Zusammenfassung

  • ARIN-Vorschlag 2026.10 verlangte, dass technische Kontakte einzelner Ressourcen deren RPKI- und IRR-Einträge verwalten können. ARIN erkannte den Anwendungsfall am 4. September an, verwies auf interne Priorisierung und setzte den Vorgang ohne Liefertermin auf Closed.
  • Die ROA-Anleitung beginnt weiterhin beim RPKI-Menü einer Organisation. Ein nur mit der Ressource verbundener Techniker braucht zunächst jemanden mit Org-ID-Rechten; erst danach läuft die Zeit für Veröffentlichung und Verbreitung des ROA.

Der Techniker kennt den Prefix und den richtigen Origin-AS. Das Konto kennt ihn nur als Kontakt für diese Ressource. In ARIN-Vorschlag 2026.10 steckt genau diese Reibung: Wer für einen Teil des Bestands zuständig ist, soll die zugehörigen RPKI- und IRR-Daten ändern können, ohne einen Generalschlüssel für die ganze Organisation zu erhalten. Der öffentliche Vorgang ist geschlossen. Die bestehende Anmeldung führt weiterhin durch die Organisationstür.

Nathanael Jean-Francois reichte die Anregung am 20. August 2026 ein. Er beschrieb Unternehmen, in denen Org-Kontakte tägliche Arbeiten für einzelne Ressourcen an spezialisierte Techniker delegieren. Für ein ROA müsse der Ressourcenkontakt trotzdem den auf Organisationsebene eingetragenen Routing-Kontakt einschalten. Das verzögere nach seiner Darstellung die Behebung von Routing-Sicherheitsproblemen und die Bereitstellung neuer Dienste. Gemessene Wartezeiten oder eine Anzahl betroffener Vorfälle enthält die Eingabe nicht. Belegt ist die Trennung zwischen Arbeit am Prefix und Berechtigung zur Signatur seiner Herkunft.

ARIN antwortete am 4. September, dass der Wunsch nach feinerer Kontrolle für RPKI und IRR nachvollziehbar sei. Er werde bei der internen Priorisierung künftiger Verwaltungs- und Berechtigungsfunktionen berücksichtigt. Gleichzeitig steht auf der Seite Closed. Ein Veröffentlichungsdatum oder eine öffentlich prüfbare Entwicklungsstufe fehlt. Die ROA-Anleitung verlangt nach wie vor die Auswahl der Organisation und dann „Manage RPKI“, sowohl für Erstellung als auch Löschung. Auch die RPKI-FAQ führt über die Org ID der Ressource zu den zertifizierten Beständen.

Der Unterschied zwischen Ressourcenkontakt und Organisationskontakt ist entscheidend. ARINs Org-ID-Hilfe beschreibt die Verbindung von Benutzerkonto, POC und Organisation. Wer die passenden Org-Rechte besitzt, kann handeln. Der Vorschlag behandelt einen Techniker, der nur der bestimmten Ressource zugeordnet ist. Ihm Org-weite Rechte zu geben, würde die Abstimmung verkürzen und zugleich fremde Prefixe öffnen. Eine Delegation je Ressource würde die Berechtigung an den tatsächlichen Arbeitsbereich binden.

Ein ROA ist eine signierte Aussage, welcher AS einen Prefix ankündigen darf. Bei einem Wechsel des Origin-AS oder einem falschen Eintrag kann der zuständige Techniker die Korrektur zuerst bemerken. Der Weg über einen anderen Kontoinhaber verbraucht Zeit. Eine breite neue Berechtigung könnte aber ebenso falsche ROAs für unbeteiligte Ressourcen ermöglichen. Deshalb müsste ein feineres Modell die betroffenen Ressourcen exakt benennen, bei Zuständigkeitswechsel die Rechte entziehen und jede Änderung nachvollziehbar protokollieren. Ein zusätzliches Häkchen ohne Reichweite wäre kein sauberes Berechtigungsmodell.

Für die Zeit nach dem Klick veröffentlicht ARIN bereits Zahlen. Laut FAQ kommt ein neu erzeugtes ROA sofort ins Repository; dieses wird alle fünf Minuten veröffentlicht. Bis das ROA Internet-Routing beeinflusst, sollen Nutzer nach seiner Erstellung 30 bis 60 Minuten erwarten. Darin steckt keine Messung der vorherigen Suche nach einem berechtigten Org-Kontakt. Bei Löschung beschreibt die ROA-Seite eine sofortige Änderung in ARINs Datenbank und eine Übernahme ins öffentliche Repository innerhalb von 24 Stunden. Technische Verteilung und menschliche Freigabe sind zwei getrennte Uhren.

Der ACSP-Ablauf sieht für als offensichtlich umsetzbar bewertete Vorschläge einen offenen Vorgang bis zur Umsetzung vor, auch ohne Termin. Bei 2026.10 ist öffentlich die Kombination aus Schließung und interner Prüfung dokumentiert. Daraus lässt sich kein Zeitplan ablesen. Eine nachprüfbare Ressourcenkontakt-Rolle, die nur zugewiesene Prefixe bearbeiten darf, oder eine datierte Produktzusage würde den Befund verändern.

Bis dahin sollten Betreiber für jede Org ID notieren, wer ROAs erstellen und entfernen kann, wer als Vertretung erreichbar ist und wie diese Person im Notfall aktiviert wird. ARIN hat die Lücke erkannt. Der Vorgang ist zu; der Schlüssel liegt weiter oben.

Vorschlag und ARIN-Antwort · ACSP-Ablauf · ROA-Verwaltung · RPKI-FAQ · Org-ID-Hilfe