Zusammenfassung

  • LACNIC beschreibt ROAs als signierte Objekte, die Präfixe mit dem AS verbinden, das sie ankündigen darf. Gehostetes RPKI erspart Mitgliedern den Betrieb einer eigenen Zertifizierungsstelle.
  • BTW-Analyse: Operativen Wert schafft die Kontrolle erst, wenn ROAs zu BGP passen, Änderungen geprüft und Validatoren redundant betrieben werden.

Quellen: LACNIC RPKI FAQ, RPKI Best Practices, 15 Jahre RPKI und RPKI und IRR FAQ.

Ein Ursprungsnachweis ist bewusst eng

LACNIC erklärt RPKI als Public-Key-Infrastruktur, mit deren kryptografischem Material Provider das Nutzungsrecht an Internetnummern prüfen können. Eine Route Origin Authorization ordnet IP-Präfixe dem autonomen System zu, das sie in BGP originieren darf.

Das ist kein Zertifikat für den gesamten Pfad. Laut LACNIC ersetzt RPKI kein Internet Routing Registry, das etwa Richtlinien nach ASN erfasst. Der Rückblick von 2026 trennt ebenfalls die Ursprungsvalidierung von der schwierigeren Prüfung weiterer Pfadelemente.

Hosting senkt eine Betriebshürde

LACNIC unterstützt gehostetes und delegiertes RPKI. Im gehosteten Modell braucht ein Mitglied keine eigene Zertifizierungsstelle. Welche Präfixe und Ursprungs-ASNs ein ROA enthalten soll, bleibt dennoch seine Entscheidung.

BTW-Analyse: Damit bleiben registergestützte Autorisierung und Netzbetrieb getrennt. LACNIC betreibt Infrastruktur und veröffentlicht Hinweise; Ressourceninhaber verantworten korrekte ROAs, Netzbetreiber deren Wirkung auf Routingentscheidungen.

Genauigkeit verlangt Änderungsdisziplin

LACNIC empfiehlt, ROAs möglichst genau an angekündigte BGP-Präfixe anzupassen, ein zu weites maxLength zu vermeiden, Änderungen auf ungültig gewordene Routen zu prüfen und mehrere Validatoren einzusetzen. Für ROV nennt die Anleitung einen stufenweisen Weg: erst beobachten, dann markieren oder Präferenzen anpassen und ungültige Ankündigungen erst bei belastbarer Konfiguration verwerfen.

BTW-Analyse: RPKI bietet eine strukturierte Methode, autorisierte von nicht autorisierten Ursprüngen zu unterscheiden. Ihr Wert hängt jedoch von laufender Pflege, beobachtbaren Änderungen und Wiederherstellungspfaden ab. Eine veraltete oder zu weit gefasste Autorisierung kann die Kontrolle schwächen, selbst wenn jede kryptografische Signatur gültig ist.

Die Quellen belegen weder vollständige Abdeckung bei allen Mitgliedern noch, dass jedes Netz ungültige Routen verwirft. Ein gültiger Ursprung garantiert auch keine Erreichbarkeit oder Ende-zu-Ende-Sicherheit.