Una ROA (Route Origin Authorization) es un objeto digital firmado criptográficamente que especifica qué Sistema Autónomo (AS) está autorizado para originar un prefijo IP determinado, y la longitud máxima de prefijo permitida para ese origen. Las ROA son parte de la infraestructura RPKI (Resource Public Key Infrastructure), que utiliza certificados X.509 para establecer una cadena de confianza desde las autoridades de números de Internet (IANA, RIRs) hasta los titulares de recursos IP. Su propósito principal es permitir la validación del origen de las rutas BGP, mitigando ataques como el secuestro de rutas (route hijacking) o la fuga de rutas (route leaks).
Las ROA son implementadas y gestionadas por los Registros Regionales de Internet (RIRs) y los operadores de red. Los operadores de red crean ROA para sus prefijos IP a través de los portales de sus respectivos RIRs (ej. ARIN, RIPE NCC, APNIC). Una vez creadas, estas ROA se publican en repositorios RPKI distribuidos globalmente. Los routers que soportan RPKI, como aquellos que ejecutan software de enrutamiento como BIRD, FRR (Free Range Routing) o Cisco IOS XR, descargan y validan estos repositorios para construir una base de datos de validación de origen. Esta base de datos se utiliza para evaluar la validez de los anuncios BGP recibidos, clasificándolos como 'Valid', 'Invalid' o 'Unknown' en función de si coinciden con una ROA existente y correcta.
Para un arquitecto de sistemas, comprender las ROA es fundamental en el diseño de infraestructuras de red robustas y seguras. La implementación de la validación de origen RPKI permite a las organizaciones proteger sus propios prefijos de ser secuestrados y, al mismo tiempo, filtrar anuncios BGP inválidos de otros AS. Esto reduce la superficie de ataque y mejora la resiliencia de la conectividad a Internet. La decisión de implementar RPKI implica considerar el impacto en el rendimiento del enrutamiento, la complejidad de la gestión de ROA y la interoperabilidad con otros AS. Un arquitecto debe evaluar los trade-offs entre la seguridad mejorada y la posible sobrecarga operativa, así como la necesidad de educar al equipo sobre las mejores prácticas de RPKI para evitar la creación accidental de ROA incorrectas que podrían invalidar sus propias rutas.