Zusammenfassung

  • Beim RIPE 93 erklärte RIPE NCC, dass einige CAs ohne Ressourcen aus Validatoren verschwunden sind, während Inhalte im Publikationsdienst verbleiben.
  • Diese Reste verursachen zusätzliche Downloads bei Relying Parties. Eine Zahl der betroffenen CAs oder der übertragenen Bytes wurde nicht genannt.

Ein sauberes Validatorfenster kann einen vollen Auslieferungskanal verdecken.

RIPE NCC hat beschrieben, wie das bei seiner RPKI-Infrastruktur passiert: Einige Zertifizierungsstellen besitzen keine Ressourcen mehr und erscheinen deshalb nicht in Validatoren. Ein Teil ihrer Inhalte liegt weiterhin im Publikationsdienst und wird mit abgerufen.

Tim Bruijnzeels erläuterte das am 28. Oktober in der Routing-Sitzung des RIPE 93. Die Reste führen zu zusätzlichen Downloads bei Relying Parties; die Bereinigung läuft noch. Der Validator zeigt, welche Autorität zählt. Das Repository zeigt, welche Dateien tatsächlich über das Netz gehen. Beides folgt nicht automatisch demselben Aufräumplan.

Die Bedingungen für Publish in Parent definieren das RIPE-NCC-Repository als öffentlichen Downloadort für Zertifikate, Sperrlisten und signierte RPKI-Objekte. Es ist eine Lieferstrecke mit realem Übertragungsaufwand. Ein CA-Rest kann für die Validatorausgabe bedeutungslos sein und diese Strecke trotzdem belasten.

Bruijnzeels berichtete in derselben Sitzung auch von 35 nicht funktionsfähigen delegierten CAs, die im September nach der 90-Tage-Regel widerrufen wurden. Er ordnete die ressourcenlosen Reste diesen 35 Fällen nicht zu. Zertifikate zu widerrufen und alte Publikationsdaten zu entfernen sind verschiedene Arbeitsgänge.

Eine öffentliche Bestandszahl der Reste und eine Messung des zusätzlichen Datenvolumens fehlen. Repository-Inventar und Transferwerte vor und nach der Bereinigung würden den Aufwand beziffern.

Dass der Aufwand besteht, hat RIPE NCC selbst bestätigt.