RIPE: 37 Prozent der ROA-Definitionen fehlen in BGP

Zusammenfassung

Bei RIPE 93 stellte RIPE NCC zwei verschiedene Messungen gegenüber: Fast 100 Prozent der beobachteten, bereits durch ROAs abgedeckten Ankündigungen waren ROV-valid; rund 37 Prozent der ASN-Präfix-Definitionen in ROAs wurden dagegen nicht in BGP gesehen.
Einige unbeobachtete Definitionen sichern Ersatzrouten. Andere können nach dem Ende einer Ankündigung weitergelten und einen gefälschten Ursprung als RPKI-valid erscheinen lassen.

Die Erlaubnis überlebt die Route

Die Route verschwindet, die signierte Erlaubnis bleibt. Für das Anlegen eines ROA gibt es einen klaren Anlass: Ein Netz beginnt, einen Präfix anzukündigen. Das spätere Entfernen erzeugt selten einen Alarm. Die Arbeit wandert auf eine Liste ohne Fälligkeit, während die Freigabe im Repository stehen bleibt.

Am 28. Oktober beschrieb Tim Bruijnzeels, RPKI-Verantwortlicher bei RIPE NCC, bei RIPE 93 zwei Seiten derselben Lage. Weltweit hätten etwa 73 Prozent der Präfixe ROAs, wenn man IPv4 und IPv6 zusammenzählt. Von den angekündigten Präfixen, die bereits durch ein ROA abgedeckt waren, seien fast 100 Prozent ROV-valid gewesen. Betreiber korrigieren oder filtern Invalid-Ankündigungen schnell; die sichtbaren Routen bereinigen sich dadurch rasch.

Dann drehte Bruijnzeels die Perspektive um: Rund 37 Prozent der ASN-Präfix-Definitionen in ROAs seien nicht in BGP zu sehen. Die Kennzahl zählt ASN-Präfix-Freigaben in ROAs. Routen, Datenverkehr, Adressraum und ROA-Objekte sind andere Bezugsgrößen. Ein ROA kann mehrere Präfixe enthalten.

Das Transkript nennt weder Zähler noch Nennerbestandteile, Stichtag, Beobachtungsfenster oder Berechnungsmethode. Erst diese Angaben würden zeigen, wie viele Freigaben tatsächlich ausgedient haben und wie viele nur auf eine Route warten.

Eine stille Route kann ein absichtlicher Rückhalt sein. Ein Ressourceninhaber kann eine Route vor dem Start autorisieren oder einen alternativen Ursprung für einen Ausfall bereithalten. Bruijnzeels nannte Backup-Routen ausdrücklich als mögliche Erklärung. Das RIPE-NCC-Dashboard vergleicht ROAs mit Ankündigungen, die seine RIS-Sammler sehen; laut RPKI-Management-API werden diese Beobachtungen alle acht Stunden aktualisiert. Die Ansicht zeigt den aktuellen Datenstand der RIS-Sammler. Der Inhaber muss den langfristigen Zweck selbst angeben.

Andere Definitionen können nach dem Ende ihrer Route übrig bleiben. Bruijnzeels benannte die Schieflage: Beim Start einer Ankündigung gibt es einen starken Grund, das ROA anzulegen; nach dem Ende der Ankündigung fehlt ein ähnlich starker Grund, es zu entfernen. Der unmittelbare Nutzen des Löschens ist weniger sichtbar als der des Anlegens, deshalb kann das Objekt im Repository bleiben.

Das hat eine technische Folge. BGP Origin Validation prüft, ob Präfix und Ursprungs-ASN zu einem autorisierenden ROA passen. Sie authentifiziert nicht den gesamten AS-Pfad. Kündigt jemand den Präfix mit einem Ursprung an, den ein altes ROA weiterhin erlaubt, können Validatoren die Route als Valid einstufen. Eine Signatur, die einst eine echte Route beschrieb, kann einen Ursprung weiter legitim aussehen lassen, nachdem der betriebliche Grund verschwunden ist.

Die einfache Reaktion wäre ein Warnsymbol an jedem ROA ohne aktuelle BGP-Beobachtung. RIPE NCC sagt, der Hinweis sei in der Oberfläche bereits vorhanden, aber schwer zu finden; die Organisation will ihn deutlicher machen und Warnungen ausbauen. Bruijnzeels schlug außerdem vor, dass Inhaber absichtliche Backup-Routen kennzeichnen können, damit sie nicht ständig dieselbe Meldung erhalten. Diese Unterscheidung ist so wichtig wie der Hinweis selbst. Werden alle stillen Definitionen gelöscht, verschwindet womöglich genau der Pfad, den ein Betreiber für den Notfall zurücklegen wollte.

Das richtige Produkt ist eine Prüfliste, kein roter Zähler mit Löschtaste. Für jeden Konflikt braucht es den Präfix, die Ursprungs-ASN, den letzten Beobachtungszeitpunkt und das Alter der RIS-Daten. Dann kann der Inhaber den Status wählen: aktiv, geplant, Backup oder stillgelegt. Er kann die Route aktualisieren, eine dokumentierte Reserve behalten oder eine überholte Freigabe entfernen. „Nicht beobachtet“ wird so zu einer Frage an den Betreiber statt zu einem Urteil des Dashboards.

RIPE NCCs Zahl zeigt eine echte Wartungslücke. Eine hohe Validitätsrate für beobachtete Routen kann neben einem ungepflegten Bestand an Freigaben stehen. Die nächste brauchbare Zahl zerlegt die 37-Prozent-Gruppe in Backup, geplant, aktiv und stillgelegt. Dazu gehört die Zahl der stillgelegten Freigaben, die Betreiber tatsächlich entfernt haben.