Summary

  • En su consulta del 18 de marzo de 2021, Nathalie Trenaman explicó que AS3333 alberga servicios de RIPE NCC, incluido el LIR Portal. Rechazar rutas RPKI inválidas podía impedir que un miembro con un ROA erróneo entrara a corregirlo.
  • RIPE NCC activó el rechazo el 19 de abril. Avisó a las organizaciones afectadas y añadió advertencias en el panel, sin puerta trasera al portal ni correcciones de ROA hechas por su personal.

El remedio detrás de la cerradura

Una autorización de origen de ruta, o ROA, dice qué sistema autónomo puede anunciar un prefijo y con qué longitud máxima. Un error al escribir esos datos hace que un anuncio legítimo parezca inválido. El filtro tampoco puede distinguir ese error de un secuestro de ruta. Cuando el filtro protege al registro que administra los ROA, el fallo deja de ser abstracto: el operador puede perder el camino hacia su herramienta de arreglo.

Trenaman pidió consejo al Routing Working Group porque los proveedores de tránsito de RIPE NCC ya aplicaban reglas distintas. Algunos descartaban anuncios inválidos; otros permitían el paso de una ruta secuestrada que, según un aviso recibido, había dejado a un miembro sin acceso al sitio. El análisis del 10 de febrero encontró 511 anuncios de miembros y usuarios finales potencialmente afectados. Era un coste concreto de la decisión.

Su relato del 13 de abril registró 697 rutas inválidas de 215 organizaciones el 7 de abril. RIPE NCC se puso en contacto con ellas y avisó en el panel a quien estuviera a punto de publicar un ROA discordante. En la presentación de mayo, la revisión previa al cambio aparece con 597 rutas vinculadas a las mismas 215 organizaciones. Las cifras pertenecen a cortes distintos; ninguna permite calcular por sí sola cuántos miembros quedaron bloqueados.

No hubo atajo silencioso. RIPE NCC no abriría una puerta especial a my.ripe.net ni modificaría el ROA en nombre del titular. La vía de regreso era otra red con una ruta válida o sin ROA conocido. El aviso oficial anunció el 19 de abril; Trenaman confirmó después que ese día se activó el filtro y llegaron apenas unas preguntas, sobre todo acerca de cómo crear ROA. K-Root, en AS25152, quedó fuera de AS3333.

La seguridad ganó una frontera clara. El precio fue obligar al registro a decir, antes de cerrar, por dónde vuelve quien se equivoca.

Fuentes: consulta; RIPE Labs; aviso; RIPE 82.