Zusammenfassung

  • AFRINICs zentrale Resource-Certification-Seite bezeichnet einen aktiven Link als „RIPE NCC Validator“, während Zielseite und Beschreibung Routinator ausweisen; eine zweite AFRINIC-Seite verwendet bereits den aktuellen Namen.
  • Erreichbarkeit ersetzt keine Softwareprovenienz. Ein versionierter Leitfaden muss Anzeigename, Implementierung, Maintainer, Dienstbetreiber, Supportstatus, geprüfte Version, Einsatzzweck und Migration verbinden.

Die technische Probe ist unspektakulär. AFRINIC führt auf seiner Seite zum Resource Certification Program unter „Validators“ einen „RIPE NCC Validator“. Der Link https://rpki-validator.ripe.net/ui/ liefert eine erfolgreiche Antwort. Im Dokumenttitel steht allerdings „Routinator“, und die Beschreibung nennt eine Routinator-Oberfläche für Prefix Check sowie Validierungs- und Verbindungsdaten.

Der Dienst ist nicht ausgefallen. Die Dokumentation hat zwei Zeitstände übereinandergelegt.

Am 15. Juni 2021 kündigte das RIPE NCC an, die Unterstützung seines RPKI Validators zum 1. Juli zu beenden. Betreiber sollten auf Alternativen wie Routinator umsteigen. Das NCC begründete die Dringlichkeit ausdrücklich: Wer die nicht mehr aktualisierte Software weiter betreibe, könne Sicherheitsvorfälle riskieren. Am 10. September folgte die Migrationsnotiz für den öffentlichen Dienst. Die bekannte Adresse rpki-validator.ripe.net sollte am 16. September auf Routinator umgestellt werden.

Die URL blieb, damit Nutzer ihren Weg nicht verloren. Die Produktidentität wechselte.

AFRINIC veröffentlicht beide Zustände

Auf validator.afrinic.net bezeichnet AFRINIC die Seite als „RPKI Relying Party Software“. Dort stehen AFRINIC Rcynic und AFRINIC Routinator unter den lokal bereitgestellten Angeboten. Der RIPE-Dienst erscheint als „RIPE NCC: Routinator“. Diese Benennung stimmt mit der aktuellen Zielseite und mit der Migrationschronik des RIPE NCC überein.

Nur im Hauptleitfaden bleibt der Vorgängername stehen. Derselbe Abschnitt nennt RPKI.net rcynic und RPSTIR, zeigt aber weder Version noch Maintainer, Supportstatus oder Prüfdatum. Daraus folgt nicht, dass diese Projekte eingestellt, unsicher oder bei AFRINIC produktiv eingesetzt seien. Die Quellen lassen eine solche Aussage nicht zu. Sie zeigen lediglich, dass das Verzeichnis die nötigen Lebenszyklusangaben nicht sichtbar liefert.

Die stärkste Entgegnung lautet: Das praktische Ergebnis ist richtig. Wer klickt, landet bei Routinator und nicht bei einem veralteten Installationspaket. Die zweite AFRINIC-Seite nennt das Produkt korrekt. Verantwortliche Netzteams beziehen produktive RP-Software ohnehin aus gepflegten Projekt- und Paketquellen und prüfen Releases, Konfiguration und Betriebsmodell. Ein alter Linktext ist unter diesen Bedingungen ein kleiner redaktioneller Mangel.

Doch genau solche Texte wandern in Betriebshandbücher, Ausschreibungen, Schulungen und Prüfunterlagen. Dort bezeichnen „RIPE NCC Validator“ und „Routinator“ unterschiedliche Abhängigkeiten: andere Codebasis, anderer Maintainer, andere Releases, andere Fehlerhistorie. Eine weiterverwendete Adresse macht daraus nicht dasselbe Produkt. Sie nimmt nur den sichtbaren Bruch weg, der eine Aktualisierung erzwingen würde.

Der RP ist kein neutraler Bildschirm

RFC 8897 beschreibt RPKI-Relying-Party-Software als den Bestandteil, der Internet-Number-Resource-Daten aus dem Repository-System abruft und prüft. Die validierten Informationen können BGP-Entscheidungen unterstützen. Der RFC bündelt Anforderungen aus dreizehn Dokumenten in vier Bereiche: Abruf und Cache, Verarbeitung von Zertifikaten und Sperrlisten, Verarbeitung signierter Objekte und Verteilung des validierten Datenbestands.

