Netwerken en adressen
RPKI en ROA's
Ondertekende verklaringen van welk AS-nummer welke IP-prefix mag aankondigen, zodat routers gekaapte of verkeerd getypte BGP-aankondigingen kunnen laten vallen.
RPKI is een public-key-infrastructuur die door de regionale registers wordt beheerd. De houder van een IP-blok maakt een Route Origin Authorisation, een ROA, die zegt "AS 199839 mag 31.24.249.0/24 origineren met een maximale lengte van /24". De ROA is ondertekend met sleutels die terugleiden naar het register dat het blok heeft gealloceerd.
Routers halen de gevalideerde ROA's op en vergelijken BGP-aankondigingen ermee. Een aankondiging van een ander AS, of voor een langere prefix dan de ROA toestaat, is "invalid", en de meeste grote netwerken laten invalids inmiddels vallen. Dat verhindert dat de klassieke hijack, waarbij een netwerk per ongeluk of opzettelijk andermans prefix aankondigt, zich verspreidt.
Als u adresruimte houdt en aankondigt, maak dan ROA's aan voor elke prefix en elk AS dat u gebruikt, en verder niets. Een ontbrekende ROA laat u "unknown", wat nog steeds wordt geaccepteerd; een verkeerde ROA maakt uw eigen aankondiging invalid. Eindgebruikers met gesponsorde PI-ruimte maken hun ROA's aan via de sponsoring LIR.