الخلاصة

  • أحصت لقطة RIPE RIS في 00:00 UTC عدد 91 بادئة IPv4 منشؤها AS24940؛ وقد أُنشئت صفحة rpki-client الخاصة بـAS24940 في 02:35:34 UTC في 8 أكتوبر.
  • وجدت المطابقة VRP من المصدر نفسه تسمح بطول البادئة لـ63 مساراً؛ وفي 49 منها يتجاوز حد أقصى واحد على الأقل طول المسار المرصود. العد هنا للمسارات لا لكائنات ROA الفريدة.
  • ما زال Routinator يعيد invalid_length لاختبارات /24 داخل البادئات الثلاث التي ضُيّقت، ويعيد valid لاختبار /24 داخل 78.46.0.0/15. ولا يثبت ذلك إعلاناً فعلياً أو حركة مرور أو تطبيقاً عاماً لـROV.

المسار هو وحدة تدقيق التفويض

اللقطتان من نظامين مختلفين وبينهما ساعتان و35 دقيقة: بيانات RIS عند 00:00 UTC وصفحة rpki-client عند 02:35:34 UTC. تسرد الصفحة 73 إدخال VRP لبنود IPv4 تخص AS24940؛ 53 منها تسمح ببادئة أكثر تحديداً من البادئة المسجلة، منها 52 تسمح حتى /24 وإدخال /24 واحد يسمح حتى /32. وبمطابقة تغطية البادئة والمصدر والحد الأقصى، وجدت 63 من أصل 91 مساراً VRP من المصدر نفسه يسمح بطول المسار؛ وفي 49 منها يظل الحد الأقصى أوسع من المسار الذي رصدته RIS. هذه 49 بادئة مسار، وليست 49 كائناً مستقلاً من ROA.

أما المسارات الـ28 الأخرى فلم تجد لها هذه المطابقة العابرة للقطات تفويضاً من AS24940 يسمح بطولها؛ ومن دون تحقق لكل بادئة وفي وقت متزامن لا يمكن تصنيفها unknown أو invalid_asn أو invalid_length. رقم Madory البالغ 50 يعتمد قياساً أقدم ومختلفاً؛ ولا يثبت الفرق زيادة أو انخفاضاً.

أعطى استعلام التحقق في 8 أكتوبر نتيجتين مختلفتين لـAS24940 التابعة لـHetzner Online. تحدد ROA الحالية لـ162.55.0.0/16 الحد الأقصى عند /16؛ لذلك يعيد Routinator invalid_length لـ162.55.80.0/24 الاختباري. أما 78.46.0.0/15 فما زالت تسمح حتى /24، ولذلك تظل نتيجة استعلام 78.46.0.0/24 هي valid. وتربط واجهة network-info في RIPEstat حالياً عنواناً من النطاق الثاني بالمسار /15 الذي ينشأ من AS24940.

يهم هذا الفارق لأن البادئة الأولى كانت ضمن اختطاف BGP في أغسطس ضد Softaculous، الشركة التي تقف وراء خدمة تحديث Virtualizor. وفي منشور ضيف على مدونة APNIC نُشر في 22 سبتمبر، قال محلل الإنترنت Doug Madory إن Hetzner خفّضت الحد الأقصى لـROA الخاصة بـ162.55.0.0/16 إلى /16. وأضاف أن ROA للبادئتين 213.133.96.0/19 و213.239.192.0/18 انتقلت من /24 إلى طول البادئة المطابقة، أي /19 و/18.

تتوافق اختبارات Routinator الحالية مع التغييرات الثلاثة. فـ/24 افتراضي داخل كل بادئة يُصنّف الآن invalid_length، مع حدود قصوى /16 و/19 و/18. هذه اختبارات تحقق، وليست ادعاءً بأن أيّاً من تلك البادئات /24 أُعلن فعلياً. وهي تبيّن النتيجة التي تعطيها ROA الحالية لإعلان مماثل يكون AS24940 مصدره.

هذا الحد هو ما يضبط القراءة الأمنية. تفحص صلاحية أصل المسار في RPKI تطابق البادئة المعلنة وASN المصدر مع التفويض المنشور في ROA. لكنها لا تصادق على كل قفزة في AS_PATH ولا تثبت أن المسار سليم. قد يسمح حد أقصى واسع لبادئة أكثر تحديداً باجتياز فحص الأصل عندما يُظهر المسار المصدر المصرح به. لذلك تعني valid المطابقة مع ROA، ولا تعني الثقة في المسار.

التغييرات الثلاثة ذات أثر فعلي: تضييق ROA يغيّر ما يقبله المدقق لتلك الكتلة. لكن تصحيح ثلاث بادئات لا يثبت أن لكل مسار نشط تفويضاً ضيقاً بالقدر نفسه. ينبغي أن تكون وحدة المتابعة هي المجموعة الكاملة للمسارات وROA، مع تسجيل الاستثناءات والوقت، لا عدد الكائنات التي عُدّلت فقط.

المصادر