Zusammenfassung

  • Der am 4. November 2019 veröffentlichte erste AFRINIC-Entwurf schlug AS0-ROAs für Adressraum vor, der in den Registerdaten als nicht zugeteilt verzeichnet war. Belegt ist die Veröffentlichung eines Vorschlags, nicht dessen Annahme, Umsetzung oder operative Wirkung.
  • Ein korrekt abgegrenztes AS0-Signal kann Betreibern einen authentifizierten Hinweis darauf geben, dass für einen Präfix und seine stärker spezifischen Ankündigungen kein gewöhnlicher öffentlicher Ursprung erwartet wird. Es kann damit die Abhängigkeit von getrennt gepflegten, möglicherweise veralteten Listen vermindern.
  • Derselbe Mechanismus kann bei einem falschen oder überholten Registerstatus eine legitime Ankündigung als RPKI-invalid erscheinen lassen. Das ROA entfernt keine Route selbst; erst die freiwillig gewählte lokale Richtlinie eines Betreibers übersetzt den Validierungszustand in Ablehnung, Herabstufung, Beobachtung oder keine Maßnahme.
  • Die tragfähige Grenze ist die einer dünnen technischen Registerfunktion: exakte Reichweite, sichtbare Herkunft des Status, Konfliktprüfung, nachvollziehbare Änderungsgeschichte, Rücknahme vor einer legitimen Statusänderung, dringliche Korrektur und unabhängige Beobachtung — ohne AFRINIC hoheitliche, strafende oder rechtsprechende Befugnisse zuzuschreiben.
  • Der erste Entwurf war damit vor allem ein Test der Reversibilität. Eine signierte negative Aussage ist nur so vertrauenswürdig wie der nachweisbare Weg, auf dem sie bei einem Irrtum endet, bevor aus einem Buchungsfehler verteilter Routing-Schaden werden kann.

Ein Vorschlag, der aus einem Status ein Signal machen wollte

Der institutionelle Akt, um den es hier geht, ist eng begrenzt. Am 4. November 2019 veröffentlichte AFRINIC AFPUB-2019-GEN-006-DRAFT01, den ersten Entwurf der AFRINIC-Vorschlagsreihe zu RPKI AS0. Er schlug vor, dass AFRINIC für Adressraum, den seine Dienstdaten als nicht zugeteilt auswiesen, ROAs mit AS 0 als Ursprung erzeugen sollte. Diese Feststellung trägt keine weitergehende Behauptung. Die vorliegenden Quellen weisen weder eine Annahme noch einen Konsens, eine Ratifizierung, eine produktive Ausgabe solcher Objekte oder eine Wirkung auf eine konkrete Route nach. Sie belegen auch keinen geschädigten Inhaber und keinen gemessenen Rückgang unerwünschter Ursprungsankündigungen.

Gerade diese Beschränkung ist analytisch wichtig. Ein Entwurf ist kein in Betrieb befindliches System. Aber die Veröffentlichung eines Entwurfs legt offen, welches Verhältnis zwischen Registerdaten, kryptografischer Aussage und Netzbetrieb denkbar gemacht werden sollte. In diesem Fall sollte der administrative Zustand „nicht zugeteilt“ nicht bloß in einer Datenbank stehen. Er sollte in ein signiertes Objekt eingehen, das Validierer innerhalb einer RPKI-Vertrauenskette abrufen und gegen beobachtete BGP-Ankündigungen auswerten können.

Damit wanderte ein Sachverhalt aus der Registerführung in eine technische Entscheidungskette, an deren Ende viele autonome Netze jeweils ihre eigene Routingpolitik anwenden.

Das macht den Entwurf weder automatisch gut noch automatisch gefährlich. Es macht ihn überprüfungsbedürftig. Seine Güte hing nicht allein davon ab, ob eine Signatur technisch gültig war. Sie hing davon ab, ob die zugrunde liegende Klassifikation stimmte, ob die Reichweite genau der dokumentierten Klassifikation entsprach, ob Konflikte vor der Veröffentlichung sichtbar wurden und ob die negative Aussage vor einer legitimen Veränderung des Status zuverlässig verschwinden konnte. Kryptografische Gewissheit über den Herausgeber ersetzt keine sachliche Gewissheit über den Registereintrag.

