Zusammenfassung

  • LACNICs CMS-Inhalt 4984 zeigt zwei vollständige /rpki/-Adressen an, speichert als href jedoch zwei Pfade unter /innovaportal/file/4983/1/.
  • Am 30. August antworteten beide sichtbaren Adressen mit HTTP 200, text/html, 7.014 Byte und demselben SHA-256. Die Klickziele lieferten zwei unterschiedliche TALs mit 502 und 518 Byte.
  • Beide TALs benennen unterschiedliche Zertifikate; beide Zertifikate waren abrufbar. Das belegt eine Abweichung der Veröffentlichung, nicht einen Fehler von Validator, Repository, Schlüssel, ROA oder Route.
  • Ein Auslieferungsbeleg sollte sichtbaren Text und aufgelöstes Ziel gemeinsam prüfen und Medientyp, TAL-Grammatik, Hash, Zertifikatsbezug und Korrekturhistorie verbinden.

Was die Seite schreibt und was der Browser tut

Die Seite RPKI Trust Anchors - TAL erläutert zunächst den gewöhnlichen LACNIC-TAL und anschließend die besondere AS0-Variante. Als Downloadpfade nennt sie /rpki/lacnic.tal und /rpki/lacnic-as0.tal auf LACNICs öffentlichem Host.

Im CMS-Datensatz 4984 stehen unter diesen Beschriftungen aber die hrefs /innovaportal/file/4983/1/lacnic.tal und /innovaportal/file/4983/1/lacnic-as0.tal. Die Frontend-Umgebung setzt innova.lacnic.net/innovaportal als Basis des alten Dienstes.

Ein Klick folgt dem href. Eine Kopie übernimmt den sichtbaren Text. Redakteure testen meist den ersten Weg, Betriebsteams verwenden oft den zweiten in Skripten, Tickets oder Handbüchern. Beide Handlungen sehen auf der Seite gleichbedeutend aus, adressieren technisch jedoch verschiedene Oberflächen.

Ein Legacy-Download ist nicht automatisch ein Mangel. Entscheidend ist, ob die sichtbare Adresse als kanonischer Endpunkt, Alias oder bloße Beschriftung gelten soll. Ohne diese Aussage trägt jeder Verbraucher die Zuordnung selbst aus.

Zweimal HTTP-Erfolg, zweimal der falsche Dokumenttyp

Am 30. August 2026 um 04:48 UTC wurden beide sichtbaren Adressen ohne Cache abgerufen. Sowohl die gewöhnliche Anzeigeadresse als auch die AS0-Anzeigeadresse antworteten mit 200 und text/html.

Beide Antworten umfassten 7.014 Byte und hatten den SHA-256 7a17eab5484db68fe84e396d8fb7b6326cfff37d10c7467c0296655a899dc416. Auch Last-Modified, 28. August 2026 um 13:20:15 GMT, war gleich. Inhaltlich handelte es sich um die Startschale der LACNIC-Webanwendung.

Der Zeitstempel markiert nicht den Beginn der Abweichung. Die Messung sagt nichts über frühere Antworten, fremde Caches oder tatsächliche Nutzer aus. Sie zeigt lediglich, dass eine reine Statusprüfung beide URLs fälschlich als TAL-Verfügbarkeit verbuchen könnte.

Ein Parser hätte den Unterschied sofort erkannt. Ein TAL braucht Zertifikats-URIs und öffentliches Schlüsselmaterial. Ein HTML-Dokument erfüllt diese Grammatik nicht, gleichgültig wie seine URL endet.

Hinter den Links lagen zwei intakte, verschiedene Dateien

Das gewöhnliche Innovaportal-Ziel lieferte application/aux, 502 Byte und SHA-256 d44bb9394ab009c8b53e5efebf2a1c9450bab61a27efe00de5a3e4587a3a2f6a. Es nennt HTTPS- und rsync-Orte des gewöhnlichen Trust-Anchor-Zertifikats.

