Resumen

  • El resumen oficial de la actualización RPKI de RIPE NCC para RIPE 93 dice que su análisis inicial encuentra hasta un 10 % de ASN proveedores omitidos de objetos ASPA. Menciona olvidos y vecinos considerados pares que también ejercen de proveedores.
  • La guía ASPA de RIPE NCC distingue entre proveedor autorizado y proveedor ausente de una lista firmada. El segundo caso puede llevar al rechazo de rutas que pasan por él.

El papel decía «par»; la ruta decía otra cosa

Las relaciones entre redes caben mal en una etiqueta de dos sílabas. Un vecino puede figurar en una hoja de operaciones como «par» y, en otra parte del servicio, actuar como proveedor. Para un objeto ASPA, esa segunda función decide si su ASN debe aparecer en la lista firmada. RIPE NCC ha encontrado una señal de que algunas listas no se parecen lo suficiente a la red que describen.

En el resumen de su charla RPKI para RIPE 93, el registro habla de hasta un 10 % de ASN proveedores omitidos de objetos ASPA según un análisis inicial. Su explicación apunta tanto a proveedores pasados por alto como a pares supuestos que cumplen también una función de proveedor. La cifra describe ASN proveedores, no la proporción de organizaciones con errores ni la de objetos ASPA incompletos.

La guía de ASPA de RIPE NCC pide incluir todos los proveedores de tránsito. También incorpora los vecinos de rol mixto cuando proporcionan tránsito y los servidores de rutas no transparentes que aparecen como proveedores en el camino BGP. Los pares puramente laterales y los clientes quedan fuera. La lista, por tanto, exige un inventario de funciones reales; copiar nombres de un archivo de sesiones puede dejar el proveedor más incómodo fuera del campo firmado.

El hueco tiene una respuesta propia

ASPA no se limita a poner un sello decorativo sobre un ASN. En la verificación descrita por RIPE, una relación con un proveedor incluido devuelve Provider. Si el AS cliente publicó un ASPA y el otro ASN no está en su lista, devuelve Not Provider. Si el cliente no publicó objeto, la respuesta es No Attestation. La omisión dentro de una declaración firmada es una afirmación negativa para esa relación.

RIPE NCC advierte de que una ruta enviada por un proveedor omitido puede ser rechazada. Intervienen el camino concreto, la verificación aplicada y el filtro del receptor. El registro no publica en ese resumen una cuenta de rutas caídas, y aquí no hace falta fabricar una: el mecanismo ya fija una apuesta operacional. Antes de endurecer filtros, el titular tiene que contrastar el objeto firmado con sus proveedores de tránsito y con los vecinos cuya función cambió sin que cambiara su apodo.

La misma guía reconoce que el panel RPKI actual no propone proveedores observados en BGP. La charla anuncia planes para mejorar las sugerencias ASPA. Un aviso útil señalaría la relación, el momento y el camino que la hicieron sospechosa; la decisión de autorizar un proveedor sigue en manos del titular. Un paquete BGP puede mostrar una relación que merece una llamada, pero no sustituye el acuerdo entre redes.

Una cifra que pide su libreta de campo

El resumen no identifica muestra, fechas ni método del «hasta un 10 %». Una publicación con numerador, denominador y criterio de clasificación permitiría juzgar su alcance. Mientras tanto, cada operador puede realizar el control que la cifra vuelve urgente: leer su ASPA al lado de la topología y no al lado de la casilla verde de la firma.

La criptografía atestigua quién escribió la lista. La operación diaria decide si esa lista todavía conoce a sus proveedores.

Fuentes: resumen RPKI de RIPE 93; guía ASPA de RIPE NCC; borrador IETF de verificación ASPA, versión 29.