ملخص

  • توفر RPKI هو خاصية شاملة من النهاية إلى النهاية. يمكن أن يكون فحص صحة الخادم أخضر بينما يتلقى المدققون الخارجيون بيانات قديمة أو غير كاملة أو غير متسقة أو غير قابلة للاستخدام تشفيريًا.
  • الانقطاع القصير لا يغير بالضرورة التحقق من التوجيه لأن المستخدمين يخزنون الكائنات التي تم التحقق منها مسبقًا. يصبح نفس الانقطاع حرجًا عندما يتجاوز البيان أو قائمة إلغاء الشهادات حقل nextUpdate الخاص به، أو تنتهي صلاحية شهادة، أو لا يصبح التغيير المطلوب مرئيًا من الخارج أبدًا.
  • تظهر الحوادث العامة فئات مختلفة من الأعطال: أبلغت APNIC عن عدم تناسق rsync في 2019 مع صحة RRDP في نفس الوقت؛ أبلغت RIPE NCC عن انتهاء صلاحية CRL بعد فشل نشر صامت في 2020، ونشر شهادة أب-ابن غير متناسق في 2021؛ أبلغت JPNIC في 2022 عن ظهور ROA كـ NotFound بعد توقف النشر لفترة كافية بمجرد انتهاء صلاحية حقول التوقيت.
  • يجب أن يقيس التزام الخدمة الموثوق عمليات الاسترداد الناجحة من شبكات مستقلة، والاكتمال لكل بروتوكول، والصحة التشفيرية، وهامش التوقيت، وتغييرات الحمولة التي تم التحقق منها، وتقارب الاسترداد، وجميع التغييرات المرتبطة في التحقق من التوجيه المرصود.
  • يتطلب تحديد السبب تسجيلًا زمنيًا من التغيير المصرح به إلى إنشاء الشهادة، والنشر، والاسترداد الخارجي، والتحقق، والتسليم إلى جهاز التوجيه، وسياسة التوجيه. بدون هذه السلسلة، يمكن للسجل والدليل المرجعي وموفر البرامج ومشغل الشبكة الإشارة إلى طبقة مختلفة.
  • لا يمكن استنتاج تأثير التوجيه من فشل الدليل المرجعي وحده. يختار المشغلون سياستهم المحلية، ويستخدمون برامج وفترات تحديث مختلفة، ويرون مسارات BGP مختلفة. يجب أن تحدد التقارير السكان الملاحظين وتترك المجهول مفتوحًا بدلاً من الادعاء بمعدل فشل عالمي.
  • يمكن لـ NRS تعزيز شرعية السجلات من خلال رعاية مجسات محايدة وحقول حوادث مشتركة ومعيار أمان خارجي قابل للتكرار. سيكون مساهمته الإيجابية جعل الادعاءات المؤسسية المحدودة قابلة للاختبار، وليس الإعلان أن كل فشل في الدليل المرجعي تسبب في خسارة العملاء.

يبدأ الانقطاع عند المستخدم، وليس في غرفة الخادم

الحدث الحاسم في RPKI ليس ضوءًا أحمر على وحدة تحكم مشغل الدليل المرجعي. إنه عدم قدرة المستخدم الخارجي على استرداد البيانات والتحقق منها التي تعتمد عليها الشبكة لاتخاذ قرارات المنشأ. قد يتزامن الحدثان لكنهما ليسا متماثلين.

يمكن لمشغل الدليل المرجعي ملاحظة عمليات صحية ومآخذ مفتوحة وطلبات محلية ناجحة بينما يواجه المستخدمون في مكان آخر أعطال DNS، أو عقد توصيل محتوى معطلة، أو تعارضات TLS، أو أشجار rsync غير مكتملة، أو عدم تناسق جلسة RRDP، أو مجموعة من الكائنات التي لم تعد توقيعاتها تشكل مسارًا صالحًا. على العكس، يمكن أن يكون الدليل المرجعي غير قابل للوصول لساعات دون تغيير العرض الذي تم التحقق منه الذي يحتفظ به المشغلون، طالما أن المواد المخزنة مؤقتًا تظل قابلة للاستخدام ولا تفوت أي تحديثات عاجلة.

هذا التمييز أكثر من مجرد دقة تقنية. غالبًا ما تعالج وثائق السياسة التوفر كخاصية لجهاز: دقائق التشغيل مقسومة على الدقائق في الشهر. RPKI هي خدمة نشر مضمنة في قرار أمني موزع. مخرجاتها القابلة للاستخدام هي مجموعة من الادعاءات التي تم التحقق منها، وليس صفحة ويب تستجيب. المقياس الذي ينتهي عند حافة الدليل المرجعي يقيس إذن قدرة المشغل على خدمة نفسه، وليس قدرة المستخدم على الاعتماد عليه.

السؤال الصحيح يمكن ملاحظته من الخارج: هل تمكن مستخدم، في وقت معين، من شبكة معينة، باستخدام بروتوكول معين وإصدار مدقق معين، من استرداد المواد الكاملة المطلوبة لمسار شهادة معين، والتحقق منها وفقًا للمعايير السارية، وإنتاج الحمولات المتوقعة التي تم التحقق منها قبل استنفاد هوامش التوقيت؟

هذا السؤال أطول من "هل كان الخادم متصلاً بالإنترنت؟" لأن الخدمة أطول. كما يوزع المسؤولية بشكل أكثر إنصافًا. يمكنه تحديد فشل من جانب الدليل المرجعي، أو مشكلة وصول خاصة بالمسار، أو خطأ في المدقق، أو ذاكرة تخزين مؤقت محلية قديمة، أو تأخير في التسليم إلى جهاز التوجيه، دون الادعاء أن الخمسة جميعها حدث واحد.

نشر RPKI هو سلسلة من التبعيات الزمنية

يمنح RPKI المشغلين القدرة على تقييم ما إذا كان النظام المستقل مخولاً للإعلان عن بادئة. يقوم مالك المورد بإنشاء تصريح منشأ. تربط الشهادات موارد الأرقام ذات الصلة في مسار شهادة. تنشر الدلائل المرجعية الشهادات وROA والبيانات وقوائم إلغاء الشهادات. يسترد برنامج المستخدم هذه الكائنات ويتحقق منها، وينتج حمولات تم التحقق منها، ويتم تسليمها إلى أنظمة التوجيه، عادةً عبر بروتوكول RPKI-to-Router. يطبق جهاز التوجيه السياسة المحلية على إعلانات BGP المصنفة على أنها صالحة أو غير صالحة أو غير موجودة.

كل فعل في هذا التسلسل له حد فشل خاص به. يمكن للمالك تقديم منشأ خاطئ أو طول أقصى خاطئ. يمكن لخدمة التصديق إصدار شهادة غير متسقة. يمكن لخدمة النشر أن تفشل في عرض تغيير مكتمل. يمكن أن يعمل بروتوكول وصول بينما يفشل آخر. يمكن للمستخدم رفض الكثير، أو الاحتفاظ بالقليل جدًا، أو التحديث ببطء شديد. يمكن لجلسة RTR التوقف عن نقل مجموعة حالية. يمكن لجهاز التوجيه استلام المجموعة وتطبيق سياسة غير متوقعة. يمكن تصفية مسار من قبل شبكة وقبوله من قبل أخرى.

الدليل المرجعي مركزي لأن جميع المستخدمين يحتاجون إلى عرض نشر قابل للاسترداد، لكنه ليس جهاز توجيه ولا يأمر باستجابة عالمية. RFC 7115 يجعل سياسة التوجيه محلية. هذا يحد من ما يمكن أن يدعيه تقرير الدليل المرجعي بصدق. يمكنه تحديد أن الكائنات لم تكن متاحة أو صالحة، وأن حمولات معينة تم التحقق منها اختفت تحت برنامج محدد، وأن المسارات المرصودة في نقاط مراقبة مختارة غيرت حالتها. لا يمكنه استنتاج سياسة كل مشغل أو وصول كل عميل من هذه الحقائق وحدها.

الوقت يربط الطبقات. انقطاع لمدة عشر دقائق بهامش توقيت كبير يختلف عن انقطاع لمدة عشر دقائق يتجاوز nextUpdate للبيان. تأخر ROA جديد يختلف عن اختفاء ROA صالح سابقًا. ذاكرة تخزين مؤقت تحمي الاستمرارية لمدقق قد تكون مفقودة لآخر أو على وشك الانتهاء. لذلك يجب التعبير عن جودة الخدمة كسلسلة من الأدلة الزمنية، وليس كمدة واحدة.

