Zusammenfassung

  • RIPE NCCs RFC-8181-Schnittstelle meldete delegierten CAs am 3. November 2026 von 20:07 bis 22:50 UTC bei Veröffentlichungen „Unknown publisher“.
  • Nach einer regulären Wartung startete Krill, bevor der langsame Speicher die Herausgeberkonfiguration bereitstellte. Bestehende Repository-Objekte blieben unberührt.

Ein Schlüsselpaar hilft wenig, wenn die Annahmestelle den Absender vergessen hat. Genau diese Grenze der delegierten RPKI-Veröffentlichung zeigte RIPE NCC am 3. November. Bei einer regulären Wartung wurde Krill neu gestartet. Der Speicher lieferte die Konfiguration der zugelassenen Herausgeber zu spät; der Dienst nahm schon Anfragen entgegen und erklärte jeden Absender zum „Unknown publisher“.

Der Vorfall dauerte von 20:07 bis 22:50 UTC, zwei Stunden und 43 Minuten. Ein Mitglied meldete den Fehler. Der Bereitschaftsingenieur stellte die richtige Konfiguration bereit, worauf gescheiterte Veröffentlichungen automatisch wieder anliefen. Vorhandene Inhalte des RPKI-Repositories blieben laut RIPE unberührt. Lesen funktionierte weiterhin; neue Objekte einzustellen war das Problem.

Das betrifft eine genau definierte Arbeitsteilung. Delegierte Zertifizierungsstellen behalten ihre Signaturschlüssel und erzeugen etwa ROAs, Manifeste und Sperrlisten. RIPE betreibt das Repository, über das diese Objekte veröffentlicht werden. Eine lokal erzeugte Signatur erreicht die Empfänger erst, wenn die RFC-8181-Schnittstelle ihren Herausgeber erkennt.

RIPE will den Start von Krill an die Verfügbarkeit der Konfiguration binden und die RFC-8181-Seite besser überwachen. Der Bericht nennt weder die Zahl der betroffenen CAs noch die der verzögerten Änderungen. Dafür wären die abgewiesenen Anfragen die maßgebliche Quelle.

Quellen: RIPE-NCC-Störungsbericht; RIPE-NCC-Anleitung zu delegierten CAs.