Resumen

  • AFRINIC informó el 9 de marzo de anuncios no autorizados dentro de 102.224.0.0/12, una reserva actual de 1.048.576 direcciones IPv4 que no estaba asignada a ningún miembro.
  • Según el registro, ARIN trasladó el aviso; AFRINIC consiguió retirar las entradas IRR relacionadas, contactó a proveedores de tránsito y a la parte que creía autora de las entradas, y reforzó la monitorización.
  • El historial de RIPE RIS muestra rutas del /12, de dos /13 y de un /17 con tres ASN de origen. Hoy, ninguno de 328 pares IPv4 de RIS ve el /12; el estado RPKI de la observación AS13560 es desconocido, no inválido.
  • No se han publicado los objetos y mantenedores IRR, la correlación entre prefijo y origen, los tiempos de creación y retirada ni la salvaguarda finalmente implantada. La omisión limita la auditoría, pero no demuestra autoría, encubrimiento o daño.

Una cadena de confianza aceptó lo que no debía existir

La noticia no es sólo que alguien anunció direcciones ajenas. El rasgo de gobernanza está en la cadena que convirtió una declaración sin respaldo en una ruta globalmente visible.

Un registro de rutas contiene afirmaciones que muchos operadores utilizan para construir filtros. Si el objeto parece coherente, el tránsito puede aceptarlo y propagarlo. El dato pasa así de una base pública a configuraciones de red. El sistema no otorga propiedad por esa vía, pero sí puede fabricar una apariencia operativa de autorización.

AFRINIC dijo que eso ocurrió con partes de 102.224.0.0/12. Sus estadísticas actuales etiquetan como reservadas 1.048.576 direcciones desde 102.224.0.0. El bloque no estaba asignado a un miembro. Por eso la actuación no debe confundirse con una disputa sobre arrendamiento, subasignación o transferencia de recursos reconocidos. Era un problema de integridad del propio libro de registro.

Heng Lu formula una prueba útil: la capa obligatoria de un registro puede proteger unicidad, exactitud, prevención de fraude, señales de seguridad y continuidad. Impedir que un espacio reservado aparezca como autorizado supera esa prueba. No la superan, por el solo hecho de esta intervención, las pretensiones sobre geografía, modelos comerciales o soberanía institucional.

La respuesta tuvo cuatro pasos

La comunicación de AFRINIC atribuye la alerta a ARIN. Un operador de esa región habría detectado que su ASN figuraba en los anuncios sin el consentimiento del titular. Ese detalle ya impone una cautela: encontrar un ASN en una ruta no identifica automáticamente a quien creó la entrada o controló el anuncio.

AFRINIC dice que su revisión encontró datos en un IRR público que apoyaban las rutas. Después obtuvo la eliminación de las entradas, habló con proveedores de tránsito importantes, pidió a la parte que consideraba creadora que cesara los anuncios e intensificó la vigilancia para confirmar la retirada completa.

El diseño de la respuesta tiene lógica. Borrar el objeto corrige la afirmación fuente. Contactar al tránsito aborda filtros y rutas ya desplegados. Observar la retirada separa una solicitud de su resultado. La organización también mantuvo la noticia disponible en su índice público.

Hay, sin embargo, un salto entre esa narración y un informe reproducible. No se identifica el IRR concreto, los objetos route, los mantenedores, las sesiones o tiempos de creación, el conjunto de prefijos, los ASN observados ni las horas de retirada. AFRINIC añadió que revisaba salvaguardas técnicas y procedimentales, pero el paquete público congelado no contiene la decisión posterior.

RIPE RIS reconstruye varias rutas

El historial de RIPE ofrece una cronología independiente y, al mismo tiempo, demuestra por qué la atribución debe mantenerse estrecha.

AS13560 aparece originando 102.224.0.0/12 desde el 21 de febrero hasta el 7 de marzo. También aparece con 102.224.0.0/13 desde el 24 de febrero hasta el 10 de marzo, y con 102.232.0.0/13 desde el 4 hasta el 10 de marzo. La publicación de AFRINIC, fechada el 9 de marzo, cayó dentro de ese proceso de retirada.

La misma consulta muestra 102.236.0.0/17 con origen AS214174 el 8 y el 21 de febrero. Muestra además 102.224.0.0/13 con origen AS3563 durante ocho horas el 16 de marzo. La observación posterior es especialmente relevante para una revisión de controles, pero no puede declararse continuación del mismo incidente sin un vínculo documental.

Las fichas de RIPE asocian hoy AS13560 con una entrada de Charter Communications y AS3563 con Pilot Network Services. La respuesta de AS214174 no muestra titular. Ninguna de esas etiquetas demuestra conocimiento, consentimiento o beneficio. El propio comunicado de AFRINIC explica que el primer aviso nació de un ASN usado sin permiso del titular.

