Zusammenfassung

  • Der RIPE-RIS-Schnappschuss vom 8. Oktober, 00:00 UTC, listet 91 IPv4-Präfixe mit Ursprung AS24940; die rpki-client-Seite wurde um 02:35:34 UTC erzeugt.
  • Der Abgleich findet für 63 Routen eine längenzulässige VRP desselben Ursprungs. Bei 49 dieser Routen überschreitet mindestens eine passende Maximallänge die Länge der beobachteten Route. Gezählt werden Routen, nicht eindeutige ROA-Objekte.
  • Routinator meldet für Test-/24 unter den drei enger gefassten Präfixen weiterhin invalid_length und für ein Test-/24 in 78.46.0.0/15 valid. Das belegt weder eine aktive /24-Ankündigung noch Verkehr oder universelle ROV-Filterung.

Die Route ist die Prüfeinheit

Die beiden Snapshots stammen aus getrennten Systemen und liegen 2 Stunden 35 Minuten auseinander: RIS um 00:00 UTC, die rpki-client-Seite um 02:35:34 UTC. Dort sind 73 IPv4-VRP-Präfixeinträge für AS24940 aufgeführt; 53 erlauben ein spezifischeres Präfix als den jeweiligen Eintrag. 52 reichen bis /24, ein /24-Eintrag sogar bis /32. Beim Abgleich von Präfixabdeckung, Ursprung und Maximallänge finden 63 der 91 RIS-Routen eine VRP desselben Ursprungs, die ihre Länge zulässt. Bei 49 ist die maximale Länge breiter als die von RIS beobachtete Route. Diese 49 zählen Routenpräfixe, keine 49 eindeutigen ROA-Objekte.

Für die übrigen 28 fand dieser systemübergreifende Abgleich keine AS24940-Autorisierung, die ihre Länge zulässt; ohne zeitlich abgestimmte Einzelprüfung lassen sie sich nicht als unknown, invalid_asn oder invalid_length einstufen. Madorys Zahl 50 stammt aus einer früheren, anders abgegrenzten Messung; die Differenz belegt weder Zu- noch Abnahme.

Eine RPKI-Abfrage am 8. Oktober liefert für AS24940 von Hetzner Online zwei unterschiedliche Ergebnisse. Die aktuelle ROA für 162.55.0.0/16 begrenzt die maximale Länge auf /16; ein Test für 162.55.80.0/24 erhält deshalb invalid_length. Die separate ROA für 78.46.0.0/15 erlaubt weiterhin /24, und 78.46.0.0/24 bleibt valid. RIPEstats network-info ordnet eine Adresse aus diesem zweiten Bereich derzeit der von AS24940 stammenden /15-Route zu.

Der Unterschied ist relevant, weil das erste Präfix Teil des BGP-Hijacks gegen Softaculous im August war. Das Unternehmen steht hinter dem Update-Dienst Virtualizor. Der Internetanalyst Doug Madory berichtete in einem Gastbeitrag auf dem APNIC Blog vom 22. September, Hetzner habe die maximale Länge der ROA für 162.55.0.0/16 auf /16 begrenzt. Zwei weitere ROAs seien ebenfalls angepasst worden: 213.133.96.0/19 von /24 auf /19 und 213.239.192.0/18 von /24 auf /18.

Die aktuellen Routinator-Tests stimmen mit diesen drei Änderungen überein. Ein hypothetisches /24 innerhalb jedes Präfixes erhält nun invalid_length; die Maximalwerte lauten /16, /19 und /18. Das sind Validierungstests und keine Behauptung, diese /24 seien tatsächlich angekündigt worden. Sie zeigen, wie die heutigen ROAs eine entsprechende Ankündigung mit AS24940 als Ursprung behandeln würden.

Diese Grenze bestimmt die Sicherheitsbewertung. Die RPKI-Origin-Validation prüft, ob angekündigtes Präfix und Ursprungs-ASN zu einer veröffentlichten ROA passen. Sie authentifiziert nicht jeden Hop im AS_PATH und beweist nicht, dass eine Route gutartig ist. Eine breite Maximallänge kann ein spezifischeres Präfix durch die Origin-Prüfung lassen, wenn es den autorisierten Ursprung ausweist. Valid beschreibt somit die Übereinstimmung mit der ROA und ist kein Vertrauenssiegel für die Route.

Die drei Änderungen sind dennoch eine wirksame Kontrolländerung: Sie beeinflussen, welche Ankündigungen der Validator für diese Blöcke akzeptiert. Doch die Korrektur dreier Präfixe belegt nicht, dass jede aktive Route ebenso eng autorisiert ist. Der sinnvolle Nachverfolgungsumfang ist die vollständige Menge der Routen und ROAs einschließlich Ausnahmen und Zeitstempeln—nicht nur die Zahl der geänderten Objekte.

Quellen