Il BGP è il protocollo con cui le grandi reti (gli AS) si dicono a vicenda "per raggiungere questi indirizzi, passate da me". Si basa sulla fiducia: storicamente, se un operatore annunciava per errore o malizia "gli IP di una banca sono miei", il traffico mondiale poteva davvero deviare da lui – è il BGP hijacking, causa di dirottamenti e blackout famosi (intere nazioni finite nel nulla per un annuncio sbagliato).
RPKI (Resource Public Key Infrastructure) aggiunge la crittografia mancante: i titolari degli indirizzi pubblicano ROA (Route Origin Authorization) firmati che dicono quale AS è autorizzato ad annunciare i loro prefissi; gli altri operatori validano e scartano gli annunci non autorizzati.
Perché ti riguarda anche se non gestisci un AS: il BGP è l'impalcatura sotto tutto, e un hijack può reindirizzare il traffico verso il tuo dominio prima ancora che il TLS e il DNSSEC facciano la loro parte. È il livello più basso e più invisibile della difesa in profondità di internet – e l'adozione di RPKI, per fortuna, ormai è maggioritaria.