Summary

Um 12:21 Uhr am 12. August 2020 ging ARINs neue RPKI-Version live. Um 12:46 Uhr kam die Meldung, dass rpki-client das Repository nicht validieren konnte. Die zuvor eingesetzten Prüfer RIPE Validator und Routinator hatten keine Fehler angezeigt. Fort stimmte dagegen rpki-client zu. Vier Leser derselben kryptografischen Objekte lieferten zwei verschiedene Urteile.

Jimmerson war als Chief Operating Officer für den Betrieb mitverantwortlich. Er machte den unmittelbar verfügbaren Hebel öffentlich: Neue Anträge auf Route Origin Authorizations sollten bis zum Abschluss der Untersuchung und nötiger Arbeiten warten. Ein ROA hält fest, welches autonome System ein IP-Präfix ankündigen darf. Neue Objekte in ein Repository zu geben, das ein Teil der Validatoren gerade zurückwies, hätte den Bearbeitungsstapel vergrößert. Die Warteschlange gab Antragstellern zugleich eine klare Auskunft.

Am nächsten Tag beschrieb Jimmerson die Ursache auf Feldebene. Zwei Algorithmuskennungen in einem signierten Objekt mussten übereinstimmen. Eine enthielt einen leeren Parameter, die andere NULL. Die neue Software im Zuge des HSM-Upgrades hatte diese Abweichung erzeugt. Die Korrektur war eingespielt; einige zwischenzeitlich erstellte ROAs sollten noch bereinigt werden. Jimmerson würdigte Job Snijders, der den Fehler gemeldet hatte, und die beteiligten OpenBSD-Entwickler.

CTO Mark Kosters veröffentlichte später die genaue Chronologie und versprach Tests auch mit OpenSSL-basierten Validatoren. Die beiden grünen Anzeigen waren echte Prüfergebnisse, nur eben für zwei Programme. Jimmersons Pause überbrückte den Moment, in dem ARIN das Problem kannte, aber die bisherige Testauswahl noch nicht erweitert hatte.