RPKI Resource Public Key Infrastructure
Resource Public Key Infrastructure — ein System zur kryptografischen Überprüfung, dass ein autonomes System tatsächlich berechtigt ist, ein bestimmtes IP-Präfix per BGP anzukündigen. Die wichtigste Verteidigung gegen BGP-Hijacking, bei dem falsche Routenankündigungen Internetverkehr kapern können.
Das Problem: BGP vertraut standardmäßig jeder Ankündigung — jedes AS kann behaupten „mir gehört Präfix X" und den Verkehr dorthin umleiten, absichtlich oder aus Versehen, wie im berüchtigten Fall Pakistan/YouTube. RPKI löst die Ursprungsprüfung: Der Präfix-Inhaber veröffentlicht eine signierte ROA (Route Origin Authorization), die besagt „AS Y darf mein Präfix X ankündigen". Router führen dann eine Route Origin Validation (ROV) durch — sie prüfen eingehende Ankündigungen gegen die ROAs und verwerfen oder degradieren ungültige. Die Einschränkung: RPKI schützt nur den Ursprung, nicht den gesamten AS-Pfad — Pfad-Angriffe bleiben möglich, wofür BGPsec gedacht ist, das aber kaum verbreitet ist. Die Nutzung ist stetig gewachsen, große Betreiber und Internetknoten filtern inzwischen nach RPKI.