وقت التشغيل الداخلي ضروري وغير كافٍ بشكل جذري

المراقبة التقليدية للتوفر تسأل ما إذا كان المضيف أو التطبيق يستجيب. يبقى ذلك مفيدًا. يجب أن يعرف المشغل ما إذا كانت الخوادم الأصلية والتخزين وخدمات التوقيع وعمال النشر وDNS وإنهاء TLS وعقد التوزيع صحية. لكن الفحص الداخلي لديه ثلاث نقاط عمياء هيكلية.

أولاً، يبدأ عادةً داخل أو بالقرب من شبكة المزود. قد يتجاوز محلل DNS ومسار الند-for-Peer وعائلة العناوين وعقدة توصيل المحتوى أو التحكم في الوصول الذي يواجهه المدقق الخارجي. طلب ناجح من نفس المنشأة يثبت القليل عن الوصول من أفريقيا أو آسيا أو أوروبا أو الأمريكتين.

ثانيًا، يميل إلى اختبار النقل وليس المحتوى. قد يقدم رمز HTTP 200 ملف إشعار RRDP قديمًا. قد يستجيب خفيض rsync بينما يعرض شجرة محدثة جزئيًا. قد يكون الملف موجودًا ولكنه مفقود من البيان الحالي، أو مدرجًا بتجزئة خاطئة، أو موقعًا تحت سلسلة غير صالحة، أو مرتبطًا بقائمة إلغاء منتهية الصلاحية. الخادم حي؛ الادعاء غير قابل للاستخدام.

ثالثًا، غالبًا ما تعرف المراقبة الداخلية أنه تمت محاولة نشر، لكن لا تعرف ما إذا كان المستخدمون المستقلون قد تلقوه. قد تحدد قائمة انتظار مهمة كمكتملة عندما تصل البيانات إلى دليل أصلي، حتى لو احتفظت طبقة التوزيع بالعرض السابق. الفرق بين النشر المحاول والنشر المرئي خارجيًا هو بالضبط النقطة التي يجب أن ينظر إليها ضمان الخدمة.

معيار خارجي قابل للتكرار لا يرفض تليمترية المزود. يضعها في مكانها الصحيح. الأدلة الداخلية تشرح السبب وتسرع الإصلاح. الأدلة الخارجية تحدد الحالة المرئية للمستخدم. يجب أن يتطلب التزام الخدمة كليهما وتحديد كيفية حل الخلافات. إذا قالت الفحوصات الداخلية "صحي" بينما فشلت مدققات خارجية مختلفة دلاليًا، فإن الخدمة متدهورة حتى يتم توضيح التناقض.

المخازن المؤقتة تحول انقطاعًا بسيطًا إلى سباق تشفيري مع الزمن

تم تصميم RPKI مع التخزين المؤقت المحلي لأنه لا يمكن افتراض أن الدلائل المرجعية ومسارات الشبكة متاحة بشكل دائم. توصي RFC 8182 المستخدمين بالاحتفاظ بالكائنات القديمة، وتوصي RFC 9286 بمواصلة استخدام الكائنات المخزنة مؤقتًا المرتبطة باسترداد فاشل حتى تصبح قديمة أو يمكن استبدالها بنجاح. هذه وظيفة استمرارية مهمة. وهو أيضًا السبب في أن وقت التوقف الخام هو وصف ضعيف للمخاطرة.

في بداية الانقطاع، قد يكون لدى مستخدمين اثنين حالات ذاكرة تخزين مؤقت مختلفة ولكن صالحة. أحدهما قام بالتحديث قبل لحظات؛ الآخر يقترب من استرداده المقرر التالي. تختلف هوامش التوقيت المتبقية لديهما. إذا تم استعادة الدليل المرجعي بسرعة، يمكن لكليهما الاستمرار في إنتاج نفس الحمولات التي تم التحقق منها. إذا حدثت الاستعادة بعد الحدود الزمنية ذات الصلة، قد يفقد أحدهما الكائنات في وقت أبكر من الآخر. قد يتبع تنفيذ ثالث سياسة محلية مختلفة للمواد القديمة.

إذن للحادث ثلاث ساعات على الأقل. الأولى تقيس فشل الاسترداد الخارجي. الثانية تقيس هامش التوقيت لكل فرع شهادة متأثر. الثالثة تقيس متى يتغير الإخراج الذي تم التحقق منه فعليًا. تقارير السياسة تنشر عادةً الأولى فقط، إن وجدت. لكن الثانية تحدد الإلحاح والثالثة تحدد العواقب على خدمة الأمان.

يمكن للتخزين المؤقت أيضًا إخفاء تحديث فاشل. تظل الكائنات الموجودة صالحة، لذا يبدو التحقق العام مستقرًا، لكن تصحيحًا تم إنشاؤه حديثًا من قبل مالك مفقود. إذا كان التغيير المفقود يهدف إلى تفويض ترحيل أو إصلاح حالة غير صالحة عرضية، فإن الاستمرارية للمواد القديمة لا تعني أن الخدمة كانت متاحة للمالك المتأثر. توفر القراءة وتوفر نشر التغييرات يحتاجان إلى مقاييس منفصلة.

يسجل التقرير الهادف هذه الساعات معًا. يحدد متى فشلت عمليات الاسترداد المستقلة أولاً، وأقل وقت لوحظ حتى انتهاء الصلاحية أو التقادم ذي الصلة، ومتى توقفت التغييرات المتوقعة عن الظهور، ومتى غير المدققون مخرجاتهم، ومتى تقاربت نسبة محددة من المجسات نحو الاستعادة. يظهر هذا السرد ما إذا كانت مرونة ذاكرة التخزين المؤقت قد عملت ومدى قرب النظام من تجنب عواقب أكثر خطورة.

البيانات وقوائم الإلغاء تجعل التوفر الدلالي قابلاً للاختبار

دليل مرجعي RPKI ليس مجرد دليل للملفات الموقعة. تسرد البيانات الكائنات الموقعة المرتبطة بسلطة التصديق وتحتوي على تجزئات. تساعد المستخدمين على اكتشاف الحذف والاستبدال والعروض غير الكاملة. تحدد قوائم إلغاء الشهادات الشهادات الملغاة. حقول الوقت الخاصة بها تخلق توقعات توقيت مرئية خارجيًا.

توفر RFC 9286 أساسًا مفيدًا بشكل غير عادي لقياس الخدمة. يجب على المستخدم استرداد البيان المحدد بواسطة الشهادة، والتحقق من أن الوقت الحالي يقع ضمن فاصل البيان، والحصول على كل ملف مدرج، والتحقق من كل تجزئة. بيان غير صالح أو قديم، أو ملف مدرج مفقود، أو تعارض تجزئة هو استرداد فاشل. يجب على المستخدم الاستمرار في استخدام الإصدارات المخزنة مؤقتًا المقابلة حتى تصبح قديمة أو يحل محلها استرداد ناجح.

هذا يعني أن المراقب الخارجي لا يحتاج إلى الوثوق بادعاء المشغل بأن النشر كامل. يمكن للمراقب مطابقة المخزون الموقع مع الملفات المستردة. يمكنه تسجيل سلطة التصديق الدقيقة حيث توقف التحقق، والسبب، والبروتوكول، وهامش ذاكرة التخزين المؤقت المتبقي. تكرار هذا الاختبار من شبكات مستقلة ينشئ سجلاً للتوفر قابلاً للتحقق.

نفس الطريقة تتجنب المبالغة. الفرع الفاشل لا يجعل تلقائيًا الفروع غير المرتبطة غير صالحة. نقطة نشر مفوضة غير متاحة لا ينبغي الإبلاغ عنها كدليل على اختفاء كل كائن تحت مرسى ثقة إقليمي. يجب تقييد النتائج بسلطة التصديق والكائنات والمدققين المتأثرين. التصنيفات الواسعة جدًا تحجب كل من التقنية والمسؤولية.

القياس الدلالي يمنع أيضًا الخطأ المعاكس: معاملة نقطة وصول قابلة للوصول كدليل مرجعي صحي بينما فشلت حقول الوقت أو اتساق الكائن بالفعل. في RPKI، فحوصات السلامة جزء من التوفر لأن الملف الذي لا يمكن الاعتماد عليه بشكل آمن ليس الخدمة الموعودة.

