Zusammenfassung

  • APNIC und NIXI unterzeichneten am 8. September 2026 ein Memorandum über ROV-Einführung in Indien, einen RPKI-Repository-Spiegel und lokale Schulungsstrukturen. Die Ankündigung belegt noch keine geänderte Produktions-Policy.
  • APNIC stellte 88,04 Prozent gültige ROA-Abdeckung für IPv4-Routenobjekte und 97,91 Prozent für IPv6 neben einen als Anteil filternder Netze beschriebenen ROV-Wert von 0,99 Prozent. Die verlinkte Methode ist nutzerzentriert und kann den Filter gewöhnlich nicht dem Edge- oder Transitnetz zuordnen.
  • Ein belastbarer Abschlussnachweis trennt fünf Flächen: ROA-Abdeckung, zeitgebundene I-ROV-Beobachtung, konfigurierte Betreiber-Policy, Verkehrs- und Pfadexposition sowie unterstützende Leistungen. Erst ein gemeinsamer Betreiberkreis und ein Datum verbinden sie.

Ein Tag, vier Messfenster

Für den 8. September 2026 weist die Indien-Zeitreihe von APNIC Labs nicht nur einen Wert aus. Beim Sieben-Tage-Fenster beträgt die filter_rate 1,138930, beim 14-Tage-Fenster 1,147895, unter dem Schlüssel 28 2,135396 und über 112 Tage 6,031948.

Alle vier Werte können innerhalb ihrer jeweiligen Definition stimmen. Ein längeres rollierendes Fenster enthält andere historische Beobachtungen und eine andere Zusammensetzung als ein kurzes. Wer nur eine Zahl herauslöst und sie „Indiens ROV-Verbreitung“ nennt, entfernt genau jene Angaben, die sie prüfbar machen: Fenster, Beobachtungszahlen, Datenstand und Methode.

Die Datenquelle enthält zudem eine offene Beschriftungsfrage. Ihre Beschreibung nennt Fenster von 7, 14, 38 und 112 Tagen; die Nutzdaten enthalten 7, 14, 28 und 112. Aus dem eingefrorenen Material lässt sich nicht ableiten, welche Zahl ein Schreibfehler ist. Ein sauberer Beleg hält daher den verwendeten Schlüssel und die abweichende Beschreibung fest, statt die Quelle stillschweigend zu reparieren.

Am selben Datum unterzeichneten APNIC und die National Internet Exchange of India ihr Memorandum auf der APNIC 62 in Mumbai. Laut APNIC wollen sie Betreiber und Unternehmen bei der Einführung von Route Origin Validation unterstützen. Hinzu kommen ein indischer RPKI-Repository-Spiegel als Pilot, örtliche Trainings- und Laborinfrastruktur, ein Train-the-Trainer-Programm und Online- wie Präsenzkurse.

Das ist eine plausible Wirkungskette. Es ist keine automatische. Ein Spiegel kann den Abruf signierter Daten verbessern. Ein Kurs schafft Fähigkeiten. Eine ROA veröffentlicht Ursprungsautorität. Ein Validator berechnet einen Zustand. Ob eine ungültige Route verworfen, abgewertet oder ausnahmsweise akzeptiert wird, entscheidet erst die lokale Routing-Policy.

Der signierte Ursprung ist noch keine Entscheidung

RFC 6811 definiert die Zustände Valid, Invalid und NotFound. Zugleich darf eine Implementierung eine Route nicht allein als Nebenwirkung ihres Validierungszustands aus dem Entscheidungsprozess entfernen, sofern dies nicht ausdrücklich konfiguriert wurde. Die Nutzung des Zustands ist lokale Policy. Darin steckt die Trennlinie zwischen RPKI-Verfügbarkeit und ROV-Durchsetzung.

APNICs Beitrag vom 17. August meldet für Ende Juli, dass 88,04 Prozent der IPv4-Routenobjekte und 97,91 Prozent der IPv6-Routenobjekte von einer gültigen ROA gedeckt seien. Das ist ein starker Befund auf der Seite der Ressourceninhaber. Er sagt, in welchem Umfang signierte Ursprungsaussagen vorliegen.

Er sagt nicht, dass derselbe Anteil indischer Netze Invalid-Routen verwirft. Er sagt auch nichts über den Anteil der Nutzer, des Verkehrs oder der Pfade, die eine solche Policy tatsächlich passieren. Ressourceninhaber und empfangender Netzbetreiber müssen nicht identisch sein. Eine hohe Signaturabdeckung lässt sich deshalb nicht in eine gleich hohe Filterabdeckung umrechnen.

Im selben Text heißt es, am 29. Juli filterten nur 0,99 Prozent der Netze ungültige Präfixe und Ankündigungen. Die Zeitreihe enthält für diesen Tag tatsächlich 0,990652 im Sieben-Tage-Fenster. Doch die öffentliche Methodik von APNIC Labs beschreibt keinen Inventurlauf durch die Router aller autonomen Systeme.

Eine umfassende Messung würde Einblick in den BGP-Zustand innerhalb jedes AS verlangen. Da dieser fehlt, nutzt APNIC Labs ein nutzerzentriertes Experiment. Kontrollierte Ziele werden über Routen erreicht, deren ROA-Zustand zwischen gültig und ungültig wechselt. Kann ein Nutzer das Ziel in der ungültigen Phase nicht erreichen, passt die Beobachtung zu einem Filter irgendwo auf dem Pfad.

