AFRINIC واقتصاد مخاطر إلغاء ROA

الصباح الذي يتوقف فيه البادئة عن أن تكون روتينية

الإنذار الأول لا يقول أن السجل قد ألغى أي شيء. إنه يقول أن بادئة عميل تتصرف بشكل مختلف اعتمادًا على مكان مراقبة المسار. مركز عمليات الشبكة في نيروبي يرى جلسة عبور تقبل بادئة /22 تديرها AFRINIC من AS الأصلي القديم للعميل. فريق تكامل سحابي في جوهانسبرغ يرى نفس العميل يطلب نقل الكتلة إلى برنامج "إحضار عنوان IP الخاص بك". جامع مسارات في أوروبا لا يزال يرى المسار. خادم مسارات لنقطة تبادل يبلغ الآن عن إعلان أكثر تحديدًا خارج الإذن المتوقع. مزود أمان مُدار يرى زيادة مفاجئة في تحذيرات أصل المسار. تذكرة العميل لم تكتب بمفردات القانون المؤسسي.

تقول أن بعض المسارات تعمل والبعض الآخر لا، ولا يمكن لأحد أن يقول إذا كان التغيير خطأ، أو هجرة مخططة، أو مشكلة في نشر السجل، أو أول علامة على نزاع.

في غضون ساعة، تتسع المفردات. يطلب مزود العبور تفويض أصل مسار محدث. تسأل المنصة السحابية لماذا يغطي ROA الإجمالي ولكن ليس الأكثر تحديدًا الذي تخطط للإعلان عنه. مزود العميل القديم يقول أنه لا يزال لديه مسار صالح للخدمة الاحتياطية. تقرير مدقق من منطقة يظهر المسار كـ Invalid لأن AS الأصلي لم يعد يطابق ROA الحالي. نظام مراقبة آخر يبلغ عن NotFound لأن مخبئه لم يسترجع ROA البديل بعد. نظام ثالث لا يزال يرى العرض القديم لأن مخبأ حزته الموثوقة لم ينته صلاحيته. يسأل الفريق التجاري للعميل إذا كانت هذه مشكلة توجيه أم مشكلة أصول. الإجابة هي كليهما، وهذا هو بالضبط لماذا خطر إلغاء ROA مهم.

لا شيء في هذا السيناريو يتطلب اختطافًا خبيثًا. يمكن أن يبدأ التسلسل بعضو يزيل ROA مبكرًا جدًا أثناء هجرة سحابية. يمكن أن يبدأ بتحرير maxLength يسمح بـ /24 ولكن يترك بطريق الخطأ /25 مستخدمًا لهندسة المرور خارج النطاق المسموح. يمكن أن يبدأ بفشل نشر الشهادة أو المستودع مما يجعل ROA صالحة سابقًا تختفي من العرض القابل للاستخدام لبعض المدققين. يمكن أن يبدأ بحظر إداري لحساب عضو أثناء نزاع. يمكن أن يبدأ بتصحيح قانوني لسلطة مزيفة. يمكن أن يبدأ بانتهاء صلاحية بسيط بعد أن لم يلاحظ أحد فشل عملية التوقيع. قبل أن تُعرف السبب، قد تبدو النتيجة الاقتصادية متشابهة: تبدأ الأطراف المقابلة في معالجة كتلة العناوين على أنها أقل موثوقية.

تجعل AFRINIC السيناريو أكثر حدة لأن السجل ليس مرساة ثقة مجردة في بيئة مؤسسية هادئة. وصفت التقارير العامة أزمة طويلة تضمنت مخاوف بشأن سلامة سجلات العناوين، نزاع Cloud Innovation، تجميد الحسابات المصرفية، وضعها تحت الحراسة القضائية، انقطاع مجلس الإدارة، إلغاء الانتخابات، الاستعادة اللاحقة للمجلس، والنزاعات المستمرة. ليس الهدف أن كل مورد من AFRINIC مشبوه. الهدف هو أن الاختبار الذي يتحكم فيه السجل يصبح مشحونًا اقتصاديًا عندما تكون شرعية السجل قد تعرضت لاختبار قاسٍ بشكل مرئي. ROA محدود تقنيًا، ولكنه يُقرأ من قبل مزودي العبور، المنصات السحابية، نقاط التبادل، المشترين، المدققين، والعملاء كجزء من ملف التبعية الأوسع.

في سوق IPv4 المستنفد، الخسارة الحقيقية لحدث ROA سيء ليست فقط فقدان الحزم. إنها فقدان القبول المتوقع. البادئة التي لا يمكن التحقق منها بشكل نظيف قد تظل قابلة للوصول عبر شبكات متساهلة، ولكنها تصبح أكثر صعوبة في البيع، التأجير، الهجرة، التمويل، التأمين، الاقتناء، أو الدفاع أثناء مراجعة استمرارية العميل. حالة تحقق متنازع عليها تصبح إشارة سعر. إنها تشير للأطراف المقابلة بأن العناية الواجبة الإضافية مطلوبة قبل أن يمكن معاملة الأصل كبنية تحتية عادية.