انقطاع JPNIC 2020 يظهر لماذا وقت التوقف المنتهي ليس التأثير

أبلغت JPNIC أن ROAWeb والدليل المرجعي RPKI الخاص بها لم يكونا متاحين من 15 مايو 23:29 إلى 16 مايو 2020 10:01 بتوقيت اليابان بعد انقطاع كهرباء متعلق بالأجهزة. لم يتمكن المستخدمون من إنشاء أو حذف ROA، ولم تتمكن الأطراف الخارجية من تنزيل الشهادات و ROA وملفات أخرى. كان ذلك بوضوح انقطاعًا في الخدمة.

ومع ذلك، أبلغت JPNIC أيضًا أن نتائج التحقق لم تتغير بناءً على ROA التي تم تنزيلها مسبقًا لأن صلاحية الشهادات وقيم nextUpdate لقائمة الإلغاء والبيان لم يتم تجاوزها. هذا هو التمييز الذي يجب أن يحافظ عليه التزام الخدمة الخارجي. انهارت نقطة النشر لمدة عشر ساعات ونصف تقريبًا، لكن وظيفة التحقق المخزنة مؤقتًا، كما هو موصوف في الإشعار، استمرت للكائنات والمستخدمين في ظل الظروف المحددة.

الحدث كان مهمًا مع ذلك. فقد المالكون مؤقتًا القدرة على إجراء تغييرات. لم يتمكن تفويض جديد مطلوب أو إلغاء من الحدوث. المدققون الذين ليس لديهم ذاكرة تخزين مؤقت سابقة ذات صلة أو بشرط محلي مختلف ربما لم تكن لديهم نفس الاستمرارية. لم يحدد الإشعار العام حالة كل مستخدم أو وصول كل مسار. قدم ادعاءًا محدودًا ودقيقًا تقنيًا حول المحتوى المنشور غير المتغير وهوامش التوقيت غير المستنفدة.

هذا أفضل من وصف الحدث بأنه غير ضار أو كارثي. المقياس المصمم جيدًا سيقوم بالإبلاغ عن عدم توفر منفصل للإجراءات الإدارية وعمليات استرداد النشر، ثم تغيير صفري ملحوظ في الإخراج الذي تم التحقق منه في ظل حالات ذاكرة التخزين المؤقت المختبرة. سيكشف عن المجسات وفروع الكائنات والمدققين المستخدمة للوصول إلى هذا الاستنتاج.

الدرس إيجابي. يمكن للوقت التشفيري والتخزين المؤقت اعتراض فشل الدليل المرجعي كما هو مقصود. يجب أن تكافئ السياسة هذه المرونة مع تسجيل خدمة التغيير المرفوضة. لا ينبغي للمزمن أن يفقد رصيد التوفر لاستمرارية التوجيه، لكن لا ينبغي له أيضًا الحصول على رصيد كامل بينما لم يتمكن المالكون من إجراء تحديث ضروري.

حدث APNIC 2019 يظهر لماذا يحتاج كل بروتوكول وصول إلى نتيجته الخاصة

يصف إعلان خدمة APNIC ليوم 13 ديسمبر 2019 انقطاعًا جزئيًا لمدة عشرين دقيقة في RPKI. كانت حالة دليل rsync المرجعي غير مكتملة، وتم نشر بيان قديم وملغى، مما جعل مجموعة من الشهادات و ROA غير صالحة. المدققون الذين يستخدمون RRDP لم يتأثروا واستمروا في رؤية الصلاحية الكاملة.

إذن حادث واحد أنتج واقعين خارجيين مختلفين ماديًا. مراقب اختبر RRDP فقط كان سيبلغ عن نجاح. مراقب اختبر rsync فقط كان سيكتشف خطأً دلاليًا. التجميع على مستوى الخادم كان يمكن أن يحسب متوسط كلاهما إلى نسبة مئوية مريحة مع إخفاء أن المستخدمين لطريقة موحدة تلقوا عرضًا غير قابل للاستخدام.

تنوع البروتوكول يمكن أن يوفر مرونة فقط إذا حافظت القياسات على التمييز. تشمل المؤشرات ذات الصلة استرداد إشعار RRDP، وسلامة اللقطة والدلتا، وتقدم الجلسة والسلسلة، ووصول rsync، واكتمال الشجرة، وما إذا كان قد حدث تجاوز الفشل عندما فشلت الطريقة المفضلة. يجب على المزمن أيضًا الكشف عما إذا كانت كلتا الطريقتين تشاركان منشأ مشتركًا أو نظام تخزين أو مسار شبكة أو عملية تحديث، لأن طرق الوصول الاسمية المنفصلة يمكن أن يكون لها وضع فشل مشترك.

سلوك المستخدم ينتمي إلى التقرير. تسمح RFC 8182 بآليات وصول بديلة عندما يواجه RRDP مشاكل، لكن تجاوز الفشل المكون أو المنفذ ليس مضمونًا للعمل في كل نشر. وجدت دراسة المستخدم لعام 2020 سلوك استرداد غير متسق في ظل ظروفها التجريبية. هذه النتائج جاءت من مجموعة محدودة من سلطات التصديق والاختبارات المرصودة؛ إنها ليست مقامًا لجميع المدققين الحاليين. تظهر لماذا يجب على مشغلي النشر اختبار سلوك العميل الفعلي بدلاً من استنتاجه من تصميم البروتوكول.

لا ينبغي أبدًا للالتزام الخارجي نشر رقم واحد لتوفر RPKI دون تحليل حسب البروتوكول. إذا قدمت طريقة عرضًا صالحًا تمامًا وأخرى لا، فإن الخدمة مرنة لبعض المستخدمين ومتدهورة لآخرين. كلا الحقيقتين تنتميان إلى العنوان.

انقطاع RIPE NCC 2020 يظهر خطر فشل النشر الصامت

في فبراير 2020، أبلغت RIPE NCC أن مشكلة في القرص منعت ROA المنشأة أو المعدلة أو المحذوفة حديثًا من الوصول إلى خادم النشر الخاص بها. حدد الإشعار 176 تغييرًا من هذا القبيل. تم الاحتفاظ بالمعلومات المتأثرة في مكان آخر، لكن النشر لم يحدث، ولم يبلغ القرص عن مشكلة من شأنها أن تنبه المهندسين.

كان ذلك فشلاً حتى قبل انتهاء صلاحية أي كائن تشفيري. تباعد إجراء المالك والحالة المرئية خارجيًا. يمكن للمستخدم أن يعتقد بشكل معقول أن التغيير قد تم قبوله بينما استمر المستخدمون في استرداد الحالة القديمة. فشلت الخدمة على مستوى تأكيد النشر، على الرغم من استمرار تسليم الملفات.

ثم تجاوز الحدث حدًا ثانيًا. أبلغت RIPE NCC أن قائمة الإلغاء قد انتهت صلاحيتها، وبعد ذلك انتهت صلاحية الكائنات الأساسية أيضًا. ظهرت الحالة غير الطبيعية بشكل مختلف اعتمادًا على برنامج المستخدم. تطلب الإصلاح أكثر من إصلاح مشكلة القرص؛ قامت المنظمة في النهاية بتبديل مفاتيح سلطة التصديق بالكامل قبل العثور على الحل.

يتجاهل وقت التشغيل التقليدي كل من المرحلة الصامتة والهاوية الدلالية. كان الاختبار الخارجي القابل للتكرار سيقارن مرجع التغيير المقبول، موقعًا أو قابلًا للتحقق بطريقة أخرى، مع النشر المرصود، ويتتبع هامش توقيت قائمة الإلغاء، وينبه عندما يتوقف عرض الدليل المرجعي عن التقدم. ثم كان المدققون المستقلون سيظهرون كيف أثر الفرع المنتهي على المخرجات تحت الإصدارات المسماة.

يظهر الحادث أيضًا لماذا اكتشاف الحالة جزء من جودة الخدمة. بدأ الفشل يوم سبت، أصبحت قائمة الإلغاء قديمة يوم الأحد، وأفادت المنظمة أنه تم إخطارها يوم الاثنين. يمكن مراقبة الدليل المرجعي باستمرار ومع ذلك يكون أعمى تشغيليًا إذا كانت فحوصاته لا تتحقق من أن الحالة الموثوقة الجديدة موجودة خارجيًا.

