RPKI
Resource Public Key Infrastructure。あるASが特定のIPプレフィックスをBGPで広告する権利を本当に持つかを、暗号で検証する仕組み。偽の経路広告でトラフィックを奪うBGPハイジャックへの主要な対策である。
問題の所在：BGPは初期設定ではすべての広告を信用するため、どのASでも「プレフィックスXは自分のものだ」と主張でき、トラフィックを奪える（意図的な場合も事故の場合もあり、有名なのがパキスタンによるYouTubeの事例）。RPKIは経路の発信元の検証を担う。プレフィックスの保有者が「AS YはプレフィックスXを広告してよい」と署名したROA（Route Origin Authorization）を公開し、ルーターはROV（Route Origin Validation）で受信した広告をROAと照合して、無効なものを拒否または優先度を下げる。
限界は、守れるのは発信元（誰が広告するか）だけで、AS経路全体ではないこと。経路への攻撃は残る。これを扱うBGPsecはほとんど普及していない。採用は着実に広がり、大手事業者やIXPはすでにRPKIでフィルタしている。より安全なインターネット経路制御に向けた中心的な一歩であり、BGPハイジャックやDNSSECと関連が深い。