Resumen

  • El 3 de noviembre de 2026, el punto de publicación RFC 8181 de RIPE NCC rechazó solicitudes de las autoridades certificadoras delegadas entre las 20:07 y las 22:50 UTC.
  • Krill arrancó antes de que estuviera disponible la configuración de editores registrados. Los objetos ya alojados no cambiaron; las CA reanudaron automáticamente la publicación después de la reparación.

La puerta funcionaba, el registro de nombres no

El informe de incidencia de RIPE NCC describe una secuencia sencilla y bastante embarazosa. Tras reiniciar el sistema durante un mantenimiento ordinario, el almacenamiento tardó en entregar la configuración a Krill. El proceso ya estaba atendiendo peticiones, pero no reconocía a los editores de las CA delegadas. Devolvía «Unknown publisher» a cada intento. El intervalo declarado, de 20:07 a 22:50 UTC, suma dos horas y 43 minutos.

No fue necesario que desapareciera el repositorio para que hubiera una interrupción útil para los operadores. La guía de CA delegadas explica el reparto: el titular puede conservar sus claves y operar su autoridad certificadora; RIPE NCC ofrece el servicio de publicación y aloja los objetos. En esa ruta viajan ROA, manifiestos y listas de revocación. El 3 de noviembre, según el registro, los objetos existentes siguieron en su sitio. Lo que se cerró fue la capacidad de ingresar cambios firmados.

La distinción tiene consecuencias prácticas. Un validador podía seguir leyendo el contenido anterior, pero una CA que necesitaba modificar una autorización de origen no podía poner el nuevo objeto en esa misma estantería. RIPE NCC informa que las CA afectadas volvieron a publicar automáticamente cuando se corrigió el problema. El informe no enumera cuántas CA ni qué objetos intentaron actualizarse. Para saber qué ocurrió con un cambio concreto hacen falta el resultado de la CA y la copia publicada, no una etiqueta general de «RPKI operativo».

El mantenimiento terminó en el papel un minuto antes

La ficha del mantenimiento del panel RPKI quedó marcada como completada a las 21:06 CET, equivalentes a las 20:06 UTC. La incidencia del servicio de publicación sitúa el inicio del rechazo a las 20:07 UTC. Son dos registros sobre superficies distintas; el informe atribuye el arranque problemático a un mantenimiento ordinario sin identificar esa ficha como causa directa. Juntos muestran por qué la hora de cierre de una tarea no sirve para certificar todos los caminos de un servicio.

La detección también tuvo un protagonista concreto. RIPE NCC dice que un miembro comunicó el fallo y que su ingeniero de guardia puso la configuración correcta a disposición de Krill. Para la próxima vez, la organización promete asegurar que la configuración esté disponible antes de arrancar el proceso y estudiar más vigilancia del tramo RFC 8181. La primera medida corrige la secuencia. La segunda debería detectar peticiones legítimas rechazadas incluso cuando el proceso responde y el repositorio sigue visible.

Los términos del servicio dejan claro quién ofrece ese tramo de publicación. La CA delegada firma; RIPE NCC aloja. Si la entidad que aloja no reconoce al firmante, la separación de responsabilidades deja de ser una virtud operativa y se convierte en una cola de objetos que no pueden entrar. El archivo sobrevivió. La ventanilla necesitó que un cliente avisara de que había olvidado a todos sus clientes.