Resumo

  • O LACNIC descreve ROAs como objetos assinados que ligam prefixos ao AS autorizado a originá-los; o RPKI hospedado permite o uso do sistema sem que cada membro opere sua própria autoridade certificadora.
  • Análise BTW: o controle ganha valor quando os ROAs permanecem alinhados ao BGP, seus efeitos são verificados e a validação de origem é implantada com observação e redundância.

Fontes: FAQ RPKI do LACNIC, boas práticas de RPKI, quinze anos de RPKI e FAQ sobre RPKI e IRR.

Uma declaração de origem é limitada por desenho

O LACNIC explica RPKI como uma infraestrutura de chave pública que fornece material criptográfico para verificar o direito de um cliente ao uso de recursos numéricos específicos. Uma autorização de origem de rota associa prefixos IP ao sistema autônomo autorizado a originá-los no BGP.

Trata-se de um controle preciso, não de um certificado de toda a rota. O FAQ do LACNIC afirma que RPKI não substitui um Internet Routing Registry, pois o IRR preserva funções como o registro de políticas por ASN. A retrospectiva de 2026 também separa a validação de origem, objetivo inicial do sistema, da validação de outros elementos do caminho.

O serviço hospedado reduz uma barreira operacional

O LACNIC oferece RPKI nos modos hospedado e delegado. No primeiro, o membro executa tarefas do sistema sem manter uma autoridade certificadora própria. Isso reduz uma carga de infraestrutura, mas não decide quais prefixos e ASNs de origem devem constar dos ROAs.

Análise BTW: essa fronteira separa a autorização apoiada pelo registro da execução na rede. O LACNIC opera a infraestrutura e publica orientação; o titular dos recursos responde pela exatidão dos ROAs, e cada operador decide como os dados validados influenciam o roteamento.

A precisão depende de disciplina de mudança

As boas práticas do LACNIC recomendam que os ROAs correspondam ao que é anunciado no BGP e não cubram mais do que o necessário. Alertam contra um maxLength excessivamente amplo, orientam a verificar se uma mudança tornou alguma rota inválida e recomendam vários validadores para redundância.

Para uma rede que inicia ROV, a sequência proposta é cautelosa: observar os estados de validade, depois marcar anúncios ou ajustar preferências e só descartar anúncios inválidos quando houver confiança suficiente na configuração.

A sequência esclarece a lógica operacional. RPKI oferece uma forma estruturada de distinguir uma origem autorizada de outra não autorizada, mas seu valor depende de manutenção, mudanças observáveis e recuperação. Um ROA desatualizado ou amplo demais pode enfraquecer o controle mesmo com uma assinatura criptográfica válida.

O que as fontes não demonstram

As fontes não provam cobertura completa de ROAs para todos os membros do LACNIC, nem que todas as redes descartam rotas inválidas. Também não mostram que uma origem válida torna a rota alcançável ou segura de ponta a ponta. Sustentam uma conclusão mais estreita: o LACNIC oferece infraestrutura e orientação para provar e validar a autoridade de origem.