Summary

  • La guía de la API RPKI de RIPE NCC excluye a las autoridades de certificación de recursos PI y Legacy patrocinados, aunque sus titulares no LIR pueden usar el panel y solicitar certificados.
  • RIPE anunció una clave vinculada al inicio de sesión único, con vigencia de un año, que también permitiría usar la API a los usuarios finales. El proyecto figura en curso y no tiene fecha pública de activación para ellos.

Hay una diferencia entre ser dueño del control de una autorización de ruta y poder incorporarlo a un programa. RIPE NCC ha trazado esa línea justo en la entrada de su API RPKI.

Su documentación de la API de gestión dice que no está disponible para las autoridades de certificación de recursos PI o Legacy patrocinados. La clave actual se crea con una cuenta administradora en el portal LIR. Con ella se pueden crear ROA, consultar anuncios BGP observados para espacio certificado y configurar alertas. Un ROA expresa qué sistema autónomo está autorizado a originar un prefijo; mantenerlo mediante software permite integrar esa decisión en procedimientos repetibles. El titular patrocinado se queda con el procedimiento en pantalla.

La puerta del panel RPKI sí se abre a organizaciones no LIR con recursos patrocinados. RIPE dice que allí pueden gestionar sus ROA. Su guía general de RPKI permite a LIR patrocinadores y usuarios finales solicitar certificados de recursos PI, y a titulares Legacy solicitar certificados de sus recursos. Por eso la exclusión de la API no equivale a una prohibición de usar RPKI. Es una diferencia precisa entre dos superficies operativas del mismo servicio.

Tim Bruijnzeels, responsable de RPKI en RIPE, la expuso en la reunión RIPE 93. La clave presente, dijo, funciona esencialmente como un secreto compartido sin vencimiento y se configura en el portal LIR. Los titulares PI o Legacy con LIR patrocinador no pueden usar la API. RIPE trabaja en claves asociadas a cuentas SSO, con vida de un año; Bruijnzeels añadió que ese cambio permitirá por fin el acceso de los usuarios finales. No anunció que ya esté disponible.

El plan RPKI del cuarto trimestre registra las claves nuevas y OIDC como trabajo en curso y prevé administrarlas desde el panel. El plan de aplicaciones llama a la clave RPKI la última clave antigua que queda en el portal LIR. RIPE pretende trasladarla al panel y retirar la función de claves del portal antes de fin de año. Esa fecha se refiere al sistema viejo. La fecha en que una autoridad patrocinada podrá autenticar una petición nueva sigue sin publicarse.

La tentación institucional es contar la mudanza de la clave como final de la historia. No lo es. Una credencial que caduca al cabo de un año resuelve una parte del problema de seguridad. La otra parte consiste en especificar quién puede crearla, a qué autoridad de certificación queda vinculada y qué operaciones puede ejecutar. Sin esos detalles, la pantalla seguirá mostrando al titular una facultad que la API no le deja ejercer.

La comprobación definitiva cabe en un caso sencillo: un titular PI o Legacy crea la nueva clave para su propia autoridad, modifica un ROA por la API y puede verificar la publicación resultante. RIPE ha prometido la dirección. Falta ese recibo operativo y la fecha en que empezará a emitirse.