Der erste Entwurf markierte deshalb einen Übergang. AFRINIC wäre nicht mehr nur die Stelle gewesen, deren Daten einen Adressraum als nicht zugeteilt bezeichneten. Es hätte diesen Zustand aktiv in der eigenen RPKI-Publikationsleistung ausgedrückt. Das ist noch immer eine technische Dienstleistung, keine Rechtssetzung. Doch eine technische Dienstleistung kann beträchtliche praktische Hebelwirkung haben, wenn viele Betreiber ihr als Eingangssignal vertrauen. Die angemessene Frage lautet folglich nicht, ob ein privater Koordinator durch eine Signatur plötzlich öffentliche Macht erlangt. Das tut er nicht.

Die Frage lautet, welche Dienstgüte, Korrekturpflicht und Begrenzung erforderlich werden, sobald seine Buchführung maschinenlesbar in verteilte Betriebsentscheidungen einfließt.

Der stärkste sachliche Fall für AS0

Die faire Beurteilung beginnt mit dem Sicherheitsproblem, das der Vorschlag adressierte. Adressraum, der tatsächlich nicht zugeteilt ist, sollte keinen gewöhnlichen öffentlichen Ursprung haben. Erscheint dennoch eine Ankündigung, ist das für Betreiber ein plausibler Anlass zur Prüfung. Ohne einen authentifizierten gemeinsamen Hinweis müsste jedes Netz selbst Informationsquellen auswählen, eigene Listen pflegen, deren Aktualität bewerten und Abweichungen untersuchen. Solche getrennten Listen können uneinheitlich, schwer vergleichbar und ihrerseits veraltet sein.

Ein korrektes AS0-ROA kann diese Lage verbessern. AS 0 ist kein gewöhnlicher, routbarer Ursprung. Eine entsprechende signierte Autorisierung drückt für den abgedeckten Präfix und die einschlägigen stärker spezifischen Ankündigungen aus, dass keine normale Ursprungankündigung erwartet wird. Ein Validierer kann den beobachteten Ursprung und die Präfixlänge mit den verfügbaren, abdeckenden ROAs vergleichen. Passt die Ankündigung zu keiner Autorisierung, kann das Ergebnis Invalid lauten.

Für wirklich nicht zugeteilten Raum erhält der Betreiber damit ein authentifiziertes Warnsignal innerhalb derselben technischen Umgebung, in der auch positive Ursprungsaussagen ausgewertet werden.

AFRINIC war für diese enge Rolle ein nachvollziehbarer Dienstbetreiber. Das Register führte den für die Region einschlägigen Zuteilungsstatus. Wenn gerade dieser dokumentierte Status die Grundlage des Signals sein sollte, lag es nahe, die Veröffentlichung an die Stelle zu binden, die den Status pflegte. Der Vorschlag musste nicht behaupten, dass AFRINIC den Datenverkehr anderer Netze steuern dürfe. Er konnte bescheidener verstanden werden: Der Buchführer veröffentlicht eine signierte Aussage über den gegenwärtigen Inhalt seines eigenen Buches; die Betreiber entscheiden selbst, ob und wie sie diese Aussage verwenden.

Dieser Nutzen darf nicht klein geredet werden. Eine konsistente, maschinenlesbare Warnung kann die Kosten der Überwachung senken, Abweichungen früher sichtbar machen und die Untersuchung einer verdächtigen Ursprungankündigung unterstützen. Sie kann die Sicherheitspraxis kohärenter machen als eine Vielzahl nicht authentifizierter Nebenlisten. Für Betreiber, die ohnehin RPKI-Validierung einsetzen, lässt sich das Signal in vorhandene Beobachtungs- und Richtlinienabläufe einordnen. Der Sicherheitswert beruht dabei gerade nicht auf Zwang, sondern auf der Kombination aus nachvollziehbarer Herkunft, technischer Prüfbarkeit und lokaler Entscheidung.