هذه هي مشكلة الاقتصاد المؤسسي. صمم RPKI لتقليل عدم اليقين بشأن أصل المسار. تساعد ROA الشبكات على تجنب قبول المسارات التي لا تتطابق مع التفويضات الحالية. يوفر التحقق من أصل المسار للمشغلين لغة بسيطة للمخاطر. ولكن أي نظام أمني يصبح شرطًا للوصول إلى السوق يجب أيضًا أن يُحكم على عملية التصحيح الخاصة به. عندما يتغير النشر، من يتلقى إشعارًا؟ عندما يكون التغيير غير صحيح، من يمكنه تصحيحه؟ عندما يكون هناك حاجة لإجراء طارئ، كيف يتم تقييده؟ عندما يؤثر قرار السجل على المسارات المباشرة، كيف يتم جعل الاستئناف ذا معنى دون تحويل كل تذكرة إلى نزاع؟ هذه الأسئلة هي جزء من تكلفة استخدام موارد عناوين نادرة.

الاقتصاد أكثر دقة من شعار حول قوة السجل. خطر إلغاء ROA هو احتمال أن يؤدي تغيير في تفويض أصل المسار، صلاحية الشهادة، نشر المستودع، أو انتشار المدقق إلى دفع الشبكات والأطراف المقابلة إلى خفض، رفض، أو تأخير الثقة في بادئة قبل أن تتاح لحاملها المتأثر فرصة عادلة لفهم وحل المشكلة. هذا الخطر ليس سببًا لإضعاف RPKI. إنه سبب لجعل السلطة وراء RPKI محدودة، موثقة، قابلة للعكس عندما يكون ذلك ممكنًا، ومرنة في ظل الضغط المؤسسي.

ما يعنيه خطر إلغاء ROA حقًا

عبارة "إلغاء ROA" عملية، لكنها قد تكون مضللة إذا اقترحت فعلًا قانونيًا واحدًا بمحفز ونتيجة. تفويض أصل المسار هو تفويض توجيه موقع في نظام RPKI يسمح لنظام مستقل محدد بالإعلان عن بادئة IP محددة، عادةً مع طول بادئة أقصى اختياري. ثم يقارن التحقق من أصل المسار إعلان BGP المستلم بمجموعة ROA القابلة للاستخدام حاليًا. توصف نتيجة التحقق عادةً بأنها Valid أو Invalid أو NotFound. Valid يعني وجود تفويض مطابق. Invalid يعني وجود ROA للمورد ذي الصلة ولكن الإعلان يتعارض مع AS الأصلي أو حدود طول البادئة. NotFound يعني أن المدقق ليس لديه أي ROA ذي صلة للبادئة.

خطر إلغاء ROA، بالمعنى التشغيلي المستخدم هنا، يغطي عدة آليات مختلفة. الأول هو السحب الصريح: يقوم حامل أو نظام مستضاف من قبل السجل بإزالة ROA من النشر. الثاني هو الاستبدال: تغيير AS الأصلي أو تعديل maxLength يخلق حالة صالحة جديدة لبعض المسارات بينما يجعل أخرى غير صالحة. الثالث هو الإبطال عبر سلسلة الشهادات: قد تنتهي صلاحية شهادة المورد، أو يتم إلغاؤها، أو تفشل في التحقق، أو تتوقف عن تغطية مجموعة المورد بالطريقة المطلوبة من قبل ROA. الرابع هو انتهاء صلاحية ROA أو النشر القديم، عندما لا يعود ROA أو سجل مستودع ذو صلة صالحًا لأن الوقت تقدم ولم تفعل عملية التوقيع أو النشر ذلك.

الخامس هو عدم النشر: ROA الذي يجب أن يكون موجودًا لا يتم نشره في نقطة المستودع المتوقعة، أو أن البيان وحالة المستودع يجعلانه غير قابل للاستخدام للمدققين. السادس هو انتشار التخزين المؤقت: تقوم مخابئ الأطراف الموثوقة بجلب البيانات والاحتفاظ بها وتقادمها وفق جداول زمنية مختلفة، بحيث قد يظهر نفس المسار في حالات مختلفة عبر النظام البيئي للتوجيه لفترة من الوقت.

