Resumen

  • LACNIC empezó a sustituir su núcleo RPKI a fines de 2022 y lo llevó a producción tras unos dos años de trabajo. Cano dice que conservar la integridad de las cachés de los validadores fue una de las tareas delicadas; algunas versiones antiguas exigían reinicio.
  • Tras adaptar el nuevo núcleo a la base de usuarios, el corte final consistió en modificar registros DNS. En 2025 Cano describió una llave maestra desconectada y tres ceremonias de firma presenciadas por testigos.

La caché no lee comunicados

El registro cambia el origen de sus objetos. Al otro extremo, un validador puede seguir mirando lo que guardó ayer. En su relato técnico, Jorge Cano pone el foco justo allí: preservar la integridad de la caché de los clientes durante la migración. LACNIC probó distintas versiones de varios validadores. En algunas versiones viejas, los operadores debían reiniciar el programa. Son instrucciones poco vistosas y decisivas para una red que consulta certificados antes de decidir qué rutas aceptar.

Cano es arquitecto de software sénior de LACNIC. Describe tres capas: núcleo criptográfico; servidor de publicación y prevalidación; y frente que entrega el material validado. Quien usa RPKI alojado en MiLACNIC crea las autorizaciones de origen, pero LACNIC administra llaves y certificados. Esa división ahorra trabajo al miembro y concentra en el registro la responsabilidad por el sistema que firma y publica.

El proyecto de reemplazo arrancó a fines de 2022. LACNIC eligió Krill, una implementación de código abierto, y dedicó el esfuerzo a adaptarla a su base de usuarios y a sus funciones de registro. Cuando el núcleo nuevo estuvo listo, el paso final fue cambiar registros DNS. Un ingeniero puede hacer ese cambio en segundos; conseguir que no sorprenda a cientos de cachés fue el trabajo de años.

La otra escena de Cano transcurre lejos del tráfico diario. Su crónica de enero de 2025 sitúa la llave maestra del ancla de confianza fuera de línea. Se activa por periodos breves para volver a firmar el certificado principal. Cano enumera tres ceremonias ya realizadas en la Casa de Internet de Uruguay, con personal de distintas áreas y testigos. Una lista de pasos registra lo ocurrido y las excepciones. La llave no gana autoridad por vivir en un armario; la gana cuando su uso deja huellas que otros pueden comprobar. LACNIC no publicó la matriz de versiones ensayadas, el documento que diría qué cachés necesitaron reinicio.