Das AS0-Ziel lieferte 518 Byte und SHA-256 671a1b78c51ac023e7500212f0039699e94f4143eab05260284eccc3858e9eff. Repository-Pfad, Zertifikat und Schlüsselmaterial unterscheiden sich.

Das gewöhnliche Zertifikat mit 1.166 Byte und das AS0-Zertifikat mit 1.160 Byte waren erreichbar. Daraus folgt weder eine umfassende Repository-Gesundheit noch ein kryptographisches Urteil. Es begrenzt den Befund: Die konkret benannten Objekte waren vorhanden, die sichtbaren Adressen waren falsch ausgerichtet.

LACNIC weist zudem darauf hin, dass die meisten Validierungswerkzeuge benötigte TALs bereits mitbringen. Eine Nutzer- oder Routenauswirkung lässt sich aus der Dokumentationsoberfläche deshalb nicht ableiten.

Der Standard liefert die Prüfschritte

RFC 8630 ordnet in einem TAL eine oder mehrere Zertifikats-URIs, eine Leerzeile und den Base64-kodierten öffentlichen Schlüssel an. Anschließend wird ein aktuelles, selbstsigniertes RPKI-CA-Zertifikat geladen und dessen Schlüssel verglichen.

Namensauflösung, HTTP-Antwort, TAL-Parsing, Zertifikatsabruf und Schlüsselgleichheit sind getrennte Zustände. Ein 200er-Code ersetzt keinen davon.

Für eine Webseite kommt noch die redaktionelle Identität davor: Benennt die sichtbare URL dasselbe Artefakt wie das ausgeführte Ziel? Abweichungen sind zulässig, wenn Redirect oder Alias ausdrücklich definiert sind. Bei Bootstrap-Material darf diese Beziehung nicht nur im HTML-Attribut verborgen bleiben.

Die harmlose Lesart ist zugleich die nützlichste

Die Fakten passen zu einer Frontend-Migration, bei der /rpki/ in die allgemeine Anwendung fällt, während das CMS die funktionierenden Altziele behält. Die TALs und Zertifikate waren erreichbar. Es gibt keinen Hinweis auf Angriff, Datenverfälschung oder Validierungsstörung.

LACNIC kann die Beschriftungen anpassen oder die sichtbaren URLs zu echten Aliasen machen. Architektur ist eine interne Entscheidung; Konvergenz von Klick, Kopie und automatischem Abruf ist eine öffentliche Zusage.

Eine stille Änderung repariert kommende Abrufe, nimmt alten Messungen aber den Kontext. Eine kurze Korrektur oder ein versionierter Beleg kann alten Seitenhash, URL-Paare, Änderungszeit und Nachfolger erhalten.

Ein Beleg für die gesamte Downloadzeile

Für jedes Element sollten Seitenversion, sichtbarer Text, Roh-href, absolutes Ziel, Rolle ordinary oder AS0, erwarteter Medientyp und Aliasstatus gespeichert werden. Der Prüfer ruft sowohl Anzeige als auch Ziel ab.

Danach erfasst er Status, Typ, Länge und starken Hash, prüft die TAL-Grammatik, liest URI und Schlüssel, lädt das bevorzugte Zertifikat und dokumentiert die Übereinstimmung. HTML löst einen präzisen Publikationsfehler aus, kein pauschales RPKI-Urteil.

Der Beleg bleibt append-only: Erkennungszeit, vorheriger Zustand, Grundkategorie, Ersatz und unterstützte Altpfade. So kann eine schnelle Reparatur erfolgen, ohne die öffentliche Vergangenheit zu löschen.

Die Klicks funktionierten. Die ausgeschriebenen Adressen antworteten ebenfalls. Nur ihre Artefakte waren nicht dieselben. Gerade deshalb reichen Verfügbarkeitsmetriken allein nicht aus.

Quellen