Resumo

  • Titulares de ASN já podem criar e gerenciar certificados de chave de roteador BGPsec pela API RPKI do RIPE NCC.
  • Assinar e verificar o caminho anunciado exige roteadores e sessões BGPsec, além da credencial emitida.

O balcão para pedir a chave está aberto. A fila de roteadores prontos para usá-la ainda é curta. Tim Bruijnzeels, engenheiro de RPKI do RIPE NCC, anunciou a função em 22 de outubro e apontou o atraso do suporte em hardware, as dificuldades de desempenho e as etapas de uma implantação gradual. O informe aos membros no dia seguinte reiterou a novidade. O registro resolveu a parte de emissão; o uso em caminhos reais vai depender de quem opera os equipamentos.

O RFC 8209 define o certificado que associa uma chave pública de roteador a um sistema autônomo. A chave privada correspondente permite assinar anúncios seguros em nome daquele AS. Em uma sessão BGPsec habilitada, um roteador compatível do outro lado verifica a sequência de ASes anunciada. ROAs e validação de origem respondem por quem anuncia o prefixo; ASPA trata da relação com provedores. A chave BGPsec acompanha o percurso.

Na documentação da API, o RIPE NCC descreve o ciclo sob controle do titular: uma chave de API LIR autorizada para RPKI envia a solicitação PKCS#10, lista chaves, obtém certificado e cadeia, e revoga uma chave pelo identificador. O mesmo ASN pode usar chaves diferentes. Os exemplos publicados usam o servidor piloto da RPKI, informação concreta para ler o alcance da documentação.

Agora há três decisões separadas. O RIPE NCC emite a credencial. O titular mantém a chave e configura seus roteadores. Os vizinhos habilitam sessões capazes de verificar as assinaturas. O anúncio da API conclui a primeira; a proteção do caminho será demonstrada pelas outras duas em operação.