Resumen

  • Una respuesta en la lista de enrutamiento indicó que Ben Cartwright-Cox fue el primero en usar la nueva API de RIPE NCC para publicar un certificado de clave de router BGPsec. El repositorio de RIPE contiene un certificado emitido el 22 de octubre para el AS212232.
  • RFC 8634 marca cinco etapas: publicar el certificado nuevo, dejar que lo obtengan las cachés RPKI, cambiar la clave del router y renovar los UPDATE, revocar opcionalmente el certificado anterior y retirar la clave antigua cuando venza su validación.

El primer certificado ya salió del mostrador

BGPsec pasó del anuncio de una función a un archivo que cualquier operador puede inspeccionar. El 22 de octubre, RIPE NCC anunció que su API RPKI podía crear y gestionar certificados de router BGPsec. Horas después, una respuesta en el mismo hilo de la lista de enrutamiento felicitó a Ben Cartwright-Cox por usar la API para publicar el primero. El repositorio público de RIPE contiene un certificado de router BGPsec emitido ese día para el AS212232. Es un objeto pequeño con un siguiente paso delicado: cambiar la clave de un router activo sin hacer desaparecer la ruta firmada.

El certificado especifica su función: su uso extendido es BGPsec Router, el uso de la clave es firma digital y el recurso AS es 212232. Se emitió el 22 de octubre a las 14:43:46 UTC y vence el 1 de julio de 2027. Un certificado es la mitad pública del acuerdo; permite asociar un ASN autorizado con una clave pública. El router guarda la clave privada correspondiente. La API de RIPE NCC recibe una solicitud PKCS#10 y no pide subir esa clave privada.

La documentación pública describe las operaciones del ciclo de vida: crear una clave de router, listar las asociadas a una autoridad certificadora, consultar una, revocarla y obtener su certificado o cadena emisora. Cada LIR usa una clave de API con permiso Resource Certification (RPKI) API. La solicitud incluye ASN, un identificador BGP llamado routerId y un CSR; la autoridad asigna el identificador de la clave. La frontera de custodia queda clara: el operador conserva el secreto de firma; la CA emite y publica el certificado.

Esa frontera vuelve más interesante al primer certificado que a una nota de lanzamiento. Las firmas BGPsec acompañan el camino AS en un mensaje BGP UPDATE. Responden una pregunta distinta de las ROA o la validación de origen, que comprueban si un AS puede originar un prefijo, y de ASPA, que registra relaciones con proveedores y ayuda a detectar fugas de rutas. El certificado autoriza una clave para BGPsec. Los routers y los pares aún deben firmar y validar el camino.

La rotación necesita calendario, no reflejos

RFC 8634 organiza el cambio de clave en cinco etapas. Publicar el certificado nuevo; dejar que lo recojan las cachés RPKI de todo el mundo; cambiar el router a la nueva clave y renovar los UPDATE BGPsec salientes; revocar opcionalmente el certificado anterior si hay que invalidar mensajes firmados con la clave vieja; y, cuando venza la validación de ese certificado, anunciar la retirada de la clave mediante el protocolo RPKI-Router para que los routers eliminen las rutas firmadas con ella. La espera da tiempo a que los pares conozcan la clave pública antes de recibir firmas nuevas.

La API facilita las llamadas; no adelanta el reloj de propagación. Un registro de cambio útil uniría la publicación del certificado sustituto, su visibilidad en las cachés, el cambio de router, los UPDATE renovados y cualquier revocación opcional. La retirada final llega cuando vence la validación del certificado antiguo. Un script que salte de «crear» a «revocar» sería muy eficaz para fabricar una caída.

RIPE NCC reconoce que el soporte BGPsec en routers de hardware va rezagado y señala el despliegue gradual y el rendimiento como retos. RFC 8207 apunta que algunos equipos pueden necesitar más memoria o procesadores recientes; una implantación parcial deja islas de caminos firmados. El plan de cambio debe saber qué routers de borde firman, qué pares validan y dónde se interrumpe la cadena.

La documentación pública aún sitúa la API en el piloto RPKI de localcert.ripe.net; el repositorio guarda el certificado de AS212232, emitido el 22 de octubre. Al registro público de RIPE le falta una traza fechada de rotación que enlace la huella y la hora de publicación del certificado con el cambio de router, un UPDATE firmado renovado y la validación de pares BGPsec identificados; esa traza mostraría cuánto camino ha recorrido la API hasta el enrutamiento real.

Fuentes: anuncio y primer uso en la lista de enrutamiento de RIPE, 22 de octubre de 2026; certificado bruto de router en el repositorio de RIPE; documentación de la API BGPsec de RIPE NCC; IETF RFC 8209; IETF RFC 8205; IETF RFC 8207; IETF RFC 8634.