Der stärkste Fall für Draft 1 lautet daher: Eine private technische Registerstelle kann im Rahmen ihrer Buchführungs- und Publikationsleistung ein enges, authentifiziertes Warnsignal liefern, wenn ihr eigener, zutreffender Status besagt, dass eine gewöhnliche Ursprungankündigung nicht erwartet wird. Das ist eine legitime Aufgabe dünner Koordination. Wer sie beurteilt, sollte nicht so tun, als sei jede negative RPKI-Aussage bereits illegitime Durchsetzung.

Die ernsthafte Kritik beginnt erst dort, wo geklärt werden muss, wie das System mit dem unvermeidlichen Gegenfall umgeht: Was geschieht, wenn das Buch nicht mit der Wirklichkeit übereinstimmt oder seine Korrektur nicht rechtzeitig in den veröffentlichten Objekten ankommt?

Invalid ist ein technisches Ergebnis, kein allgemeines Verbot

Die Unterscheidung zwischen Signal und Wirkung ist der Kern des Mechanismus. Ein ROA trägt eine kryptografisch prüfbare Aussage über einen Präfix, eine zulässige Ursprungnummer und eine Reichweite von Präfixlängen. Route Origin Validation ordnet eine beobachtete BGP-Ankündigung anhand der verfügbaren Daten einem Zustand wie Valid, Invalid oder NotFound zu. Im Fall eines AS0-ROA ist eine gewöhnliche Ursprungnummer gerade nicht durch dieses Objekt autorisiert. Deckt das Objekt die Ankündigung ab und fehlt eine passende Autorisierung, kann die Auswertung Invalid ergeben.

Dieses Ergebnis ist nicht gleichbedeutend mit der Entfernung einer Route. Der Validierer greift nicht als universeller Schalter in alle Router ein. Ein Netzbetreiber entscheidet in seiner eigenen Konfiguration, ob Invalid-Routen verworfen, schlechter gewichtet, nur markiert, protokolliert oder zunächst gar nicht anders behandelt werden. Verschiedene Betreiber können aus demselben Validierungszustand verschiedene Konsequenzen ziehen. Ein Netz kann streng ablehnen, ein anderes nur einen Alarm erzeugen, ein drittes zusätzliche Kontextdaten abwarten. Die praktische Wirkung ist deshalb verteilt und ungleichmäßig, nicht zentral und einheitlich.

Ebenso wenig ist Invalid ein Rechtsurteil. Es entscheidet nicht über Eigentum, Vertragsrechte, Schuld, Missbrauch oder die Rechtmäßigkeit eines Unternehmens. Es sagt innerhalb eines technischen Prüfverfahrens, dass die beobachtete Kombination aus Präfix, Ursprung und Länge nicht zu den ausgewerteten Autorisierungen passt. Die Aussage kann nützlich sein, obwohl sie eng ist. Sie wird gefährlich missverstanden, wenn aus ihr eine weitergehende Legitimitätsentscheidung gemacht wird, die der technische Zustand nicht trägt.

Für Draft 1 folgt daraus eine doppelte Verantwortungsgrenze. AFRINIC hätte durch die vorgeschlagene Veröffentlichung ein Eingangssignal bereitgestellt, nicht die endgültige Routingentscheidung getroffen. Betreiber wären die entscheidenden Prinzipale geblieben. Sie tragen die Folgen für Erreichbarkeit, Kunden, Sicherheit, Kapital und Betriebszeit und müssen deshalb die lokale Reaktion kontrollieren. Zugleich kann AFRINIC sich nicht darauf zurückziehen, die Betreiber hätten ja freiwillig entschieden.

Wer ein signiertes Sicherheitssignal aus dem eigenen Registerzustand publiziert, muss dafür sorgen, dass diese Grundlage präzise, aktuell und korrigierbar ist. Freiwillige Nutzung hebt die Dienstverantwortung des Herausgebers nicht auf.

Das Bild ist also weder das eines zentralen Verbots noch das eines folgenlosen Hinweises. Es ist eine Kette: private Registerklassifikation, signierte Veröffentlichung, Abruf durch Validierer, technische Zustandsbestimmung, lokale Richtlinie und schließlich eine betriebliche Konsequenz. An jedem Glied liegen andere Entscheidungen und Verantwortlichkeiten. Die institutionelle Qualität des Entwurfs bemisst sich daran, ob diese Trennung sichtbar bleibt und ob ein Fehler am Anfang schnell genug gestoppt werden kann, bevor er sich durch die folgenden Glieder vervielfacht.