La evidencia correcta, entonces, no dice «estas empresas secuestraron el prefijo». Dice: los colectores observaron estos identificadores como orígenes; el registro anunció una investigación sobre objetos IRR; la relación entre las funciones no se ha publicado.

Retirada visible, no visión universal

Al 12 de agosto, el estado de RIPE para 102.224.0.0/12 muestra cero pares viendo la ruta entre 328 pares IPv4. Es una señal fuerte de que el /12 ya no estaba en la vista del colector.

No equivale a inspeccionar todos los routers del mundo. Tampoco garantiza, por sí solo, que ningún prefijo más específico se encuentre en una red no observada. La documentación de la API ayuda a interpretar los intervalos y la visibilidad, pero RIS sigue siendo una muestra distribuida.

Esta limitación no invalida el dato. Define su alcance. La retirada debe describirse como observada en el sistema de colectores, no como una certeza metafísica sobre cada tabla BGP.

Un informe de AFRINIC podría cerrar la distancia indicando qué monitores utilizó, qué criterio marcó «totalmente retirado», cuándo se alcanzó y si revisó rutas más específicas, espejos IRR y filtros almacenados.

RPKI no bloqueó criptográficamente la observación

La validación consultada para AS13560 y el /12 devuelve unknown y una lista vacía de ROA validantes. La distinción es fundamental. Una ruta desconocida carece de una autorización cubriente en esa vista; una ruta inválida contradice una autorización existente.

Por eso sería inexacto afirmar que RPKI rechazó el anuncio. La evidencia dice que no ofreció, en esa consulta, una declaración criptográfica que lo invalidara.

RFC 6483 describe una posible barrera: un ROA con AS0 declara que el prefijo y sus rutas más específicas no deberían usarse para enrutar. RFC 6491 recomienda a IANA emitir AS0 para recursos no asignados y para reservas que no estén destinadas a la tabla global.

La recomendación no decide automáticamente la política de AFRINIC sobre este /12. El paquete no muestra si había AS0, si su ausencia fue deliberada, si se estudió después o si otra arquitectura se consideró más adecuada. La pregunta válida no es «¿por qué AFRINIC incumplió una obligación ya probada?». Es «¿qué defensa criptográfica evaluó y dónde publicó el resultado?».

El informe de control que deberían recibir los operadores

El valor de un informe posterior no está en adjudicar culpables sin pruebas. Está en aprender cómo falló cada capa.

El mínimo incluiría los prefijos afectados, identificadores de objetos IRR, base de origen y espejos, mantenedores, tiempos de alta y borrado, ASN observados con una advertencia expresa de no atribución, primera y última observación, estado RPKI, contactos operativos realizados, residuos en caché y medida preventiva implantada.

Los nombres personales o datos de seguridad sensibles pueden redactarse. No hace falta eliminar la estructura técnica. Un objeto puede identificarse sin publicar credenciales; una decisión puede datarse sin exponer conversaciones privadas; una prueba puede describirse sin abrir un manual para el atacante.

AFRINIC afirmó que seguía trabajando con operadores y revisando garantías. Esas frases eran razonables el 9 de marzo. Cinco meses después, el criterio debe pasar del futuro al presente: nombre del control, propietario, fecha de activación, prueba y resultado medido.

Ni impunidad institucional ni falsa equivalencia

NRS advierte que una institución con poder sobre el registro puede usar ese punto de control contra actividades normales de operadores. La advertencia importa cuando hay recursos asignados, clientes, arrendamientos, transferencias o sanciones. No convierte un bloque reservado en un derecho operativo de una parte desconocida.

LARUS señala que las decisiones de registro llegan a infraestructura, contratos y continuidad. Este incidente muestra el mecanismo de forma excepcionalmente concreta: una afirmación en IRR puede modificar filtros; un filtro puede admitir una ruta; una señal RPKI ausente deja la decisión en otras capas; los costes de diagnóstico recaen sobre operadores.

La doctrina de continuidad de Heng Lu impide usar ese valor técnico como escudo institucional. Proteger el libro, los servicios y la cadena de seguridad no obliga a validar toda decisión del consejo o del Receiver. Al contrario: cuanto más esencial sea una función, más separable, auditable y resistente a la política debe ser.

AFRINIC parece haber contenido el /12 en la vista disponible. Su comunicado conserva valor porque reconoce el incidente y enumera actuaciones. El cierre pendiente no es un eslogan más sobre estabilidad, sino el mapa que permita comprobar qué cambió para que una entrada similar no vuelva a ser aceptada.

La investigación separada de BTW sobre arquitectura de transición y continuidad aparece al final para quien necesite el marco más amplio. Es sólo lectura adicional: no es el manuscrito matriz de esta noticia ni suma otra pieza al objetivo de este lote.

Fuentes