Nathalie Trenaman أغلقت باب الورشة التي تُصلح المفاتيح

Summary

• في رسالتها إلى مجموعة التوجيه يوم 18 مارس 2021، أوضحت Nathalie Trenaman أن AS3333 يحمل بوابة LIR وخدمات رئيسية لـ RIPE NCC. رفض إعلان يخالف ROA قد يمنع صاحبه من دخول البوابة التي يصلح عبرها الخطأ.
• بدأ الرفض في 19 أبريل. سبقه اتصال بالمنظمات المتأثرة وتحذير داخل لوحة RPKI، من دون باب خلفي للبوابة أو تعديل ROA نيابة عن العضو.

الخطأ الذي يحجب شاشة تصحيحه

يحدد ROA رقم النظام المستقل المسموح له بإعلان بادئة معينة وأقصى طول لذلك الإعلان. قد يؤدي رقم خاطئ أو طول غير مناسب إلى تصنيف إعلان مشروع بأنه غير صالح. المرشح يرى التعارض بين ROA وBGP؛ لا يستطيع معرفة إن كان سببه خطأ كتابة أم اختطاف مسار. ولأن RIPE NCC وضعت خدمات الأعضاء على AS3333، أمكن أن يصل أثر القاعدة إلى المكان الذي تُدار فيه تلك الوثيقة نفسها.

عرضت Trenaman المعضلة علناً. بعض الجهات الأعلى للشبكة كانت تسقط الإعلانات غير الصالحة، وأخرى لم تفعل. العضو الذي أخطأ في ROA قد لا يصل عبر الأولى؛ وكانت المؤسسة قد تلقت بلاغاً عن عضو لم يصل إلى موقعها بعد اختطاف مساره عبر الثانية. أحصى فحص 10 فبراير 511 إعلاناً لأعضاء أو مستخدمين نهائيين قد يتأثرون.

ثم سجلت في شرح 13 أبريل وجود 697 مساراً غير صالح من 215 منظمة في 7 أبريل. اتصلت RIPE NCC بهذه المنظمات وأضافت تحذيراً قبل نشر ROA لا يطابق ما تراه في BGP. وفي عرض RIPE 82 اللاحق ورد فحص آخر قبل التشغيل: 597 مساراً مرتبطاً بالمنظمات الـ215 نفسها. الرقمان لوقتين مختلفين، وليس أي منهما عدداً لمن انقطع عن البوابة.

رفضت Trenaman الحل السهل خلف الستار: لا منفذ سري إلى my.ripe.net ولا تغيير لسجل العضو بأيدي موظفي RIPE NCC. طريق الرجوع المعلن هو شبكة أخرى ذات إعلان صالح أو غير معروف في RPKI. حدد الإشعار الرسمي يوم 19 أبريل، وأكد عرض مايو التنفيذ في ذلك اليوم مع عدد قليل من أسئلة الأعضاء، معظمها عن إنشاء ROA. أما K-Root على AS25152 فلم يدخل في تغيير AS3333.

كان تشغيل المرشح قراراً أمنياً؛ أما تسمية طريق الرجوع قبل إغلاق الباب فكانت قراراً في علاقة المؤسسة بأعضائها.

المصادر: رسالة مارس؛ شرح RIPE Labs؛ الإشعار؛ عرض RIPE 82.