Der Fehlerweg ist der eigentliche Machtweg

Solange der Registerstatus richtig ist, erscheint die Kette sauber. AFRINIC führt Raum als nicht zugeteilt, publiziert eine entsprechend begrenzte AS0-Aussage, Validierer erkennen eine gewöhnliche Ursprungankündigung als nicht erwartet, und Betreiber reagieren nach eigener Risikopolitik. Die schwierige Governance-Frage entsteht nicht im Normalfall, sondern in der Abweichung zwischen Buch und Wirklichkeit.

Ein Fehler kann in dieser Analyse verschiedene Formen annehmen, ohne dass behauptet werden müsste, eine davon sei unter Draft 1 tatsächlich eingetreten. Ein Datensatz könnte irrtümlich als nicht zugeteilt klassifiziert sein. Ein legitimer Statuswechsel könnte bereits beschlossen oder wirksam sein, während das negative Objekt noch veröffentlicht bleibt. Die Rücknahme könnte im Register erfasst, aber im Repository noch nicht sichtbar sein. Ein Validierer könnte noch einen alten Stand beobachten.

Oder eine Auseinandersetzung über den zutreffenden Status könnte bestehen, ohne dass der negative Charakter der maschinenlesbaren Aussage für die betroffene Seite schnell überprüfbar wäre. Dies sind Konstruktionsrisiken, keine nachgewiesenen Vorfälle.

Ist der negative Zustand falsch oder veraltet, kann eine an sich legitime Ursprungankündigung in der Validierung Invalid erscheinen. Ein Betreiber, der Invalid-Routen verwirft, könnte die Ankündigung nicht annehmen. Ein anderer könnte sie herabstufen, ein dritter nur untersuchen. Daraus kann eine fleckige Erreichbarkeit entstehen: Manche Netze erreichen den Dienst, andere nicht; manche Kunden sehen Störungen, andere bemerken nichts. Wiederum ist dies der mögliche Wirkungsweg, nicht die Behauptung eines historisch eingetretenen Ausfalls.

Diese Asymmetrie erklärt, warum der Rückweg genauso wichtig ist wie die Publikation. Eine negative Aussage lässt sich leicht als Sicherheitsvorsorge rechtfertigen, solange nur der gewünschte Treffer betrachtet wird. Ihre institutionelle Qualität zeigt sich jedoch daran, wie der Herausgeber einen falschen Treffer erkennt, anhört, korrigiert und bis zu den beobachtenden Validierern zurückverfolgt. Ohne diesen Weg verwandelt eine private Fehlklassifikation ihre Reichweite: Sie bleibt rechtlich eine private Dienstpanne, kann technisch aber in vielen autonomen Netzen gleichzeitig sichtbar werden.

Die Signatur verstärkt dabei nicht die Wahrheit, sondern die Verlässlichkeit der Herkunft und Integrität des Objekts. Betreiber können sicherer erkennen, dass die Aussage innerhalb der einschlägigen Zertifikatskette veröffentlicht wurde. Gerade deshalb muss der sachliche Ursprung der Aussage einer strengeren Kontrolle unterliegen. Ein präzise signierter Irrtum ist kein kleinerer Irrtum. Er ist leichter automatisiert zu verbreiten und kann wegen des Vertrauens in die Publikationskette schneller in betriebliche Regeln eingehen.

Der angemessene Gegenentwurf ist weder Misstrauen gegen jede Automatisierung noch die Aufwertung des Herausgebers zu einer Instanz über den Netzen. Es ist eine Architektur der begrenzten, beobachtbaren Reversibilität. Der Status muss exakt definiert sein, die Quelle der Klassifikation sichtbar, die Übersetzung in RPKI-Objekte prüfbar, der Konflikt vor Veröffentlichung erkennbar, die Änderungsgeschichte erhalten und die Rücknahme zeitlich mit jeder legitimen Nutzung koordiniert werden. Erst dann bleibt die technische Hebelwirkung ein Sicherheitsdienst statt eines unkontrollierten Verstärkers privater Buchungsfehler.