هذه الآليات ليست متساوية. سحب حامل لـ ROA عن قصد قبل تغيير مزود مخطط ليس هو نفس إلغاء سجل لشهادة بعد إثبات سلطة مزيفة. خطأ maxLength ليس هو نفس الحظر الإداري المرتبط بمحكمة. فشل المستودع ليس هو نفس عقوبة سياسية. مدقق ببيانات قديمة ليس هو نفس قرار سجل حالي. تجميعها تحت فئة تسمى "إلغاء" يحجب الحقائق التي يحتاجها المشغلون. يعتمد الاقتصاد على التصنيف لأن لكل سبب مسار تصحيح مختلف ومعيار شرعية مختلف.

يشمل الخطر أيضًا التمييز بين عدم الصلاحية الفنية وعدم الموثوقية التجارية. قد يكون المسار غير صالح تقنيًا (Invalid) لأن ROA يسمح بـ AS64500 بينما يعلن العميل عبر AS64501. إذا كان الانحراف ناتجًا عن هجرة سحابية مخططة ويمكن تصحيحه في دقائق، فإن الخطر التجاري منخفض. إذا كان الانحراف ناتجًا عن فقدان متنازع عليه لسلطة الحساب، أو إجراء شهادة، أو قرار سجل لا يمكن للحامل الاعتراض عليه، فإن الخطر التجاري أعلى. الحزمة لا تعرف الفرق، لكن السوق يعرفه.

تستحق حالة NotFound دقة مماثلة. NotFound ليس هو نفسه Invalid. العديد من الشبكات لا ترفض مسارات NotFound لأن غياب ROA قد يعني ببساطة أن الحامل لم يتبن RPKI. ومع ذلك، في السياقات عالية القيمة أو الحساسة أمنيًا، قد لا يزال NotFound إشارة سلبية. قد يسأل مزود سحابي لماذا لا يمكن لحامل يُزعم أنه ناضج نشر ROA. قد يعالج عميل حكومي NotFound على أنه وضع أمني غير مكتمل. قد يطلب مشتري ROA كشرط للإغلاق. قد يرى مقرض NotFound على أنه ثغرة في الضمان التشغيلي. وبالتالي، فإن سحب ROA الذي يحول بادئة من Valid إلى NotFound قد لا يقطع المسارات بشكل حاد مثل حالة Invalid، لكنه قد لا يزال يبطئ المعاملات ويضعف الثقة.

لذلك، يجب فهم مصطلح "سلطة الإلغاء" على نطاق واسع ولكن ليس بإهمال. إنها القوة العملية لتعديل دليل أصل المسار الذي تستخدمه الأطراف الأخرى. يمكن للحامل ممارستها عن طريق تغيير ROA الخاصة به. يمكن للسجل التأثير عليها عبر خدمات RPKI المستضافة، حالة الشهادة، الوصول إلى الحساب، بنية النشر، والتحكم في سجلات الموارد. يؤثر المدققون ومشغلو الشبكات على تأثير السوق من خلال فترات التحديث وسياسات التوجيه الخاصة بهم. يمكن لمحكمة أو مسؤول قضائي التأثير عليها بشكل غير مباشر عن طريق تحديد من يمكنه التصرف نيابة عن السجل أو حامل المورد. تحدث الصدمة عندما لا تكون هذه السلطة الموزعة مصحوبة بإجراءات واضحة.

أهمية AFRINIC ليست أن لديها تقنية RPKI ناقصة بشكل خاص. السؤال الأكثر حدة هو ما إذا كان السجل الذي عانى من اضطرابات مؤسسية شديدة يمكنه ضمان بشكل موثوق أن تغييرات أصل المسار ستبقى محدودة وموثقة وتحافظ على الخدمة حتى عندما تكون النزاعات شديدة. ROA مصممة لتقليل عدم اليقين بشأن أصل المسار. إذا كانت العملية المحيطة بالإزالة أو التعديل تخلق عدم يقين جديد حول السلطة التقديرية المؤسسية، فإن أداة الأمان تبدأ في حمل علاوة حوكمة.

التعريف الاقتصادي هو إذن: خطر إلغاء ROA هو تعرض حامل المورد، المشغل، العميل، أو الطرف المقابل لفقدان الثقة في أصل المسار بسبب سحب، استبدال، إبطال الشهادة، انتهاء الصلاحية، عدم النشر، فشل المستودع، أو انتشار غير متساوٍ لبيانات RPKI، خاصة عندما يفتقر الطرف المتأثر إلى إشعار في الوقت المناسب، أو مسار تصحيح واقعي، أو آلية تصحيح قابلة للعكس، أو استئناف موثوق به ضد الإجراءات عالية التأثير. هذا التعريف تقني بما يكفي ليكون مفيدًا وواسع بما يكفي لاستيعاب لماذا يمكن لتفويض صغير موقع أن يظهر في الميزانيات العمومية.