Resumen

  • Los titulares de números de AS pueden crear y administrar certificados de clave de router BGPsec a través de la API RPKI del RIPE NCC.
  • La validación de una trayectoria exige equipos y sesiones que utilicen BGPsec; el registro ha abierto la parte de emisión.

El mostrador de certificados ha abierto antes de que llegue buena parte de la clientela mecánica. El ingeniero Tim Bruijnzeels anunció el 22 de octubre que el RIPE NCC ya admite la creación y gestión de certificados de clave BGPsec en su API RPKI. En el mismo mensaje reconoció que el soporte en routers físicos va por detrás y que el despliegue gradual y el rendimiento siguen planteando dificultades. El boletín del día 23 incorporó la novedad. Abrir el mostrador cambia la oferta de credenciales; la red decidirá cuánto se usan.

Según la RFC 8209, el certificado vincula la clave pública de un router con un sistema autónomo. Quien posee la clave privada correspondiente puede firmar anuncios seguros en nombre de ese AS. Otro router compatible, en una sesión BGPsec habilitada, comprueba que la cadena de AS anunciada conserve su integridad. Para autorizar el origen de una ruta están las ROA y la validación de origen; para las relaciones con proveedores, ASPA. El nuevo certificado mira el recorrido.

La guía de la API del RIPE NCC muestra acciones concretas para el titular: con una clave de API LIR autorizada para RPKI puede enviar una solicitud PKCS#10, consultar claves, recuperar certificado y cadena, y revocar una clave identificada. Un AS puede tener varias claves. Los ejemplos publicados utilizan el servidor piloto localcert.ripe.net; ese dato delimita lo que la guía demuestra sobre el acceso operativo.

El control pasa por tres manos. El registro emite; el titular del AS administra la clave y configura el router; la red vecina decide si valida en su sesión. La API resuelve una pieza que faltaba. La protección efectiva aparece cuando las otras dos piezas se conectan al certificado.