Die Implementierung gehört damit zur Beweiskette. Ein Produktname verweist auf konkrete Standardwerte, Parser, Korrekturen, Ausgaben und Wartungsverantwortung. Er beweist nicht, dass ein einzelnes Ergebnis richtig ist. Ohne ihn lässt sich aber schwerer rekonstruieren, welcher Leser des RPKI das Ergebnis erzeugt hat.

Die stabile Dokumentation von NLnet Labs liefert einen Abgleich. Routinator 0.15.2 stellt seine HTTP-Oberfläche unter /ui bereit. Sie bietet den Prefix Check, Angaben zum letzten Validierungslauf sowie HTTP- und RPKI-to-Router-Metriken. Titel, Beschreibung und Pfad des aktuellen RIPE-Dienstes passen zu diesem Profil.

Zusätzlich sind Codepflege und Dienstbetrieb zu trennen. Das RIPE NCC bezeichnete seine öffentliche Instanz bei der Migration als best effort und riet davon ab, Produktionsdienste von ihrer Verfügbarkeit abhängig zu machen. Eine korrekte Zeile muss deshalb Produkt, Code-Maintainer, Betreiber der Instanz und vorgesehenen Einsatz jeweils gesondert nennen.

Eine Änderungsmatrix statt eines Gütesiegels

AFRINIC muss keine fremde Software zertifizieren und keinen Validator für alle Netze auswählen. Es sollte nur die Zuordnung prüfbar machen, die es mit einer Nennung ohnehin veröffentlicht.

Ein versioniertes Verzeichnis könnte pro Eintrag enthalten:

  • sichtbaren Text und kanonischen Produktnamen;
  • Implementierungsprojekt und aktuellen Maintainer;
  • Betreiber des gehosteten Dienstes, Ausgangs- und Ziel-URL;
  • Lebenszyklusstatus, unterstützte Release-Linie und letztes Prüfdatum;
  • konkret von AFRINIC geprüfte Funktion;
  • vorgesehenen Zweck: Demo, best-effort-Abfrage, Evaluation oder Produktion;
  • Vorgänger, Migrationsziel und maßgebliche Mitteilung;
  • Datum und Grund von Korrektur, Einstellung oder Archivierung.

Frühere Fassungen gehören in die Historie. Eine stille Textkorrektur auf „Routinator“ wäre heute hilfreich, würde aber nicht zeigen, wann AFRINIC die Migration von 2021 in seine öffentliche Anleitung übernahm. Eine geschlossene alte und eine datierte neue Zeile schaffen diese Nachvollziehbarkeit.

Auch Prüfbehauptungen brauchen getrennte Ebenen. HTTP 200 belegt Erreichbarkeit. Ein Seitentitel stützt die Anwendungsidentität. Ein Versionstest braucht Nummer und Prüfumfang. Produktionstauglichkeit ist eine weitere Entscheidung. Ein gemeinsames Häkchen darf diese vier Aussagen nicht vermischen.

Was nicht belegt ist

Nichts in den erfassten Seiten zeigt, dass AFRINIC den eingestellten RIPE NCC Validator verteilt oder betreibt. Der Link ist nicht defekt; er führt zu Routinator. Es gibt keinen Beleg für eine dadurch verursachte Fehlinstallation, ein Problem im AFRINIC-Repository, eine falsche ROA- oder VRP-Bewertung, eine betroffene Route oder einen Sicherheitsvorfall.

Ein fehlendes sichtbares Prüfdatum beweist auch keine unterlassene interne Kontrolle. Eine aktuelle Überprüfung kann stattgefunden haben. Außenstehende erhalten dafür nur keinen prüfbaren Nachweis.

Der belastbare Befund bleibt eng: Das RIPE NCC beendete den Support eines Produkts, behielt die Adresse, migrierte den Dienst zu Routinator und dokumentierte den Vorgang. AFRINIC zeigt an einer Stelle die neue, an einer anderen die alte Identität. Ein System für überprüfbare Ressourcenbehauptungen sollte auch den Namen des Programms, das diese Behauptungen liest, überprüfbar führen.

Quellen