RPKI
Resource Public Key Infrastructure — система криптографической проверки того, что автономная система вправе анонсировать данный IP-префикс в BGP. Главная защита от перехвата BGP-маршрутов, когда ложные анонсы уводят чужой трафик.
Проблема: BGP по умолчанию доверяет любым анонсам — любая АС может заявить «префикс X мой» и перехватить трафик (намеренно или случайно, как в известном случае Pakistan/YouTube). RPKI решает вопрос проверки происхождения: владелец префикса публикует подписанный ROA (Route Origin Authorization): «АС Y вправе анонсировать мой префикс X». Маршрутизаторы выполняют Route Origin Validation (ROV) — сверяют входящие анонсы с ROA и отбрасывают (или понижают в приоритете) недействительные. Ограничение: RPKI защищает только происхождение (кто анонсирует), но не весь AS-путь (атаки на путь остаются; их решает BGPsec, но он почти не внедрён). Внедрение неуклонно растёт — крупные операторы и точки обмена трафиком уже фильтруют по RPKI. Ключевой шаг к более безопасной маршрутизации в интернете. Связан с перехватом BGP и DNSSEC.