Zusammenfassung

  • LACNIC begann Ende 2022 mit dem Austausch seines RPKI-Kerns. Cano nennt die Integrität der Validator-Caches eine heikle Aufgabe; das Team prüfte mehrere Softwareversionen, und einige ältere benötigten einen Neustart.
  • Nach der Anpassung an die Mitgliederdatenbank endete der Wechsel in Produktion mit geänderten DNS-Einträgen. Später berichtete Cano von einem offline verwahrten Hauptschlüssel und drei bezeugten Signierzeremonien.

Der Validator hat seine eigene Uhr

Wenn eine Registry ihre Infrastruktur umstellt, läuft die übrige Welt nicht im selben Takt. Ein Validator hält bereits geladene Zertifikate und Objekte vor. Cano bezeichnet in seinem Bericht über den Kernwechsel die Integrität dieses Caches als einen der empfindlichsten Punkte. LACNIC testete verschiedene Validatoren und Versionen. Bei manchen älteren Ausgaben musste der Betreiber neu starten. Solch ein Satz klingt kleiner als „neuer RPKI-Kern“. Für den Netzbetrieb ist er die Gebrauchsanweisung, die zählt.

Cano, Senior Software Architect bei LACNIC, beschreibt drei Schichten: den kryptografischen Kern, eine Ebene für Veröffentlichung und Vorprüfung sowie die Auslieferung der geprüften Daten. Mitglieder im gehosteten RPKI erzeugen ihre ROAs in MiLACNIC; Schlüssel und Zertifikate verwaltet LACNIC. Die einfache Bedienung auf der einen Seite schafft eine gemeinsame Abhängigkeit von der Maschine auf der anderen.

Ende 2022 begann das Ersatzprojekt. Als offenen Baustein wählte LACNIC Krill, passte ihn an Mitgliederdaten und eigene Registry-Funktionen an und brachte den neuen Kern nach ungefähr zwei Jahren in Produktion. Die letzte Umschaltung geschah über DNS-Einträge. Das ist kein Beweis, dass die Arbeit einfach war. DNS war die kurze Handbewegung nach einem langen Versuch, alle angeschlossenen Hände im Blick zu behalten.

In einem Text vom Januar 2025 beschreibt Cano den Hauptschlüssel des Vertrauensankers. Er bleibt normalerweise offline und wird nur kurz aktiviert, um das oberste Zertifikat neu zu signieren. Drei Zeremonien hatten in der Casa de Internet in Uruguay bereits stattgefunden, mit Beschäftigten verschiedener Bereiche und Zeugen. Eine Checkliste hält Schritte und Abweichungen fest. Wer einen selten benutzten Schlüssel von großer Tragweite anfasst, sollte sich auf einen überprüfbaren Ablauf verlassen können. Eine öffentliche Testmatrix der Validator-Versionen fehlt; sie würde zeigen, welche älteren Caches einen Neustart brauchten.