İnternetin temel yönlendirme protokolü olan Border Gateway Protocol (BGP), doğası gereği güvenilir bir yapıya sahip değildir. Bu durum, IP adres bloklarının yanlışlıkla veya kötü niyetle ele geçirilmesine (prefix hijacking) yol açabilir. Resource Public Key Infrastructure (RPKI) ise bu sorunu, IP adres sahiplerinin hangi Otonom Sistem'in (AS) kendi ağlarını duyurabileceğini kriptografik olarak belirlemesine olanak tanıyarak çözer. Bu işlem, Route Origin Authorization (ROA) adı verilen kayıtlar aracılığıyla yapılır ve beş bölgesel internet kayıt kuruluşu (RIR) tarafından oluşturulan bir güven zincirine dayanır.
ROA'ların büyük çoğunluğu doğrudan RIR'ler tarafından yayınlanırken, bulut sağlayıcıları, ISP'ler, hobi amaçlı kullanıcılar, eğitim kurumları ve RPKIaaS (RPKI as a Service) şirketleri tarafından işletilen daha küçük, bağımsız yayın sunucuları da küresel RPKI veri setine katkıda bulunur. Bu yazıda, bu küçük sunucuları kimlerin işlettiğini ve neden böyle bir altyapı kurmayı tercih ettiklerini araştırıyoruz.
Peki RPKI neden bu kadar önemli? Herhangi bir web sitesini ziyaret ettiğinizde, veriniz düzinelerce yönlendirici üzerinden geçer. BGP, bu yönlendiricilere hangi IP adresine nasıl ulaşacaklarını söyler. Ancak BGP, ağların birbirine güvendiği bir dönemde tasarlandığından, herhangi bir ağ yanlışlıkla veya kötü niyetle bir IP bloğunu kendine aitmiş gibi duyurabilir. Bu, trafiğin yanlış yere yönlendirilmesine neden olan bir yönlendirme olayıdır. RPKI, ROA kayıtları aracılığıyla bu tür saldırıları engeller. Route Origin Validation (ROV) yapan yönlendiriciler, gelen BGP duyurularını bu kayıtlarla karşılaştırarak uyumsuz olanları reddeder.
Gelecekte Ne Bekleniyor?
Araştırmamızda 'küçük' sunucuları, 1.300'den az ROA nesnesi yayınlayan sunucular olarak tanımladık. Bu eşik, büyük oyuncular (beş RIR ve Amazon Web Services) ile geri kalanlar arasındaki doğal ayrımı yakalamak için belirlendi. Amazon'un RPKI altyapısı, farklı mimarisi nedeniyle kapsam dışı bırakıldı. Veri setimizde, Routinator API kullanılarak 23 Nisan 2026 itibarıyla 2.467 benzersiz ROA, 3.778 prefix ve 1.163 farklı AS tespit edildi. Bu sunucuların yayınladığı IPv4 prefixleri yaklaşık 698.000 adresi kapsarken, IPv6 prefixleri muazzam bir adres aralığını kapsıyor.
Peki neden birisi kendi RPKI sunucusunu işletsin? RIR'ler zaten üyelik kapsamında yayın hizmeti sunuyor. Bunun birkaç nedeni var: RPKIaaS sağlayıcıları, müşterilere tek bir REST API üzerinden yönetim kolaylığı sunar. Farklı RIR'lerden IP tahsisi olan kuruluşlar, tüm ROA'larını tek bir arayüzden güncelleyebilir. Akademik kurumlar ve meraklılar, Krill gibi açık kaynak yazılımlarla deney yapabilir. Sıkı güvenlik gereksinimleri olan kuruluşlar, yayın takvimi ve altyapı üzerinde tam kontrole sahip olur. Ayrıca, bir RPKI sunucusu işletmek, internet yönlendirme altyapısını derinlemesine anlamak için harika bir öğrenme yöntemidir.
Teknik Analiz
Sonuç olarak, küçük RPKI sunucuları, internetin yönlendirme güvenliğinde önemli bir rol oynar. RIR'lerin yanı sıra bu bağımsız sunucular, ekosisteme çeşitlilik ve esneklik katar. Gelecekte, bu sunucuların güvenilirliği ve yaygınlığı arttıkça, BGP kaynak korsanlığına karşı savunmanın daha da güçleneceğini öngörebiliriz. Eğer siz de bir RPKI sunucusu işletmeyi düşünüyorsanız, başlamak için NLnet Labs'in Krill yazılımını inceleyebilirsiniz.
Kaynak: blog.apnic.net