لا ينبغي للسياسة أن تسأل فقط عن مدى سرعة إصلاح المهندسين لحدث معروف، ولكن أيضًا عن المدة التي كانت فيها الخدمة خاطئة قبل أن يعرف أحد عنها. متوسط وقت الكشف الخارجي هو مؤشر RPKI من الدرجة الأولى.

حادث RIPE NCC 2021 يظهر أن الاكتمال يمكن أن يفشل فقط لبعض المدققين

في 7 يناير 2021، تسبب نقل موارد صادر في قيام نظام RIPE NCC بنشر شهادة أب محدثة قبل شهادة الابن المرتبطة بها. خلال الفاصل غير المتسق، ادعى الابن موارد لم تعد موجودة عند الأب. أبلغت المنظمة أن تطبيقات المستخدم الأقدم التي تستخدم تفسيرًا صارمًا للبيان رفضت جميع الشهادات المدرجة في البيان إذا كان أحد الإدخالات غير صالح.

إذن نفس الحالة المنشورة أنتجت نتائج مختلفة اعتمادًا على إصدار البرنامج. قدرت RIPE NCC من سجلات الوصول أن 327 مثيل مستخدم تأثر، وحذرت من أن الحادث كان يمكن أن يؤدي إلى أعطال. لم تدعي أن 327 شبكة فقدت الوصول، ناهيك عن أن كل مسار تحت مرسى الثقة فشل. هذا التحفظ مهم: عدد المثيلات ليس عدد الشبكات، والشهادات المرفوضة ليست مقامًا عالميًا لتأثير العميل.

يكشف الحدث عن ضعف في تقارير السياسة التي تستخدم مدققًا مرجعيًا واحدًا. يتطور التوافق. تفسر التطبيقات الحالات الصعبة بشكل مختلف، ويتم إصلاح الأخطاء، ويقوم المشغلون بالتحديث بسرعات مختلفة. يمكن للدليل المرجعي أن ينجح مع أحدث تطبيق بينما يكون له عواقب وخيمة على مجموعة أقدم منتشرة.

يجب أن تحتفظ المراقبة الخارجية بلوحة توافق مكشوفة للمدققين المدعومين والمنتشرين فعليًا. يجب أن تسجل الاختلافات في المخرجات على مستوى فرع الشهادة والحمولة التي تم التحقق منها. اللوحة ليست تصويتًا على الامتثال للمعيار؛ يجب تحديد التنفيذ غير المتوافق على هذا النحو. إنها مقياس للتعرض التشغيلي المتوقع أثناء انتشار التحديثات.

تشير العلاجات التي اقترحتها RIPE NCC أيضًا إلى المقياس الصحيح. سعت إلى نشر ذري ونوافذ عدم تناسق أقصر. يجب أن يقيس هدف الخدمة الذرية الملحوظة خارجيًا: لا يجب أن يسترد أي مسبار حالة أب وابن لا يمكن التحقق منها معًا. هذا أكثر معنى من قياس مدى سرعة إكمال مهمتي تحديث داخليتين.

### حدث JPNIC 2022 يظهر التحول المتأخر من صالح إلى غير موجود

أبلغ إشعار JPNIC لشهر فبراير 2022 أن سجل وصول متزايد ملأ قرص خادم الدليل المرجعي بين 26 يناير و2 فبراير. لم تتمكن عملية النشر من تحديث حقول nextUpdate في قوائم الإلغاء أو البيانات. بمجرد تجاوز هذه الحقول، لم يعد بالإمكان التحقق من ROA المرتبطة من قبل العملاء، وتم رؤية المسارات التي تغطيها على أنها غير موجودة.

هذا التسلسل مهم. لم تنقل الخدمة المسارات بالضرورة مباشرة من صالح إلى غير صالح. أزالت أدلة التفويض القابلة للاستخدام وأنتجت غير موجود لرؤية التحقق المتأثرة. تقبل العديد من سياسات التشغيل غير موجود، غالبًا بأفضلية مختلفة عن صالح. يمكن أن تكون النتيجة الأمنية فقدان الحماية، وليس فقدانًا فوريًا للوصول. التقرير الذي يصف كل ROA مفقودة كفشل توجيه يخلط هذه النتائج.

استمر الحدث لفترة كافية حتى استنفدت استمرارية ذاكرة التخزين المؤقت. كان مقياس التوفر الذي يعتمد فقط على اتصال TCP ناجح مضللاً بشكل خاص إذا كان الخادم لا يزال يستجيب بينما توقف توقيت النشر. الإنذار المفيد كان الوقت المتناقص حتى nextUpdate مقترنًا بملاحظة عدم ظهور بيان جديد وقائمة إلغاء جديدة.

قالت JPNIC أيضًا أن مستخدمًا مختصًا قد أبلغ عن المشكلة. هذه الحقيقة تدعم إصلاحًا مؤسسيًا: يجب أن يكون لدى المراقبين المستقلين قناة محددة وموثقة ومأهولة باستمرار إلى عملية الدليل المرجعي. لا ينبغي أن يعتمد الكشف الخارجي على قيام متخصص بملاحظة شذوذ والعثور على جهة الاتصال الصحيحة.

يجب أن يحدد تقرير لهذه الفئة من الأحداث للكمية المقاسة متى توقف كل ROA متأثر عن إنتاج حمولة تم التحقق منها، والمسارات التي تحولت من صالح إلى غير موجود في نقاط مراقبة BGP مختارة، وما إذا كان المشغلون قد أبلغوا عن عواقب سياسية أو متعلقة بالعميل. إذا لم تكن بيانات العميل متاحة، فيجب أن تظل غير متاحة بدلاً من استنتاجها من عدد ROA.

### انقطاع ARIN 2022 يظهر قيمة وحدود تكرار النقل

أبلغت ARIN عن تدهور خدمة RRDP لمدة تسعين دقيقة في 11 أغسطس 2022 بعد أن قام تغيير في التكوين بتثبيت شهادات غير متطابقة على بعض عُقد الخدمة. أزالت المنظمة العقد المتأثرة من تدوير DNS، واستعادت الشهادات المطابقة، وأعادت تشغيل توليد الدليل المرجعي. بقيت خدمة rsync تعمل خلال ذلك، بينما تأخر نشر 6 ROA.

هذه حالة مفيدة من المرونة الجزئية. بقيت طريقة النشر البديلة متاحة، وأشار المزمن إلى عدد محدود من التغييرات المتأخرة. لكن لا يترتب على ذلك أن كل مستخدم تلقى هذه التغييرات من خلال تجاوز الفشل. قد يفضل المشغلون RRDP، أو يطبقون خطط إعادة المحاولة، أو ليس لديهم تجاوز فشل فعال، أو لديهم مسارات شبكة تصل إلى خدمة بشكل مختلف عن الأخرى.

لوحة القيادة الصحيحة ستظهر الاسترداد الناجح لكل بروتوكول ونقطة مراقبة، ومحاولات ونتائج تجاوز الفشل، وتأخر النشر لـ 6 ROA المتأثرة، وتقارب الإخراج الذي تم التحقق منه بعد الإصلاح. سيميز أيضًا الحالة الحالية للدليل المرجعي العام من التوقف المؤقت في توليد حالات جديدة. التوفر للمشغل مع ذاكرة تخزين مؤقت حديثة لم يكن متطابقًا مع التوفر للمالك الذي ينتظر أحد ROA المتأخرة.

التكرار يستحق التقدير فقط إذا تم ممارسته بشكل مستقل. عنوانين URL يتم خدمتهما من نفس مجموعة العقد غير المهيأة ليسا فحصين. RRDP و rsync مع أوضاع فشل منفصلة يمكن أن يحسنا الاستمرارية، لكن يجب على المزمن إثبات أن المدققين يمكنهم استخدام المسار الناجي قبل انتهاء هامش التوقيت. التمارين المخطط لها، مثل إيقاف تشغيل طريقة بشكل مسيطر عليه، يمكن أن تكشف ما إذا كان تجاوز الفشل يعمل دون انتظار حالة طارئة.

هنا تتفوق الاختبارات الخارجية على مخططات الهندسة المعمارية. تظهر المسار الذي سلكه العملاء فعليًا، والعرض الذي تحققوا منه بالفعل، والوقت الذي أصبحت فيه الادعاءات المتأخرة قابلة للاستخدام.

