Zusammenfassung

  • Ein von AFRINIC gemeldeter Test von ungefähr fünf Minuten betraf das Erzeugen oder Widerrufen von AS0-Objekten beim Herausgeber. Er belegte keine ebenso schnelle Übernahme durch Repositorien, Validatoren, Caches, Router oder Kundennetze.
  • Die einzige belegte Änderung der zweiten Fassung war die Möglichkeit eines eigenständigen TAL. Sie konnte die besondere, vom Register erzeugte AS0-Klasse freiwillig auswählbar und zunächst getrennt messbar machen, ohne die lokale Entscheidungshoheit der Betreiber zu ersetzen.
  • Der Vorschlag verlangte den Widerruf und die Nicht-Sichtbarkeit abdeckender AS0-Objekte vor einer Zuteilung oder Zuweisung. Offen blieben jedoch unter anderem Gültigkeitsdauer, Notfallzugang, Korrekturbeleg, Konvergenzziel und Verantwortungsgrenzen.
  • AFRINIC blieb dabei eine private technische Buchhalterin und Koordinatorin. Ein signiertes Objekt war ein technischer Nachweis aus dem Registerzustand, kein Befehl an das Routing, kein Eigentumsurteil und keine öffentliche Hoheitsausübung.
  • NRS, Heng Lu, LARUS und BTW liefern zusammen einen praktischen Gegenentwurf: unabhängige Beobachtung, dünne Koordination, Kontinuität für Betreiber und Kunden sowie eine Darstellung, die Nutzen und Wissensgrenzen gleichermaßen sichtbar macht.

Der Abstand zwischen dem Widerruf und seiner Wirkung

Fünf Minuten sind eine beruhigend konkrete Zahl. Gerade deshalb verlangen sie eine genaue Ortsangabe. Auf der AFRINIC-32 berichteten Mitarbeitende über Tests, in denen AS0-Objekte ungefähr fünf Minuten bis zum Widerruf benötigten. Ein Teilnehmer erinnerte zugleich daran, dass Veröffentlichung oder Widerruf eines Objekts nur ein Schritt sei und weitere Faktoren bestimmten, was tatsächlich beobachtet werde. Beides gehört zusammen. Die Zahl beschreibt einen Versuch auf der Seite, die das Objekt erzeugt und entfernt.

Sie beschreibt nicht die längere Reise des geänderten Zustands durch Repositorien, Abrufpläne, Validatoren, Zwischenspeicher und schließlich die lokalen Systeme eines Netzes.

Der Unterschied ist keine technische Spitzfindigkeit. Er entscheidet darüber, ob ein Fehler lediglich kurz in einer privaten Registerführung steht oder ob er für einen Betreiber zur länger sichtbaren, möglicherweise kostspieligen Abweichung wird. Ein Herausgeber kann ein Objekt widerrufen und damit seinen eigenen veröffentlichten Zustand korrigieren. Ein Validator kann dennoch vorübergehend eine ältere Sicht führen. Zwei Netze können deshalb zur selben Zeit unterschiedliche technische Validierungszustände sehen. Das eine Netz hat die Änderung bereits abgerufen; das andere arbeitet noch mit einem Cache, der vor dem Widerruf aktualisiert wurde.

Und selbst wenn beide denselben Zustand sehen, können sie verschieden reagieren: überwachen, niedriger gewichten, zurückweisen oder überhaupt keine Routingänderung vornehmen.

Die zweite Fassung des Vorschlags setzte genau an einem Teil dieser Kette an. Sie erlaubte, die vom Register erzeugten AS0-Objekte unter einem eigenständigen Trust Anchor Locator, kurz TAL, bereitzustellen. Das war die einzige belegte Ergänzung gegenüber dem vorherigen Text. Der bestehende Kern blieb bestehen: automatische AS0-Abdeckung bestimmter nicht zugeteilter Registerbestände, Ausschluss bereits zugeteilter Mitgliedsressourcen aus dieser automatischen Ausgabe und Entfernung der abdeckenden Objekte vor einer neuen Zuteilung oder Zuweisung. Neu war nicht eine zusätzliche Macht über Routen.

Neu war eine mögliche Trennung des besonderen Signals von gewöhnlichen, durch Inhaber erzeugten Autorisierungen.