„Irgendwo“ ist keine Nebensache. Die Methodik erklärt, dass Filter in Transitnetzen den Blick auf das Edge-Netz trüben. Ein Zugangsanbieter kann ungefiltert sein, während sein Upstream die Route verwirft. Umgekehrt kann ein Betreiber ROV nur an bestimmten Routern, Grenzen oder Sitzungstypen eingeführt haben und weiterhin Ausnahmen oder einen Rückfallpfad vorhalten.

Eine Nutzerbeobachtung ist daher keine Betreiberzählung. Eine Betreibererklärung ist keine Vollabdeckung aller Pfade. Und eine gültige ROA ist keine ausgeführte Routing-Regel. Der Plan braucht alle Perspektiven, aber keine darf sich als die andere ausgeben.

Die Konzentrationsthese braucht eine Expositionsrechnung

NIXIs Chief Executive setzt an einem realen Strukturmerkmal an. APNIC gibt seine Aussage wieder, wonach wenige große Betreiber den Großteil des indischen Internetverkehrs tragen. Wenn diese Schlüsselnetze ROV einführten, könne dies die Routinglandschaft der gesamten Volkswirtschaft spürbar absichern.

Als Priorisierungsregel ist das überzeugend. Eine Handvoll produktiver Änderungen in reichweitenstarken Netzen kann mehr bewirken als viele Schulungsteilnehmer ohne Rollout. Auch eine nutzerzentrierte Messung hat hier ihren Wert, weil sie Exposition anders gewichtet als eine bloße Liste von ASNs.

Die Mitteilung nennt jedoch weder die Betreiber noch ihren Verkehrsanteil oder dessen Berechnung. Sie definiert nicht, ob nationales Peering, internationaler Transit, Mobilverkehr oder andere Grenzen erfasst werden. Ebenso offen bleibt, welche Kunden-, Peer- und Transit-Sitzungen die Policy abdecken soll.

Ein großer Betreiber ist kein einzelner Pfad. Er betreibt mehrere Grenzen, Produkte, Upstreams und private Zusammenschaltungen. Eine Regel an einer Grenze schützt nicht automatisch jede Sitzung und jeden Nutzer. Gerade eine konzentrierte Strategie muss deshalb den Betreiberkreis vorab festlegen und die von dessen konkreter Policy erreichte Exposition nachweisen.

Fünf Nachweise statt einer Mischzahl

APNICs vom Board genehmigter Tätigkeitsplan 2026 verlangt Berichte über die Unterstützung von Mitgliedern bei Erstellung und Pflege gültiger ROAs und deren messbare Wirkung. Getrennt davon nennt er die Unterstützung identifizierter Betreiber bei der ROV-Einführung und deren messbare Wirkung. Halbjährlich soll außerdem die RPKI-Nutzung im asiatisch-pazifischen Raum berichtet werden. Aktivität und Wirkung sind bereits als unterschiedliche Gegenstände angelegt.

Der erste Nachweis betrifft die ROA-Abdeckung: IPv4 und IPv6 getrennt, Routenobjekt oder Adressspanne als Einheit, Valid/Invalid/NotFound, Stichtag und Datenversion. Er belegt veröffentlichte Autorität, nicht Filterung.

Der zweite betrifft die I-ROV-Beobachtung: Beacon-Methode, Länderzuordnung, Beobachtungszahlen, Fenster, Aktualisierung und Zuordnungsgrenze zwischen Edge und Transit. Er belegt eine gemessene Nutzer- und Pfaderfahrung.

Der dritte beschreibt die Betreiber-Policy: stabiler Zielkreis, ASNs oder begrenzte Zahl, Rollout-Datum, Policy-Version, erfasste Kunden-, Peer- und Transit-Sitzungen, Ausnahmen und Rollback-Status. Sensible Topologie kann aggregiert bleiben; der Umfang von „eingeführt“ darf es nicht.

Der vierte erfasst die Exposition: Methode für Verkehrsanteile, Nutzer- oder Pfadabdeckung, Reaktion auf kontrollierte Invalid-Ankündigungen, Vorfälle und Beobachtungszeitraum. Hier wird NIXIs Konzentrationsthese geprüft.

Der fünfte hält ermöglichende Leistungen fest. Der Spiegel braucht Ausgangswert, Ziel und Betriebsstatus für Zugriff und Resilienz. Bei Schulung sind Teilnahme, Laborabschluss, geplanter Wechsel, Produktionsänderung und dauerhaft erhaltene Konfiguration zu unterscheiden.

Verbunden werden die fünf Nachweise durch Betreiberkreis und Datum. Dann lässt sich zeigen, dass ein definierter Kreis Unterstützung erhielt, einen abgegrenzten Policy-Umfang änderte, eine gemessene Exposition erreichte und unter derselben Methode eine begrenzte Nutzerwirkung zeigte. Routeradressen, Kundenlisten oder geheime Topologie müssen dafür nicht veröffentlicht werden.

Was noch offenbleibt

Zum Recherchezeitpunkt war das Memorandum einen Tag alt. Keine Quelle belegt die Produktionsänderung eines benannten indischen Betreibers. 88,04 und 0,99 Prozent dürfen weder subtrahiert noch dividiert werden. Die Septemberwerte verschiedener Fenster beweisen keinen plötzlichen Rollout.

Ein Repository-Spiegel führt kein ROV aus; ein Validator erzwingt keine Routerentscheidung. ROV prüft die Ursprungsberechtigung, nicht den vollständigen AS-Pfad, und verhindert nicht allein jedes Leak oder Hijacking. Diese Grenzen zu veröffentlichen, macht das Programm nicht kleiner. Es macht seine späteren Ergebnisse belastbar.

Quellen