### التزام الخدمة للدلائل المرجعية يحتاج إلى أربعة أهداف خدمة منفصلة

الهدف الأول هو توفر الاسترداد. هل يمكن للمستخدم من نقاط مراقبة مستقلة حل اسم الدليل المرجعي، والاتصال عبر عائلة العناوين المدعومة، والتفاوض على النقل المطلوب، واسترداد مواد RRDP أو rsync؟ يجب تحليل النتائج حسب البروتوكول وإصدار IP والمنطقة ومزمن الشبكة. لا ينبغي للمتوسط الشهري إخفاء فشل كامل لمجموعة.

الثاني هو التوفر الدلالي. هل يحتوي العرض المسترد على بيان حالي صالح، والكائنات المدرجة مع تجزئات مطابقة، وقائمة إلغاء قابلة للاستخدام، ومسار شهادة صالح؟ هل يمكن للمدقق إنتاج مجموعة الحمولات المتوقعة دون رفض فرع غير مرتبط؟ هذا الهدف يحول الصحة التشفيرية إلى مقياس خدمة.

الثالث هو توقيت النشر. ما هي المدة بعد قبول إجراء مصرح به حتى تلاحظ المجسات المستقلة الكائن الجديد وتنتج تغيير الحمولة المقابل؟ يغطي هذا الهدف الإنشاء والتعديل والإلغاء والنقل والتصحيح الطارئ. يتطلب مرجعًا يحمي الخصوصية يمكن للمدقق من خلاله مطابقة الإجراء مع النشر دون الكشف عن أسرار الحساب.

الرابع هو تقارب الاسترداد. ما هي المدة بعد الإصلاح حتى تصل لوحة محددة من المدققين المستقلين إلى نفس العرض الحالي وتتلقاه أنظمة التوجيه؟ الدليل المرجعي الذي تم إصلاحه عند المصدر لكنه قديم عند عقد التوزيع لم يتعاف بالكامل. نفس الشيء ينطبق على دليل مرجعي ملفاته حديثة بينما جلسات RTR لا تزال تسلم مجموعة قديمة من الحمولات.

كل هدف يحتاج إلى مقام صريح. يمكن للاسترداد استخدام محاولات المجسات المقررة. يمكن للتوفر الدلالي استخدام فروع الشهادات التي يجب أن تكون حديثة. يمكن لتوقيت النشر استخدام الإجراءات المقبولة المؤهلة للنشر الفوري. يمكن للاسترداد استخدام المجسات النشطة ذات الحالة المعروفة قبل الحادث. خلط هذه المجموعات ينتج نسبة مئوية جذابة لكنها لا معنى لها.

نموذج الأهداف الأربعة يدعم أيضًا تخصيص السبب العادل. يمكن للدليل المرجعي أن يفي بالاسترداد لكنه يفشل في السلامة الدلالية، أو يفي بكليهما بينما يظل التغيير الذي طلبه المالك معيبًا. يمكن للمشغلين والجهات التنظيمية رؤية أي وعد فشل بالضبط.

المجسات المستقلة يجب أن تكون متنوعة بما يكفي لتحدي افتراضات المزمن

يجب أن تشمل شبكة قياس محايدة مجسات في مناطق متعددة وأنظمة ذاتية، تستخدم كل من IPv4 و IPv6 حيثما كان ذلك متاحًا. يجب أن تتجنب تركيز جميع المجسات في سحابة واحدة قد يفشل مسارها أو محللها كوحدة واحدة. العدد والموقع لا يتظاهر بتمثيل كل مستخدم إنترنت؛ يجب الكشف عنهما حتى يفهم القراء السكان الملاحظين.

يجب أن تسجل كل مجسة ساعة مضبوطة، واستجابات DNS، وعنوان الهدف، ووقت النقل، واستجابة البروتوكول، وتجزئات الكائنات، واسم المدقق وإصداره، ومواد مرسى الثقة، وحالة ذاكرة التخزين المؤقت، وملخص الحمولة الذي تم التحقق منه النهائي. يمكن حماية التفاصيل التشغيلية الحساسة، لكن يجب نشر أدلة كافية حتى يتمكن طرف مؤهل آخر من تكرار الاختبار.

كلا وضعي ذاكرة التخزين المؤقت الباردة والدافئة مطلوبان. المدقق البارد يظهر ما إذا كان المستخدم الجديد يمكنه بناء العرض. المدقق الدافئ يظهر ما إذا كان المشغل القائم يمكنه الاستمرار خلال الفشل. اختبار الحالات الباردة فقط يبالغ في الخسارة الفورية؛ اختبار الحالات الدافئة فقط يخفي خطر الإعداد واستنفاد ذاكرة التخزين المؤقت.

يجب أن تسترد المجسات في فترات زمنية واقعية مع احترام سعة الدليل المرجعي. نظام قياس يثقل كاهل الخدمة يخلق الحالة التي يدعي مراقبتها. يمكن للمزمنين والباحثين الاتفاق على حدود معدل وتحديد مخصص دون إعطاء المزمن مسارًا يتجاوز التوزيع الطبيعي.

الإنذارات الكاذبة تتطلب معالجة منضبطة. قد ينشأ فشل مجسة واحدة من محللها، أو ساعتها المحلية، أو قرصها، أو مدققها، أو مسارها العلوي. يجب أن يستخدم الإبلاغ عن الحوادث قاعدة معلنة مسبقًا، مثل خطأ دلالي على عدد أدنى من الشبكات المستقلة أو تأكيد من المزمن. تنتمي الأعطال الموضعية مع ذلك إلى البيانات، لكن ليست كلها تصبح إشعارًا عالميًا.

يجب أن ينشر المعيار كود المجسة ومتجهات الاختبار وتعريفات النتيجة. القابلية للتكرار تأتي من طريقة مشتركة وملاحظات موقعة، وليس من الهيبة المؤسسية.

هامش التوقيت هو مقياس المخاطرة الذي لا يمكن للوحة القيادة الخضراء توفيره

في أي وقت، فرع الدليل المرجعي لديه فاصل زمني متبقي قبل أن يصبح بيان أو قائمة إلغاء ذات صلة قديمًا أو تنتهي صلاحية شهادة. هذا الفاصل هو هامش التوقيت الخاص به. يحول مشكلة استرداد عادية إلى مقياس للمخاطرة التشغيلية.

لنفترض أن المجسات الخارجية لا تستطيع استرداد فرع بينما بيانه الحالي لا يزال صالحًا لمدة ثماني عشرة ساعة. الحدث يستحق الاهتمام، لكن المدققين المخزنين مؤقتًا لديهم مجال للاستمرار. إذا انخفض الهامش إلى ساعة دون استعادة، تصبح نفس حالة النقل ملحة. إذا كان هناك إلغاء جديد مطلوب معلق أيضًا، فقد تكون المخاطرة الأمنية عالية بالفعل، على الرغم من عدم انتهاء صلاحية الكائنات القديمة.

يجب على المزمن الإبلاغ عن الحد الأدنى والمتوسط وتوزيع الهامش عبر الفروع المتأثرة، وليس فقط الحد الأدنى على مستوى الدليل المرجعي. يجب عدم استخدام جهة مفوضة بفاصل زمني قصير بشكل غير عادي للإيحاء بأن كل فرع على وشك الفشل. وبالمثل، يجب ألا تخفي شهادة أب طويلة العمر بيان ابن على وشك التقادم.

الهامش يدعم إنذار معدل الاستهلاك. إذا كان الحدث يستهلك هامش التوقيت بشكل أسرع من زيادة الثقة في الإصلاح، يجب أن يحدث التصعيد قبل انتهاء الصلاحية. هذا مشابه لإدارة احتياطي: الخدمة لم تفشل دلاليًا بعد، لكن قدرتها على امتصاص التأخيرات تتناقص.

توقيت الكائنات ليس كل المخاطرة. المالك الذي ينتظر تفويضًا جديدًا قد يكون لديه هامش صفري عمليًا لأن ترحيل الشبكة قيد التقدم. يجب أن يسمح سجل الحادث للمالكين المتأثرين بتمييز تغيير عاجل متوقع، مع الأدلة والتدقيق، دون الكشف عن خطط العمل السرية علنًا.

تقرير السياسة الذي ينشر الهامش يشرح لماذا انقطاع لمدة عشر ساعات لم يكن له تغيير في التحقق، بينما انقطاع نشر آخر متعدد الأيام كان له. يعطي مجالس الإدارة والمشغلين لغة مشتركة للإلحاح لا يستطيع وقت التشغيل الخام توفيرها.

