Кратко

  • Владельцы номеров AS могут создавать и обслуживать сертификаты ключей маршрутизаторов BGPsec через RPKI API RIPE NCC.
  • Для проверки цепочки AS нужны маршрутизаторы и соседние сеансы с поддержкой BGPsec; сертификат даёт необходимое полномочие на подпись.

У удостоверяющего стола уже можно получить ключевой документ. У стойки с маршрутизаторами оживления куда меньше. Инженер RIPE NCC Tim Bruijnzeels в объявлении от 22 октября сообщил о поддержке сертификатов BGPsec в RPKI API и прямо указал на отставание аппаратных маршрутизаторов, сложности производительности и постепенного внедрения. Октябрьское сообщение участникам повторило новость. Реестр открыл выдачу; масштаб работающих защищённых сеансов предстоит увидеть отдельно.

RFC 8209 описывает сертификат, связывающий открытый ключ маршрутизатора с номером автономной системы. Владелец соответствующего закрытого ключа может подписывать защищённые объявления от имени этой AS. На BGPsec-сеансе совместимый сосед проверяет, сохранилась ли подписанная цепочка AS. ROA и проверка происхождения отвечают за право объявлять префикс, ASPA — за отношения с провайдерами. Новый сертификат относится к подписанному пути.

В инструкции RIPE NCC по API перечислены действия держателя номера: ключ LIR с правом доступа к RPKI отправляет запрос PKCS#10, просматривает список ключей, получает сертификат с цепочкой и отзывает выбранный ключ. Одному AS разрешено иметь несколько ключей. Примеры обращаются к пилотному узлу RPKI — именно такой адрес указан в опубликованном руководстве.

Полномочия распределились по этапам. RIPE NCC выпускает сертификат, владелец AS управляет ключом и устройством, соседняя сеть включает проверку. Появление API завершает работу на первом этапе. Защита конкретного пути проявится там, где заработают следующие два.