Resumen

  • Los registros de ARIN siguen nombrando a United States Department of Defense como titular en asignación directa de los ocho grandes bloques que aparecieron en el enrutamiento global bajo AS8003 en 2021, y ningún documento leído aquí muestra que el registro se haya movido.
  • La lección no consiste en identificar a un secuestrador de rutas. Consiste en saber qué prueba un prefijo —operación en un instante— y qué tenía realmente quien construyó un filtro, una lista de reputación o un inventario de activos sobre ese anuncio.

El 20 de enero de 2021, a las 16:57:35 UTC, una actualización BGP anunció 11.0.0.0/8 con una ruta terminada en 6939 8003. La actualización decodificada de Stéphane Bortzmeyer lleva la marca de tiempo hasta la microsegunda. Doug Madory, entonces en Kentik, reprodujo el mismo minuto con una ruta algo más larga, 1299 6939 6939 8003, y la presentó como uno de los primeros mensajes observados: no como el primero jamás emitido.

Detrás de ese anuncio hay un bloque que figura en el registro desde el 19 de enero de 1984, con el nombre de red DODIIS y el identificador NET-11-0-0-0-1, como asignación directa. El registro actual de ARIN nombra a United States Department of Defense (DoD), identificador de organización USDDD, con última actualización del registro el 27 de agosto de 2025 (ARIN).

Otros siete bloques grandes siguieron el mismo camino, y todos los registros actuales nombran al mismo titular: 7.0.0.0/8 DISANET7, registrado el 24 de noviembre de 1997 (ARIN); 22.0.0.0/8 DNIC-SNET-022, el 26 de junio de 1989 (ARIN); 21.0.0.0/8 DNIC-SNET-021, el 1 de julio de 1991 (ARIN); 26.0.0.0/8 DISANET26, el 1 de mayo de 1995 (ARIN); 28.0.0.0/8 DNIC-NET-028, el 11 de marzo de 1996 (ARIN); 30.0.0.0/8 DNIC-NET-030, el 1 de julio de 1991 (ARIN); y 33.0.0.0/8 DISN-IP-LEGACY, el 1 de enero de 1991 (ARIN).

La inquietud apareció en público antes que la explicación. El 11 de marzo de 2021, Siyuan Miao escribió en la lista NANOG que 7.0.0.0/8, 11.0.0.0/8, 22.0.0.0/8 y prefijos más pequeños «are now announced under AS8003 (GRSCORP)», y preguntó si esos anuncios estaban autorizados (archivo NANOG). Es un observador externo documentando una preocupación. No es la prueba de un secuestro, ni establece quién lo vio primero.

Cuatro días después respondió el máximo responsable del registro en la misma lista. John Curran, identificado en el mensaje como presidente y consejero delegado de ARIN, escribió: «The number resources remain assigned to the DoD». El mismo mensaje expuso el mecanismo: anunciar rutas para un bloque no transfiere los recursos numéricos, y puede ser un servicio ordinario que un operador de red presta a un cliente (archivo NANOG).

La escala, en las cifras de sus autores. Kentik calculó aproximadamente 56 millones de direcciones IPv4 originadas a finales de enero de 2021 y 175 millones de direcciones únicas a mediados de abril (Kentik). La revisión anual de Geoff Huston registra 11.0.0.0/8 y 22.0.0.0/8 el 20 de enero de 2021, 33.0.0.0/8 el 7 de abril, y 21.0.0.0/8, 26.0.0.0/8, 28.0.0.0/8 y 30.0.0.0/8 los días 19 y 20 de abril; identifica AS8003 como registrado a nombre de Global Resource Systems (APNIC). Nuestra ficha del directorio recoge la compañía con tres referencias públicas y ningún rol de operador confirmado: es una observación de directorio, no una conclusión sobre la titularidad.

Luego llegó septiembre. El 7 de septiembre de 2021 a las 17:05 UTC, 765 prefijos anunciados por AS8003, todos menos uno, pasaron a AS749, que Madory identifica con el Department of Defense. Las rutas observadas cambiaron de terminar en 6939 8003 a terminar en 6939 749; Hurricane Electric siguió siendo el único proveedor de tránsito en esas rutas, y los traceroutes continuaron terminando en el mismo router de Ashburn (Kentik). Huston fecha el mismo cambio y asocia AS749 con el Defence Data Network (APNIC). Fue una sustitución de origen, no la desaparición de esos bloques del enrutamiento global.

Esa secuencia es el hallazgo. A lo largo de nueve meses de visibilidad en el enrutamiento y de la salida de ella, los documentos leídos aquí no contienen ningún cambio de titular registrado. El titular del registro de AS que nombra Huston y el titular que nombra ARIN nunca fueron la misma parte, y ningún documento examinado aquí dice que llegaran a serlo.

Léalo al revés y la diferencia se vuelve difícil de pasar por alto. Si la tabla de rutas fuera la autoridad sobre la titularidad, el movimiento de 765 prefijos el 7 de septiembre de 2021 habría sido una transferencia masiva de recursos numéricos. No lo acompaña ningún cambio de registro. El acontecimiento de enrutamiento medía una reorganización operativa; el registro medía una titularidad, y la titularidad no se movió. No es un tecnicismo: es la distancia entre una firma y un tono de marcado.

¿Y qué tenía cada cual? Un filtro construido sobre el anuncio tenía una afirmación sobre quién operaba un prefijo a comienzos de 2021. Una lista de reputación tenía una atribución a un sistema autónomo con nombre. Un inventario de activos que anotó el bloque como recién en manos de la parte anunciante tenía una inferencia que el registro nunca hizo. Cada una de esas cosas es una observación operativa defendible y una pretensión de título indefendible, y solo una de las dos estaba realmente disponible.

La fotografía del registro en 2021 exige cuidado. Bortzmeyer reproduce una respuesta WHOIS que nombra a DoD Network Information Center (DNIC) como organización, asignación directa, registro del 19 de enero de 1984 y última actualización del 22 de agosto de 2007 (Bortzmeyer). Es una observación distinta del registro USDDD de hoy. Las dos etiquetas pertenecen a fechas diferentes y no deben leerse como un solo documento.

Los límites, donde importan. La marca del 7 de septiembre describe una transición de origen en bloque que excluye explícitamente un prefijo; no es la hora de retirada de cada ruta de AS8003. No se decodificó ningún archivo MRT en bruto para este relato, de modo que la cronología descansa en análisis de medición publicados. Los puntos RDAP JSON de ARIN fueron rechazados o no estaban disponibles durante la investigación y se leyeron los registros Whois-RWS en su lugar; el documento de registro a nivel de ASN para AS8003 no se obtuvo en su forma original. No se leyó ningún expediente, sitio web ni comunicado de Global Resource Systems, LLC.

Nada de eso toca el centro del episodio —dos equipos de medición independientes y el máximo responsable del registro coinciden en su forma— y nada de eso convierte un documento no leído en una conclusión.

La pregunta de responsabilidad se resuelve, por tanto, en un lugar poco vistoso. Se resuelve en el documento que sostiene la pretensión de titularidad, y en quien declara en público lo que ese documento dice. Curran lo hizo, en una lista pública, cuatro días después de que preguntara un desconocido. El registro mantiene la misma respuesta desde hace cuatro décadas. El anuncio llegó, se midió, se discutió y se fue. Los bloques de direcciones nunca se movieron en el único documento que podía moverlos.