RPKI
Resource Public Key Infrastructure: un sistema per verificare in modo crittografico che un sistema autonomo abbia davvero il diritto di annunciare un dato prefisso IP in BGP. È la principale difesa contro il BGP hijacking, in cui annunci di rotte falsi possono dirottare il traffico internet.
Il problema: BGP per impostazione predefinita si fida di tutti gli annunci. Qualsiasi AS può dichiarare «il prefisso X è mio» e dirottarne il traffico, di proposito o per errore, come nel celebre caso Pakistan/YouTube. RPKI risolve la verifica dell'origine: il titolare del prefisso pubblica una ROA (Route Origin Authorization) firmata che dice «l'AS Y può annunciare il mio prefisso X». I router eseguono la Route Origin Validation (ROV): confrontano gli annunci in arrivo con le ROA e scartano (o penalizzano) quelli non validi. Limite: RPKI protegge solo l'origine (chi annuncia), non l'intero percorso di AS (gli attacchi sul percorso restano; BGPsec li affronta, ma è quasi inutilizzato). L'adozione cresce con costanza: grandi operatori e IXP ormai filtrano in base a RPKI. Un passo centrale verso un internet più sicuro nel routing. Collegato a BGP hijacking e DNSSEC.