Diese Trennung hatte zwei greifbare Eigenschaften. Erstens konnte ein Betreiber selbst entscheiden, ob er gerade diese besondere Klasse überhaupt einliest. Zweitens konnte ihre anfängliche Wirkung getrennt gemessen werden. Wer einen eigenständigen TAL nicht auswählte, musste die registererzeugten AS0-Objekte nicht gemeinsam mit anderen Vertrauensankern übernehmen. Wer ihn auswählte, konnte die daraus entstehenden Validierungsbeobachtungen von gewöhnlichen Inhaberobjekten unterscheiden. Das machte die Übernahme freiwilliger und die Beobachtung sauberer.

Es machte aber weder den Registerbestand fehlerfrei noch den Widerruf augenblicklich überall sichtbar.

Was das AS0-Signal aussagt – und was nicht

Ein AS0-ROA drückt technisch aus, dass der abgedeckte Präfix und seine spezifischeren Präfixe nicht im Routing verwendet werden sollten. Im hier untersuchten Modell stammte dieses Signal für den automatischen Teil aus dem Bestand, den AFRINIC als verfügbar oder reserviert führte. Neu von IANA oder PTI erhaltene Präfixe sollten nach der Auslegung der Mitarbeitenden sofort ein AS0-Objekt erhalten. Auch zurückgegebene oder zurückgeforderte Präfixe sollten nach dieser Auslegung in die Abdeckung gelangen.

Bereits zugeteilte Ressourcen von Mitgliedern lagen außerhalb der automatischen Registerausgabe; ein Inhaber konnte für Ressourcen unter seinem eigenen Konto selbst optional AS0-Objekte erzeugen.

Die Reichweite des technischen Signals darf nicht sprachlich aufgebläht werden. AFRINIC konnte für nicht zugeteilten Bestand in ihrem eigenen Registerdienst signieren, weil sie dort die technische Buchführung und die zugehörige Signieroberfläche kontrollierte. Das war ausschließliche administrative Kontrolle über einen privaten Dienst, keine staatliche oder überstaatliche Zuständigkeit. Weder entstand dadurch Eigentum am Adressraum noch eine gesetzgeberische, regulatorische, polizeiliche, strafende, einziehende oder richterliche Befugnis. Das Objekt klassifizierte auch keinen Betreiber rechtlich und stellte keinen Missbrauch fest.

Es lieferte technische Evidenz, die eine aufnehmende Partei nach eigenen Regeln auswertete.

Diese Begrenzung ist für die Fehlerfrage zentral. Wenn ein AS0-Objekt irrtümlich oder veraltet ist, entfernt das Register nicht selbst eine Route aus dem Internet. Der mögliche Schaden entsteht erst durch eine Kette unabhängiger Entscheidungen und zeitlich versetzter Zustände. Ein Netz muss den eigenständigen TAL ausgewählt haben. Sein Validator muss das Objekt gesehen haben. Seine lokale Richtlinie muss dem entstehenden Zustand eine operative Folge geben. Die Reichweite eines Fehlers hängt daher nicht nur von der Ausgabe ab, sondern von freiwilliger Übernahme, technischer Verteilung und lokaler Reaktion.

Gerade dieser dezentrale Charakter kann Folgen zugleich begrenzen und schwerer vorhersagbar machen. Er begrenzt sie, weil nicht jedes Netz denselben TAL einliest oder dieselbe Reaktion konfiguriert. Er macht sie schwerer vorhersagbar, weil es keinen einzigen Zeitpunkt gibt, an dem „das Internet“ geschlossen von falsch auf richtig umschaltet. Ein Betreiber kann schon wieder den korrigierten Zustand sehen, während ein Kunde über eine andere Kette noch die frühere Klassifizierung erlebt. Ein Monitoring-System kann die Abweichung melden, obwohl die Datenebene nicht verändert wurde.

Anderswo kann eine striktere lokale Regel eine Erreichbarkeitswirkung erzeugen. Das sind mögliche Mechanismen, keine belegten Vorfälle.

Der ernst zu nehmende Nutzen

Die faire Beurteilung beginnt nicht mit Misstrauen, sondern mit dem stärksten vernünftigen Fall für die Änderung. Bei tatsächlich verfügbarem oder reserviertem Bestand kann ein korrekt begrenztes AS0-Objekt eine nützliche, kryptografisch prüfbare Warnung sein. Es übersetzt den Registerstatus in einen Nachweis für Netze, die genau diesen Nachweis verwenden wollen. Ein Betreiber, der Hinweise auf unerwartete Ursprünge sucht, kann damit Beobachtungskosten senken. Er muss nicht jede Behauptung über nicht erwartete Nutzung allein aus verstreuten Signalen zusammensetzen.

