les registres concernés.
Comprendre avant de mandater
Commencez par distinguer IRR, ROA et ROV. NRS Shield est une voie de soutien ; une procuration de représentation est une décision séparée, écrite, limitée et révocable. La lecture de cet article ne crée aucun mandat.