تخصيص السبب يتطلب تسلسلًا مشتركًا من الإجراء المصرح به إلى تأثير التوجيه

عندما يصبح حادث RPKI موضع نزاع، يرى كل كيان فقط جزءًا من التسلسل. يعرف المالك ما طلبه. تعرف خدمة التصديق ما قبلته ووقعته. يعرف الدليل المرجعي ما سلمه. يعرف المستخدم ما استرده ورفضه. يعرف جهاز التوجيه مجموعة الحمولة والسياسة التي استخدمها. يعرف العميل أن الخدمة أصبحت غير قابلة للوصول. بدون ساعات مترابطة، تصبح المسؤولية ادعاءً.

يجب أن يعين سجل حادث مشترك لكل إجراء مادي مرجعًا ثابتًا ويسجل ستة معالم: قبول التفويض، إنشاء الكائن، نشر الكائن خارجيًا، استرداد الكائن والتحقق منه، تسليم الحمولة إلى جهاز توجيه، وقرار التوجيه ذي الصلة الملاحظ. يجب أن يحدد كل معلم المؤسسة المسؤولة وساعتها المصدرية. يمكن للتقارير العامة تجزئة أو تجميع المراجع الحساسة مع الحفاظ على التسلسل للتدقيق المستقل.

هذه الطريقة تميز كائنًا معيبًا من كائن غير متاح. إذا طلب المالك طولًا أقصى خاطئًا وخدمة النشر نشرته بأمانة، تختلف المسؤولية عن خطأ في الكود أنتج شهادة غير متسقة مع حالة التسجيل. إذا نشر الدليل المرجعي كائنًا صحيحًا، لكن مدققًا قديمًا رفض فرعًا أوسع، لا يزال لدى المزمن التزامات توافق واتصال، لكن السبب الفني المباشر مختلف.

تخصيص السبب يحتاج أيضًا إلى اختبارات مضادة للواقع. يمكن للمحققين تشغيل مجموعة الكائنات الملاحظة من خلال مدققين مسمين ومقارنة الحمولات الناتجة، ثم تطبيق سياسة التوجيه المعلنة للمشغل على إعلانات BGP المسجلة. هذا لا يعيد بناء كل حزمة مفقودة أو معاملة. يختبر ما إذا كانت السلسلة المزعومة ممكنة تقنيًا وأين انحرفت الحالة أولاً.

لا ينبغي لأي مؤسسة التحكم في النسخة الوحيدة من هذه الأدلة. يمكن للمزمنين توقيع سجلات المعالم؛ يمكن للمراقبين المحايدين توقيع الملاحظات الخارجية؛ يمكن للمشغلين الاحتفاظ بسجل RTR وسياسة التوجيه. الأدلة المشتركة تمكن من المساءلة الضيقة التي تكون أكثر إنصافًا من اللوم الشامل والحصانة الشاملة.

### يجب قياس تأثير التوجيه، وليس استنتاجه من عدد الكائنات

فشل الدليل المرجعي يمكن أن يغير أمن التوجيه دون تغيير الوصول. إذا اختفت ROA صالحة من العرض القابل للاستخدام، قد يصبح الإعلان غير موجود ويستمر قبوله. قد تضعف الحماية ضد المنشأ غير المصرح به، لكن المسار المشروع قد لا يزال يعمل. إذا جعلت شهادة غير متسقة تفويضًا صالحًا يختفي بينما تبقى ROA أخرى تغطيه، قد لا تتغير حالة المسار على الإطلاق. إذا جعلت ROA معيبة إعلانًا مشروعًا غير صالح، قد يسحب المشغلون الذين يرفضون المسارات غير الصالحة الوصول بينما يستمر آخرون في قبوله.

لذا يبدأ تحليل التأثير باختلافات الحمولة التي تم التحقق منها. أي أزواج من البادئة والطول الأقصى والمنشأ تمت إضافتها أو إزالتها تحت كل مدقق؟ الخطوة التالية تربط هذه الاختلافات بإعلانات BGP الملاحظة في جامعين مسمين أو خلاصات مشغل. الخطوة الفنية الأخيرة تطبق افتراضات السياسة المكشوفة أو، إذا كانت متاحة، السياسة الفعلية للمشغل.

تأثير العميل يتطلب أدلة منفصلة: إنذارات، فقدان حركة المرور، جلسات فاشلة، تقارير دعم، أو انتهاكات لمستوى الخدمة. جامعو المسارات لا يرون كل مسار ند خاص، وتغيير حالة التحقق لا يظهر مقدار حركة المرور التي استخدمته. يجب أن تتجنب التقارير ترجمة البادئات إلى مستخدمين أو إيرادات دون الحصول على بيانات من الشبكات المتأثرة.

نفس الانضباط يحمي المزمنين من الادعاءات المبالغ فيها. حادث جعل فرعًا غير موجود مؤقتًا لا ينبغي وصفه كدليل على أن الإنترنت الإقليمي غير متصل. كما يحمي المشغلين من التقليل. إذا سجلت عدة شبكات مستقلة رفض مسار غير صالح وانخفضت حركة المرور في نفس الوقت، فإن القول بأن مضيف الدليل المرجعي ظل قابلاً للوصول غير ذي صلة.

المنتج المناسب هو جدول تأثير طبقي: كائنات النشر المتأثرة، الحمولات التي تم التحقق منها المتأثرة، الإعلانات الملاحظة المتأثرة، الشبكات ذات الاستجابة السياسية الموثقة، والعملاء أو الخدمات ذات العواقب الموثقة. الخلايا غير المعروفة تظل غير معروفة.

### المقامات يجب أن تكون محلية، ومكشوفة، ومقاومة لإساءة الاستخدام الترويجي

يجذب قياس RPKI أرقامًا مبهرة لأن النظام عالمي. لكن لا يوجد مراقب عام لديه إحصاء كامل لمثيلات المستخدمين وإصدارات البرامج وتواريخ ذاكرة التخزين المؤقت وسياسات التوجيه ومسارات BGP الخاصة وتأثيرات العميل النهائي. التزام الخدمة الموثوق لا يخترع هذا المقام.

يجب أن يحمل كل معدل سكانه الملاحظين. توفر المجسة هو عدد الفحوصات الناجحة مقسومًا على الفحوصات المقررة لمجموعة المجسات المسماة. توافق المدقق هو عدد المخرجات الناجحة مقسومًا على إصدارات اللوحة وحالات الاختبار. توقيت النشر هو عدد الإجراءات الملاحظة في الوقت المحدد مقسومًا على الإجراءات المقبولة في فترة التقرير. تأثير المسار هو عدد الإعلانات المتغيرة مقسومًا على الإعلانات المرئية في الجامعين المسمين. لا شيء هو "نسبة الإنترنت المتأثر".

دراسة مستخدم IMC لعام 2020 قيمة على وجه التحديد لأنها محدودة. لاحظت عملاء وصلوا إلى ثلاث سلطات تصديق، واستخدمت ظروفًا محكومة للكشف عن عمليات استرداد غير متسقة. النسب المئوية المبلغ عنها تصف هذه التجربة، وليس كل مشغل حالي أو كل إصدار مستقبلي. يجب أن تحافظ تقارير السياسة على هذه الحدود عند الاستشهاد بالبحث.

تتطلب التعدادات الخاصة بالحادث تحفظًا مماثلاً. تقدير RIPE NCC بـ 327 مثيل مستخدم متأثر في يناير 2021 جاء من سجلات الوصول وسلوك البرنامج المحدد. قد تشارك المثيلات شبكة أو تخدم شبكات متعددة أو تكون أنظمة اختبار. الرقم دليل على التعرض التشغيلي، وليس تعدادًا لمنظمات منفصلة.

المقياس الجيد يمكن أن يكون مؤثرًا مع ذلك. يمكنه القول أن كل مجسة في خمس شبكات مستقلة رفضت نفس الفرع، أو أن ثلاثة مدققين حاليين مختبرين فقدوا نفس الحمولات، أو أن مسارًا معينًا اختفى في جامعين. الدقة تقوي المساءلة لأن الادعاء يمكن إعادة إنتاجه والطعن فيه.

