Summary

  • APNICs Akte zeigt Konsens und die Zustimmung des Executive Council zu prop-166 sowie eine abgeschlossene technische Umsetzung; Änderungen an der Certification Practice Statement und den RPKI-Nutzungsbedingungen stehen jedoch noch aus.
  • Die Richtlinie würde APNIC erlauben, das Ressourcenzertifikat einer selbst betriebenen RPKI-CA zu widerrufen, wenn deren aktuelles Manifest und ihre Sperrliste länger als 60 Tage nicht gefunden und validiert werden können.
  • Offen ist nicht, ob APNIC eine ausgefallene CA erkennen kann, sondern ob Warnung, Entscheidung, Nachweise und Wiederherstellung für Betreiber verlässlich nachvollziehbar sind.

Der aufschlussreichste Eintrag in der Geschichte von prop-166 ist nicht das Datum des Konsenses. Es ist der Vermerk vom 11. Februar 2026: „Technical Implementation complete – Awaiting Updates CPS/RPKI ToC“. Zum Berichtsstand am 5. September führte APNIC prop-166 in seiner Vorschlagsübersicht weiterhin unter „In Implementation“. Die Software mag bereit sein; die öffentlich nachvollziehbare Befugnis, die erklärt, wann und wie sie eingesetzt wird, ist noch nicht als abgeschlossen ausgewiesen.

Diese Unterscheidung ist für die Richtlinie zentral. Prop-166 betrifft selbst betriebene, auch als delegiert bezeichnete RPKI-Zertifizierungsstellen. Im Hosted Mode verwaltet APNIC Zertifikat und Publikationsinfrastruktur für den Ressourceninhaber. Im Self-Hosted Mode betreibt der Inhaber eine eigene CA und einen eigenen Publikationspunkt oder kombiniert die eigene CA mit APNICs Publikationsdienst. Damit erhält er operative Kontrolle, übernimmt aber auch die Verantwortung, die Publikationskette nutzbar zu halten.

Der Vorschlag adressiert einen bestimmten Fehlerfall. Kann APNIC das aktuelle Manifest und die aktuelle Certificate Revocation List einer selbst betriebenen CA länger als 60 Tage nicht finden und validieren, darf es die CA als Kind entfernen und ihr Ressourcenzertifikat widerrufen. Der Text verlangt angemessene Suchversuche und Benachrichtigungen an den Betreiber, wenn die Validierung scheitert und wenn der Widerruf erfolgt. APNICs Folgenabschätzung ergänzt, dass bekannte Kontakte vor der Entfernung Warnungen per E-Mail erhalten sollen.

Der Antragsteller begründet dies mit weniger Verschwendung bei den RPKI-Nutzern. Validatoren durchlaufen Publikationspunkte wiederholt, um signierte Objekte abzurufen und zu prüfen. Eine CA mit dauerhaft defektem Repository liefert keine aktuellen validierten Daten mehr, verbraucht aber weiterhin Synchronisationsversuche, Rechenleistung, Netzwerkverkehr und operative Aufmerksamkeit. Laut Vorschlag kann eine einzige Fehlkonfiguration Hunderttausende vergebliche Versuche auslösen. Diese Zahl stammt aus der Begründung des Antragstellers; APNICs Folgenabschätzung veröffentlicht dazu keine unabhängige Messung.

Der vorgesehene Anwendungsbereich ist bewusst eng. RPKI-CAs der National Internet Registries sind ausgeschlossen. Ziel ist die kleine Gruppe dauerhaft nicht funktionsfähiger, selbst betriebener CAs und nicht ein Betreiber mit einem kurzen Ausfall. APNIC übersetzt die „zwei Monate“ des Vorschlags in einen festen Zeitraum von 60 Tagen. Zudem geht es davon aus, dass die signierten Objekte der betroffenen CA, einschließlich ROAs, vor Ablauf dieser Frist bereits verfallen sind.

Der Widerruf wird damit nicht als sofortige Ungültigmachung noch aktueller Routing-Autorisierungen dargestellt. Die Registry schließt vielmehr einen aufgegebenen oder defekten Zweig, nachdem sein signierter Publikationszustand bereits veraltet ist. Ein Ressourceninhaber kann im normalen Verfahren erneut eine selbst betriebene CA anlegen. Der Eingriff ist folgenreich, soll aber keinen dauerhaften Ausschluss bewirken.

Die öffentliche Akte belegt den Fortgang der Richtlinie. Version 1 erschien am 31. Juli 2025. APNIC veröffentlichte die Folgenabschätzung am 15. August. Der Vorschlag erreichte am 11. September auf APNIC 60 Konsens, schloss den finalen Aufruf zur Stellungnahme am 14. Oktober ab und erhielt am 4. Dezember die Zustimmung des Executive Council. Am 11. Februar 2026 wurde die technische Umsetzung als abgeschlossen vermerkt. Nicht belegt sind bislang ein produktiver Starttermin, der endgültige Warnrhythmus, die Zahl betroffener CAs, bereits vollzogene Widerrufe oder gemessene Einsparungen für Validatoren.