Zusammenfassung

  • RFC 9323 definiert eine signierte Prüfliste mit Hashes, mit der Inhaber von Internetressourcen digitale Objekte einer eigenen Erklärung zuordnen können.
  • RIPE NCC plante API-Unterstützung 2024, setzte die Arbeit im Jahresbericht auf „hold“ und führt sie auch im Plan für Q4 2026 nur unter Bedingungen.

Der RSC hat seit fast vier Jahren einen Standard. Die API, die ihn in den Alltag der Betreiber bringen soll, wartet noch auf einen Platz im Kalender.

Eine RPKI Signed Checklist (RSC) führt Hashes digitaler Objekte auf und wird mit bestimmten Internetnummernressourcen signiert. Die Prüfung bestätigt, dass der Inhaber dieser Ressourcen die Liste erstellt hat. RFC 9323 nennt etwa die Kontrolle von Ressourcen bei einer Bring-Your-Own-IP-Aufnahme oder einer physischen Zusammenschaltung von Netzen.

Der RSC beantwortet eine konkrete Frage: Hat der Inhaber dieser Internetnummernressourcen die Hashliste erstellt? Bei einer BYOIP-Aufnahme oder physischen Zusammenschaltung erhält das empfangende Netz damit einen überprüfbaren Nachweis für seine vorgesehenen Prüfungen.

Auch den Transport schreibt der RFC nicht vor. RSCs landen nicht im globalen RPKI-Repository; der Übertragungsweg bleibt den Implementierern überlassen. Eine Weboberfläche, signierte E-Mail oder ein anderer Kanal kommen infrage. Eine API kann Erstellung und Verwaltung erleichtern. Sie ist aber ein Zugang zu einem Dienst, nicht der Standard selbst.

Der Zeitplan von RIPE NCC zeigt die Lücke. Der Aktivitätsplan für 2024 sah vor, RSC und BGPSec zunächst per API umzusetzen und später ins RPKI-Dashboard zu integrieren. Im Jahresbericht 2024 stand die Zusage auf „hold“; RSC, BGPSec und ASPA waren für 2025 vorgesehen.

Im RPKI-Plan für das vierte Quartal 2026 ist die RSC-API weiterhin „planned“. Die Umsetzung hängt von der verfügbaren Teamkapazität und zwei anderen Arbeitspaketen ab: API-Schlüssel und OpenID Connect sowie Compliance-Arbeit mit einem ISO-27001-Audit für die gesamte Organisation und einem neuen SOC-2-Type-II-Audit. Eine Oberfläche im Dashboard kann bei ausreichender Nachfrage später folgen. Ein Lieferquartal nennt der Plan nicht; ebenso wenig weist er eine einzelne Ursache für die Verzögerung aus.

Die Lücke liegt zwischen einem fertigen Format und einem Dienst, den Betreiber in ihre Abläufe aufnehmen können. Die öffentlichen Unterlagen zählen nicht, wie viele RSCs bereits über andere Werkzeuge oder Kanäle genutzt werden. Sie zeigen jedoch, dass RFC und gehosteter Dienst nach unterschiedlichen Uhren laufen.

Für BYOIP-Aufnahmen und Zusammenschaltungen sollten Nachweis und Prüfung sichtbar im Ablauf bleiben, solange die API nur geplant ist. Eine künftige API kann Übergaben verkürzen. Sie ändert nicht, welche Ressourcen die Signatur abdeckt und wer der Geschäftspartner ist.

Der RFC ist geschrieben. Jetzt braucht es einen Termin, eine Oberfläche und Teamstunden.

Quellen