### يجب أن تفصل تقارير الحوادث بين السبب والحالة والعواقب والثقة

السبب هو الخطأ الأولي: قرص ممتلئ، نشر خارج الترتيب، شهادات غير متطابقة، انقطاع كهرباء، أو خطأ برمجي. الحالة هي ما واجهه المستخدمون الخارجيون: فشل استرداد، بيان قديم، شجرة rsync غير مكتملة، مسار شهادة غير متسق، أو تغيير متأخر. العاقبة هي المخرجات الملاحظة: إزالة حمولة، تغيير حالة، مسار مرفوض، أو انقطاع عميل. الثقة تشير إلى مدى قوة الأدلة التي تربطهم.

العديد من الإشعارات تدمج هذه الطبقات في جملة واحدة. هذا يخلق ارتباكًا عندما تتغير الأدلة لاحقًا. قد يعرف المزمن الحالة قبل معرفة السبب. قد يثبت المشغل عاقبة على مسار قبل أن يعيد المزمن إنتاج المسار الخارجي. الإبلاغ المنفصل عن الطبقات يسمح للتقرير العام بالتحسن دون مسح الملاحظة الأصلية.

يجب أن يتضمن الإشعار تعريفات دقيقة للبداية والنهاية. قد تكون البداية أول خطأ في الفحص الدلالي الخارجي، وليس الوقت الذي فتح فيه مهندس حادثًا. قد تتطلب النهاية تحققًا ناجحًا من قبل نصاب من المجسات ونشر التغييرات المتأخرة، وليس مجرد إعادة تشغيل عملية. يجب أن تكون أوقات الكشف والتأكيد والتخفيف والتقارب الكامل مرئية جميعها.

يمكن تصنيف الثقة حسب الأدلة: مؤكد بتكرار الكائن الموقع، ملاحظ من قبل عدة مدققين مستقلين، مبلغ عنه من قبل مشغل متأثر، أو مستنتج من التوقيت. هذا ليس بديلاً عن الحقائق. يظهر للقراء أين هناك حاجة لمزيد من التحقيق.

يجب على المزمن أيضًا نشر ما لم يتم قياسه. إذا لم يتم جمع بيانات عن فقدان العميل، فليقل ذلك. إذا تم اختبار rsync لكن سجلات RRDP لم تكن متاحة، فليحدد الفجوة. إذا لم ير جامع BGP المسار المتأثر، فلا يعامل الغياب كدليل على عدم وجود تأثير.

يمكن أن يكون التقرير الصادق موجزًا ويتضمن هذه الحقول. الهدف ليس الطول البيروقراطي. إنه منع ادعاء وقت تشغيل ضيق من إزاحة الأدلة التي يحتاجها المشغلون.

### أرصدة الخدمة الانفرادية هي علاج سيئ لانقطاعات أمن التوجيه

غالبًا ما يتم تضمين نشر RPKI في العضوية أو خدمة التسجيل بدلاً من بيعه كخدمة عامة منفصلة. قد يكون الرصيد التقليدي على الرسوم تافهًا أو صعب الحساب أو غير متاح للمستخدمين والعملاء النهائيين. العلاجات الأكثر قيمة هي تشغيلية.

أولاً، يأتي الإصلاح السريع. يحتاج المزمنون إلى قناة مأهولة باستمرار للإبلاغ عن كائن معيب أو مفقود أو قديم، مع مصادقة لا تعتمد كليًا على البوابة التي قد تكون متأثرة. يجب أن يختلف هدف الاستجابة حسب هامش التوقيت ومخاطر التوجيه المثبتة.

ثانيًا، يأتي الحفاظ على الأدلة. يجب الاحتفاظ بإصدارات الكائنات وأوقات النشر وحالة طرق الوصول ونتائج التحقق وتفويضات التغيير لفترة كافية للتحقيق والمطالبات المشروعة. الإصلاح الذي يلغي الأدلة يترك المؤسسات تتجادل من الذاكرة.

ثالثًا، يأتي الاتصال المحمول. يجب أن يحدد إشعار الحادث الموقع فروع الشهادات المتأثرة وتجزئات الكائنات، حتى يتمكن المدققون والمشغلون من تحديد التعرض دون الوثوق بلقطات الشاشة أو الشائعات. يجب أن تشير التحديثات إلى ما إذا كانت ذاكرات التخزين المؤقت الموجودة لا تزال قابلة للاستخدام وما إذا كان التغيير المطلوب متأخرًا.

رابعًا، يأتي التحقق المستقل للأحداث الخطيرة أو المتكررة. يجب على المدقق اختبار الأهداف الخارجية، ومراجعة ضوابط المزمن، ونشر النتائج ضمن حدود الأمان. رواية المزمن ضرورية لكن لا يمكن أن تكون الضمان الوحيد عندما فاتت مراقبة المزمن الخاصة الخطأ.

يمكن أن تهم العلاجات المالية مع ذلك إذا تم إثبات الخسارة الفعلية والمسؤولية القانونية. تصميمها مسألة تتعلق بالمسؤولية والسببية والقانون المعمول به. لا ينبغي للتزام الخدمة أن يعد بتعويض مستحيل، لكن الرسوم المنخفضة أو المنعدمة لا ينبغي أن تستخدم أيضًا لإنكار واجب النشر الدقيق والإصلاح السريع.

### المشغلون لديهم أيضًا التزامات استمرارية قابلة للقياس

المساءلة الخارجية ليست جهازًا لتحويل جميع مخاطر RPKI إلى دليل مرجعي. يختار مشغلو الشبكات المدققين وفترات التحديث والتكرار والمراقبة وسياسات التوجيه. يختار مالكو الموارد محتوى وتوقيت ROA. هذه القرارات تؤثر على العواقب ماديًا.

يجب على المشغل تشغيل برنامج مستخدم مدعوم، ومراقبة تزامن الدليل المرجعي الناجح، والحفاظ على سلوك ذاكرة التخزين المؤقت الذي أوصت به المعايير السارية على الأقل، واختبار تكرار RTR. يجب أن يعرف كيف تتصرف أجهزة التوجيه الخاصة به عند اختفاء الحمولات أو عدم توفر المدققين. المدقق الثاني الذي يشارك نفس المحلل ونفس مصدر الطاقة ونفس الخطأ البرمجي ليس تكرارًا قويًا.

يجب على مالكي الموارد مطابقة ROA مع الإعلانات المقصودة قبل تغييرات الشبكة، وتجنب الأطوال القصوى المتساهلة بشكل غير ضروري، والتحقق من النشر الخارجي بعد الإنشاء أو النقل. يجب عليهم الحفاظ على جهات اتصال الطوارئ وفهم الطرف الذي يتحكم في المفاتيح في الترتيبات المستضافة والمفوضة.

يجب أن تظهر هذه الالتزامات في تحليل الحادث دون أن تصبح عذرًا عامًا لفشل الدليل المرجعي. إذا قام مشغل بتشغيل برنامج قديم رفض أكثر مما تتطلبه المعايير، فهذا ذو صلة. إذا نشر دليل مرجعي حالة غير متسقة، فهذا أيضًا ذو صلة. قد تساهم أسباب متعددة في خسارة واحدة.

يمكن للتمارين المشتركة تحسين كلا الجانبين. يمكن للمزمن الإعلان عن نافذة اختبار يتم فيها سحب طريقة وصول بينما يتحقق المشغلون من تجاوز الفشل. يمكن لفروع الشهادات الاصطناعية اختبار إنذارات انتهاء الصلاحية والتحديثات الذرية دون تعريض مسارات الإنتاج للخطر. يمكن للمشغلين الإبلاغ عن نتائج التقارب مجهولة المصدر.

الهدف هو إثبات متبادل. يظهر المزمنون جودة النشر الخارجي؛ يظهر المشغلون اعتمادًا حذرًا. عندما يتم قياس كليهما، يصبح عدم اليقين المتبقي مرئيًا، بدلاً من تخصيصه فقط من خلال العقد أو الخطابة.

### يمكن لـ NRS تحويل المراقبة الخارجية إلى خدمة شرعية

تجادل NRS بأن سجلات الأرقام يجب أن تحتفظ بسجلات دقيقة، وتحترم الدور التشغيلي للشبكات، وتبقى محدودة بوظيفة محاسبة. RPKI يعقد هذه الفلسفة لأن إجراءات الشهادة والدليل المرجعي يمكن أن تؤثر على إعلانات التوجيه التي يقبلها المشغلون. الرد المناسب ليس رفض RPKI. إنه جعل القوة المضافة قابلة للملاحظة والمساءلة.

