غيّر Jorge Cano قلب RPKI في LACNIC، ثم أنهى العمل بسجل DNS

الخلاصة

• بدأت LACNIC استبدال قلب نظام RPKI في أواخر 2022، وأدخلت البديل إلى الإنتاج بعد نحو عامين. يقول Cano إن سلامة ذاكرة أدوات التحقق كانت من أصعب جوانب الانتقال؛ واحتاجت بعض الإصدارات القديمة إلى إعادة تشغيل.
• بعد مواءمة القلب الجديد مع بيانات الأعضاء، كان التحويل الأخير تعديلاً لسجلات DNS. ووصف Cano لاحقاً مفتاح الثقة الرئيسي المحفوظ خارج الشبكة وثلاث مراسم توقيع بحضور شهود.

ذاكرة المحقّق لا تنتظر خطاب الافتتاح

يمكن للسجل الإقليمي أن يعلن نجاح النظام الجديد، بينما يواصل برنامج التحقق لدى شبكة أخرى العمل بالمحتوى الذي خزّنه. اختار Jorge Cano هذه المسافة بين الطرفين لتكون محور شرحه للانتقال. جرّبت LACNIC نسخاً مختلفة من أدوات التحقق كي تصون سلامة ذاكرتها المؤقتة. بعض النسخ الأقدم لم تتابع بلا إعادة تشغيل. هنا يظهر ثمن الثقة الموزعة: تحديث جهة النشر يطرق أبواب برامج لا تملكها تلك الجهة.

Cano مهندس برمجيات أول لدى LACNIC. يصف ثلاثة أجزاء للعمل: قلب ينفذ المعالجة التشفيرية، وطبقة تفحص المواد وتجهز نشرها، وواجهة تقدم الناتج المعتمد. يستطيع عضو الخدمة المستضافة إنشاء تصريح منشأ المسار عبر MiLACNIC، لكن LACNIC تدير المفاتيح والشهادات. راحة المستخدم في الواجهة تحمل وراءها مسؤولية ثقيلة في غرفة تشغيل السجل.

بدأ مشروع الاستبدال في أواخر 2022. اختارت المؤسسة Krill مفتوح المصدر، ثم واءمت القلب الجديد مع قاعدة مستخدميها ووظائف السجل الخاصة. وبعد عمل استغرق قرابة عامين، أصبح التبديل الأخير تغييراً في سجلات DNS. تبدو الحركة صغيرة لأن الأجزاء الأصعب سبقتها: بناء المسار الجديد، فحص ما سينشر، والتأكد من أن أدوات التحقق القديمة تعرف كيف تلحق به.

وفي نص نشره في يناير 2025، نقل Cano الانتباه إلى المفتاح الرئيسي لمرساة الثقة. يبقى المفتاح خارج الشبكة، ولا يُفعّل إلا لفترة قصيرة لإعادة توقيع الشهادة العليا. كان الفريق قد أجرى ثلاث مراسم توقيع في Casa de Internet بأوروغواي، شارك فيها موظفون من أقسام مختلفة وحضرها شهود. تسجل قائمة العمل كل خطوة والاستثناءات. لا تتوافر مصفوفة علنية بإصدارات أدوات التحقق التي اختُبرت؛ نشرها سيحدد أي النسخ القديمة احتاجت إلى إعادة تشغيل.