Zusammenfassung

  • In der RIPE-Region haben etwa 5 Prozent der registrierten ASNs ein ASPA-Objekt; rund 12,5 Prozent der untersuchten Pfade sind teilweise abgedeckt.
  • Von Pfaden mit irgendeinem ASPA erscheinen 8 bis 9 Prozent ungültig. Ein Betreiber stellte im Saal die Messannahme infrage.

Rot auf dem Dashboard klingt nach Arbeit für den Netzbetrieb: Providerliste öffnen, Eintrag ändern, neu signieren. Tim Bruijnzeels von RIPE NCC lieferte auf RIPE 93 drei Zahlen, die man vorher auseinanderhalten muss. Etwa 5 Prozent der registrierten ASNs in der Region haben ein ASPA-Objekt. Rund 12,5 Prozent der betrachteten Pfade sind teilweise abgedeckt. Von den Pfaden, bei denen überhaupt ein ASPA vorkommt, wirken 8 bis 9 Prozent ungültig. Die rote Kurve beschreibt also eine Auswahl, keine Gesamtheit aller Pfade.

Bruijnzeels nutzte RIS-Beobachtungen und Validierungsdaten aus Routinator. Er verfolgte kürzeste eindeutige Pfade vom Announcement bis zu einem Netz, dessen ASPA AS0 angibt, und nahm für die vorherigen Abschnitte Kunden-Provider-Beziehungen an. Für teilweise Abdeckung genügt ein weiterer AS mit gültigem ASPA im Pfad. Die übrigen Verbindungen bleiben damit offen.

Gert Döring hielt der Messung einen eigenen Fall entgegen. Forscher hatten mehrere ASes als fehlende Provider in seinem ASPA bezeichnet, darunter Cloud- und DDoS-Dienste. Er bestritt die Zuordnung. Bruijnzeels nannte vergessene Provider, echte Leaks, Pfad-Spoofing und einen Fehler im Verfahren als mögliche Ursachen und bat Transitbetreiber um Gegenproben. Das offizielle Protokoll enthält weder die Zahl der Pfade hinter der 8-bis-9-Prozent-Kurve noch eine Auflösung der bestrittenen Fälle.

Im Vortragsabstract steht außerdem eine Schätzung von bis zu 9 Prozent fehlenden Provider-ASNs in ASPA-Objekten. Das ist eine Provider-Zählung. Die rote Kurve zählt beobachtete Pfade mit ASPA. Gleiche Größenordnung, anderer Prüfauftrag.