Ein eigenständiger TAL verbessert diesen Nutzen auf eine Weise, die institutionell wichtig ist. Er macht das besondere Registersignal nicht untrennbar von gewöhnlichen Inhaberautorisierungen. Ein Netz kann zunächst nur beobachten und vergleichen. Forschende oder Betreiber können die Treffer, Korrekturen und Verteilungszeiten dieser Klasse gesondert betrachten. Wenn die Ergebnisse schlecht sind, kann das Netz die Übernahme beenden, ohne die gesamte RPKI-Nutzung aufzugeben. Diese Ausstiegsmöglichkeit ist keine Nebensache; sie ist die technische Form freiwilliger Zustimmung.

Auch die Regel für den Übergang in eine Zuteilung erkannte ein echtes Risiko. Bevor AFRINIC einen abgedeckten Bestand zuteilen oder zuweisen würde, mussten die entsprechenden AS0-Objekte widerrufen und in den Repositorien nicht mehr sichtbar sein. Der Sicherheitsgedanke dahinter ist richtig: Ein Objekt, das „nicht zur Nutzung erwartet“ signalisiert, darf nicht parallel zur Freigabe für eine legitime Nutzung fortbestehen. Die Entfernung war damit eine Voraussetzung des Übergangs, nicht bloß spätere Aufräumarbeit.

Dieser wohlwollende Fall verdient Anerkennung. Getrennte Auswahl, getrennte Messung und eine vorgeschaltete Widerrufsbedingung sind echte Begrenzungen. Sie können den Nutzen einer Warnung erhalten und zugleich verhindern, dass ihre Nutzung als unausweichlicher Standard behandelt wird. Die zweite Fassung bewies damit keine neue öffentliche Macht. Sie bot vielmehr ein Instrument, durch das Netze genauer bestimmen konnten, welchem privaten technischen Signal sie vertrauen.

Wo der Beleg endet

Die Akten belegen jedoch nicht, dass die Option tatsächlich eingesetzt wurde. Sie belegen weder eine Einführung im Produktivbetrieb noch die Auswahl durch einen benannten Betreiber. Es ist kein konkretes AS0-Objekt aus einer solchen Einführung nachgewiesen, kein betroffener Präfix, keine zurückgewiesene Route, kein Ausfall, kein Verlust eines Inhabers und kein gemessener Sicherheitsgewinn. Die zweite Fassung war eine Veröffentlichung eines Vorschlagstextes; aus ihrem Inhalt darf keine spätere praktische Wirkung abgeleitet werden.

Auch der ungefähr fünfminütige Test ist enger, als sein Klang vermuten lässt. Er liefert einen Hinweis darauf, dass Mitarbeitende das Erzeugen oder Widerrufen am Register erprobten. Er liefert keine Verteilung der Zeiten, keine Angabe zu Beobachtungspunkten und keine Zusage, wann jede abhängige Stelle die Änderung übernommen hätte. Eine Messung am Herausgeber ist wichtig, weil eine langsame Quelle jede weitere Korrektur verzögern würde. Sie ist aber nur die erste Uhr in einem System aus mehreren Uhren.

Unbestimmt blieben zudem die Gültigkeitsdauer der Objekte und das genaue Freigabeverfahren; beides sollte internen Verfahren überlassen werden. Nicht festgelegt waren der Standard für die Wahl des eigenständigen TAL, der Ablauf einer Einführung, die genaue Bedeutung einer getrennten Messung, ein authentifizierter Notfallkanal, ein überprüfbarer Korrekturstatus, ein Dienstziel für die Fehlerbehebung, Nachweise über die Konvergenz von Caches und die Zuordnung von Verantwortung für mögliche Betreiber- oder Kundenkosten. Die Möglichkeit eines eigenständigen TAL schuf also einen guten Ausschalter.

Sie schuf noch keinen vollständigen Vertrag darüber, wie ein Fehler erkannt, bestritten, korrigiert, verteilt und abgeschlossen wird.