الخلاصة

  • من 20:07 إلى 22:50 بتوقيت UTC يوم 3 نوفمبر 2026، رفض منفذ النشر RFC 8181 لدى RIPE NCC طلبات جهات التصديق المفوضة بعدما بدأت Krill قبل توافر إعداد الناشرين المسجلين.
  • لم تتأثر محتويات مستودع RPKI الموجودة، وعادت الجهات التي أخفقت إلى النشر تلقائياً بعد إصلاح الإعداد. بلاغ أحد الأعضاء هو الذي أوصل العطل إلى المهندس المناوب.

موظف الاستقبال وصل قبل دفتر الأسماء

يصف تقرير الحادث الصادر عن RIPE NCC خللاً في ترتيب التشغيل. أعيد تشغيل النظام أثناء صيانة دورية، وتأخر التخزين في إتاحة إعداد الناشرين لخدمة Krill. بدأت الخدمة تلقي الطلبات قبل أن تعرف الجهات المفوضة لديها، فأعادت عبارة «Unknown publisher» لكل طلب نشر. امتد الانقطاع ساعتين وثلاثاً وأربعين دقيقة، حتى 22:50 بتوقيت UTC.

لفهم أثره، ينبغي معرفة من يملك ماذا. تتيح إرشادات جهة التصديق المفوضة للمشغل أن يحتفظ بجهة التصديق ومفاتيحها الخاصة، بينما تتولى RIPE NCC خدمة النشر والمستودع. تُنشئ الجهة مواد موقعة، منها تفويضات منشأ المسار وملفات البيان وقوائم إبطال الشهادات، ثم ترسلها إلى مسار النشر. المسار هو نقطة الالتقاء بين قرار يتخذه صاحب المفتاح وملف يصل إلى من يعتمد على المستودع.

قالت RIPE NCC إن الملفات الموجودة سلفاً بقيت سليمة، وإن جهات التصديق التي واجهت الرفض استأنفت النشر آلياً بعد الإصلاح. يعني ذلك أن قارئ الملف القديم كان أمام خدمة مختلفة عملياً عن مشغل يريد وضع تحديث جديد. التقرير لا يذكر عدد الجهات المتأثرة أو قائمة المواد التي حاولت النشر؛ لحسم حالة تحديث بعينه، يلزم فحص إيصال إعادة المحاولة والكائن الموجود فعلاً في المستودع.

إغلاق الصيانة ليس اختباراً للنشر

تظهر بطاقة صيانة لوحة RPKI أنها أُغلقت عند 21:06 بتوقيت وسط أوروبا، أي 20:06 UTC. يبدأ حادث النشر في سجل منفصل عند 20:07 UTC. البطاقتان تخصان سطحين مختلفين، وتقرير الحادث لا يسمي بطاقة اللوحة سبباً مباشراً لإعادة تشغيل Krill. لكن ترتيب الدقيقتين يكشف ضعف معيار الاكتفاء بأن العملية بدأت أو أن مهمة الصيانة أُغلقت. الاختبار الذي يهم جهة التصديق هو قبول طلب نشر صحيح من ناشر مسجل.

بعد أن أبلغ عضو عن الخطأ، أتاح مهندس RIPE NCC المناوب الإعداد الصحيح للخدمة. تعهدت المؤسسة بأن يكون الإعداد جاهزاً قبل بدء Krill، وأن تحسن مراقبة الجزء الخاص بـ RFC 8181. العلاج الأول يمنع سباق الإقلاع، والثاني يفترض أن يكشف رفض العميل الشرعي قبل أن يرفع سماعة الهاتف. مراقبة حياة العملية وحدها كانت ستشاهد مكتباً مضاءً يتجاهل كل أصحاب التصاريح.

تضع شروط الخدمة الرسمية مسار النشر والمستودع ضمن خدمة RIPE NCC. بقاء المفتاح عند المشغل يعطيه سلطة التوقيع؛ قبول المادة الموقعة ونشرها مسؤولية الجهة التي تستضيف الطريق. في هذه الحادثة لم يسقط الأرشيف، بل تعطل تحويل سلطة صاحب المفتاح إلى نسخة جديدة يراها الآخرون.