Dans BGP, les annonces de routes étaient jusqu’ici marquées par une suite d’AS (AS_SEQUENCE) ou un ensemble d’AS non ordonné (AS_SET).
Depuis le RFC 9774, publié en mai 2025, les AS_SET et AS_CONFED_SET sont désormais interdits.
-- Objectif : déjà simplifier BGP et surtout améliorer la sécurité, notamment en facilitant la validation RPKI avec ROV - Route Origin Validation.
-> Un chemin clair = une origine de route plus fiable = moins de risques de détournement.
Pourquoi est-ce important ?
- Les AS_SET servaient lors d’agrégation de routes, mais brouillaient l’origine réelle des préfixes.
- Avec des AS_SEQUENCE obligatoires, RPKI peut valider efficacement les origines des routes.
- Désormais, tout routeur BGP qui reçoit un AS_SET doit rejeter la route : la sécurité prend le pas sur la flexibilité historique de l’agrégation.
Un changement certe discret, mais essentiel pour rendre BGP plus robuste face aux menaces d’aujourd’hui.
https://datatracker.ietf.org/doc/rfc9774/
--
In BGP, route advertisements were previously marked with a sequence of ASes (AS_SEQUENCE) or an unordered set of ASes (AS_SET).
Since RFC 9774, published in May 2025, AS_SET and AS_CONFED_SET are now prohibited.
- Objective: To simplify BGP and, above all, improve security, particularly by facilitating RPKI validation with ROV (Route Origin Validation).
-> A clear path = a more reliable route origin = less risk of route hijacking.
Why is this important?
- AS_SETs were used in route aggregation, but obscured the true origin of prefixes.
- With mandatory AS_SEQUENCEs, RPKI can effectively validate route origins.
- From now on, any BGP router receiving an AS_SET must reject the route: security takes precedence over the historical flexibility of route aggregation.
A subtle change, but one that's essential to making BGP more robust against today's threats.