يمكن لـ NRS جمع المالكين والمشغلين ومهندسي السجلات وأمناء المستخدمين والباحثين حول ملف مراقبة دليل مرجعي مشترك. سيحدد الملف أهداف الخدمة الأربعة، وحقول الحادث الدنيا، والاختبارات الخاصة بالبروتوكول، والإبلاغ عن هامش التوقيت، ومعالم تخصيص السبب الموصوفة هنا. يمكن أن تبدأ المشاركة طوعيًا، مع نشر النتائج لكل خدمة ومنطقة.

يمكنها أيضًا تشغيل أو رعاية مجسات محايدة. ستتطلب الاستقلالية تمويلًا مكشوفًا، ورمز قياس مفتوحًا، وقواعد تضارب، وشبكات استضافة متعددة. لا ينبغي لـ NRS أن تصدق على تأييدها الخاص بالادعاء. يجب أن تنشر أدلة يمكن لأي مشغل أو سجل أو باحث إعادة إنتاجها.

المراجعة السنوية المفيدة ستقارن كل دليل مرجعي لكيان بأهدافه المنشورة، دون ترتيب المناطق وفقًا لدرجة عالمية خشنة. يمكنها تحديد الأعطال الجزئية المتكررة، وتجاوز الفشل غير المختبر، والكشف الخارجي البطيء، أو أدلة الاسترداد الضعيفة. سيكون للمزمنين الحق في تصحيح الأخطاء الواقعية وإدراج تفسيرات مع بقاء الملاحظات الأساسية متاحة.

هذا دور مؤسسي إيجابي لأنه يكافئ الأداء الجيد. حادث JPNIC 2020 يمكن أن يحصل على سبيل المثال على تقدير لاستمرارية التحقق المخزنة مؤقتًا بينما يتم تسجيل عدم توفر الإدارة والاسترداد. حادث APNIC 2019 يمكن أن يظهر مرونة RRDP وفشل rsync بشكل منفصل. الدقة ستحل محل كل من الإنذار والرضا عن النفس.

بهذه الطريقة، تترجم NRS طلبًا عامًا لمساءلة السجلات إلى منفعة عامة عملية: أدلة قابلة للمقارنة حول ما إذا كانت ادعاءات أمن التوجيه الحرجة قابلة للاستخدام خارجيًا.

### يجب أن تطلب المشتريات والسياسة العامة أدلة تبقى على قيد الحياة الخلافات

الحكومات ومشغلو البنية التحتية الحيوية والشبكات الكبيرة يعتمدون بشكل متزايد على RPKI دون تشغيل بالضرورة طبقات التصديق والنشر التي يثقون بها. يجب أن تتجاوز أسئلة المشتريات ادعاء المزمن بالتوفر العالي.

يجب أن يسألوا أين يتم استضافة RRDP و rsync، وما إذا كانت مجالات فشلهم مختلفة، وكم مرة يتم إجراء التحقق الخارجي الكامل، وهامش التوقيت الذي يؤدي إلى التصعيد، وكيف يتم تعيين التغييرات المقبولة للنشر، وإصدارات المدقق التي تم اختبارها، وكيف يتم الإعلان عن الحوادث، وكيف يتم حفظ الأدلة. يجب أن يطلبوا نتائج حديثة من التمارين وأمثلة على تقارب الاسترداد.

يجب أن تقاوم السياسة العامة طلب استجابة مسار عالمية لحدث دليل مرجعي. المشغلون لديهم مواقف مخاطرة مختلفة، وتجاوز الفشل المفتوح له مزايا استمرارية وتكاليف أمنية. الشرط الأكثر بناء هو الشفافية: الكشف عن عرض التحقق، والسياسة المحلية، وخطة تجاوز الفشل للأنظمة التي قد يؤثر انقطاعها على الخدمات العامة.

يجب أن تميز المراقبة أيضًا الدليل المرجعي عن سجل إقليمي من نقاط النشر المفوضة تحته. يمكن أن يكون مرسى الثقة قابلاً للوصول بينما يفشل كيان مفوض. السياسة التي تنسب كل فشل مفوض إلى الأصل ستثبط التفويض دون تحسين القياس. مسار الشهادة يحدد مكان حدوث الفشل؛ يجب أن تتبع الحوكمة هذا الدليل.

يمكن للتأمين وفحوصات المخاطر من قبل مجالس الإدارة استخدام نفس النموذج. يمكنهم التدقيق فيما إذا كانت المنظمة تعرف هامش ذاكرة التخزين المؤقت الخاص بها، ولديها مدققين مستقلين، وتحتفظ بسجل سياسة التوجيه، ويمكنها الوصول إلى جهة اتصال الدليل المرجعي المناسبة. هذا يحول RPKI من عنصر تحكم في الأمن السيبراني مجرد إلى اعتماد استمرارية قابل للتدقيق.

المعيار لا يحتاج إلى ضمان توجيه دون انقطاع. يجب أن يضمن استجابة منضبطة لسؤال أضيق: ما كان متاحًا خارجيًا، ومتى أصبح غير قابل للاستخدام، ومن سيطر على الخطوة المعيبة، وأي عاقبة مسار تمت ملاحظتها بالفعل؟

### انقطاع الدليل المرجعي الذي تتجاهله تقارير السياسة هو المخفي بين النشر والاعتماد

أظهرت دلائل RPKI المرجعية بالفعل أن الأعطال لا تتناسب مع عداد وقت تشغيل واحد. يمكن للأجهزة إيقاف الوصول دون استنفاد الصلاحية المخزنة مؤقتًا. يمكن لبيان قديم إتلاف rsync بينما يظل RRDP متسقًا. يمكن للقرص منع التغييرات بصمت حتى انتهاء صلاحية قائمة الإلغاء. يمكن لشهادات الأب والابن أن تكون كل منهما صحيحة لكن غير متسقة مؤقتًا. يمكن لعقدة توزيع تسليم معرفات نقل غير متطابقة بينما تظل طريقة بديلة متاحة.

هذه ليست حججًا ضد التحقق من المنشأ. إنها أدلة على أن أمن التوجيه نضج إلى بنية تحتية تستحق ضمان خدمة ناضج. التشفير يجعل التزوير قابلاً للكشف؛ لا يجعل النشر معصومًا. التخزين المؤقت يوفر استمرارية؛ لا يثبت أن الحالة الجديدة قد وصلت. سياسة التوجيه المحلية تحافظ على استقلالية المشغل؛ لا تزيل مسؤولية الدليل المرجعي.

لذا فإن أفضل ادعاء توفر هو متواضع ودقيق. يمكن للمزمن أن يقول أن مجسات مستقلة مسماة استردت المواد الكاملة الحالية بالطرق المحددة، وأن جميع فروع الشهادات المختبرة تم التحقق منها، وأن الإجراءات المقبولة أصبحت مرئية في الوقت المناسب، وأن المدققين المدعومين تقاربوا بعد الإصلاح، وأن تأثيرات المسار الملاحظة تم العثور عليها أو لم توجد في مجموعة محددة. يمكن لطرف آخر تكرار الاختبارات.

أي ادعاء أوسع يحتاج إلى مزيد من الأدلة. لوحة القيادة الداخلية لا يمكنها إثبات قابلية الاسترداد الخارجي. ROA مفقودة لا يمكنها إثبات فقدان عميل. جامع BGP مستقر لا يمكنه إثبات عدم تأثر شبكة خاصة. لا يمكن بناء نسبة مئوية عالمية من عينة غير مكشوفة.

تنمو شرعية السجل عندما لا تطلب المؤسسة من الجمهور قبول وقت تشغيلها بالإيمان. يمكن لـ NRS ومجتمع المشغلين الأوسع المساعدة في وضع هذا المعيار. يجب تقييم الدليل المرجعي عند النقطة التي تصبح فيها ادعاءاته قابلة للاستخدام، قبل انتهاء صلاحية ساعاته، وبعد أن تصبح عواقبه مرئية.

هذا هو الانقطاع الذي تتجاهله تقارير السياسة عادةً: ليس اللحظة التي يفشل فيها جهاز، بل الفاصل الزمني الذي لم يعد فيه مستخدمو الإنترنت قادرين على تلقي نفس العبارة الزمنية والمتسقة والمسؤولة عن سلطة التوجيه.

المصادر