Resumen

  • La instantánea RIS de las 00:00 UTC enumera 91 prefijos IPv4 originados por AS24940; la vista de rpki-client se generó a las 02:35:34 UTC del 8 de octubre.
  • El cruce encuentra una VRP del mismo origen que admite la ruta para 63 prefijos; en 49, al menos una longitud máxima supera la de la ruta observada. Son rutas contadas una vez, no objetos ROA.
  • Las pruebas actuales devuelven invalid_length para los /24 bajo los tres prefijos estrechados y valid para el /24 de prueba dentro de 78.46.0.0/15. No prueban un anuncio activo, tráfico ni filtrado universal.

La ruta es la unidad de auditoría

Las instantáneas son observaciones separadas por 2 horas y 35 minutos: RIS a las 00:00 UTC y la página de rpki-client a las 02:35:34 UTC. Esa página enumera 73 entradas VRP IPv4 para AS24940; 53 permiten un prefijo más específico que el registrado, incluidas 52 que llegan a /24 y una entrada /24 que permite /32. Al cruzar cobertura, origen y longitud máxima, 63 rutas encuentran una VRP del mismo origen que las admite; en 49, la longitud máxima supera la ruta observada. Las 49 son prefijos de ruta, no 49 objetos ROA únicos.

Las otras 28 no encontraron una coincidencia AS24940 que admita su longitud en este cruce; sin una validación por prefijo y en un momento alineado, no se pueden clasificar como unknown, invalid_asn o invalid_length. El recuento 50 de Madory corresponde a otra medición anterior; la diferencia no demuestra un aumento ni una reducción.

Una consulta de validación ofrece dos respuestas distintas para el AS24940 de Hetzner Online. El 8 de octubre, Routinator marca invalid_length para un 162.55.80.0/24 de prueba bajo la ROA actual de 162.55.0.0/16, cuyo límite es /16. Para 78.46.0.0/24, sigue respondiendo valid bajo 78.46.0.0/15, que conserva una longitud máxima de /24. La API network-info de RIPEstat asocia actualmente una dirección de ese segundo bloque con la ruta /15 originada por AS24940.

La diferencia importa porque el primer prefijo formó parte del secuestro BGP de agosto contra Softaculous, la empresa detrás del servicio de actualizaciones de Virtualizor. En una publicación invitada en el blog de APNIC del 22 de septiembre, Doug Madory, analista de Internet, señaló que Hetzner había reducido a /16 la longitud máxima de la ROA de 162.55.0.0/16. También indicó que otras dos ROA —213.133.96.0/19 y 213.239.192.0/18— habían pasado de /24 a la longitud de sus respectivos prefijos.

Las pruebas actuales de Routinator coinciden con esos tres cambios. Un /24 hipotético dentro de cada prefijo devuelve ahora invalid_length, con límites de /16, /19 y /18. Son pruebas de validación, no afirmaciones de que esos /24 se hayan anunciado. Muestran qué resultado producirían las ROA actuales ante un anuncio equivalente con AS24940 como origen.

Ese límite define la lectura de seguridad. La validación de origen RPKI compara el prefijo anunciado y su ASN de origen con las autorizaciones publicadas en la ROA. No verifica cada salto de AS_PATH ni demuestra que una ruta sea segura. Una longitud máxima amplia puede permitir que un prefijo más específico pase el control de origen cuando la ruta presenta el origen autorizado. Por tanto, valid describe su correspondencia con una ROA; no es una etiqueta de confianza para la ruta.

Los cambios sí importan. Estrechar una ROA modifica qué anuncios considerará válidos el validador para ese bloque. Pero corregir tres prefijos no demuestra que cada ruta activa tenga una autorización igual de estrecha. El seguimiento útil abarca todas las rutas y ROA, con excepciones y marcas de tiempo, y no solo el número de objetos que parecen reparados.

Fuentes