Resumen

  • RFC 9582 obliga al certificado EE a contener los recursos IP y a excluir tanto inherit como la extensión de recursos AS.
  • El asID está en la carga firmada: expresa a quién autoriza el titular del espacio, pero no autentica al operador del ASN ni crea no repudio.
  • ROA, VRP, anuncio BGP, estado del router, política, mejor ruta y entrega son objetos y decisiones sucesivos.

El ASN apareció después del certificado

El analista abrió una cadena de certificados y encontró el prefijo esperado. Buscó después el ASN y no lo vio. Parecía imposible que el objeto autorizara un origen sin que el certificado contuviera también ese recurso.

La aparente ausencia es el diseño. RFC 9582 exige la extensión IP de RFC 3779, verifica que cada prefijo de la carga esté contenido y prohíbe inherit. En cambio, la extensión de delegación de identificadores de AS no se usa en un ROA y no debe aparecer en el certificado EE.

El ASN entra en RouteOriginAttestation.asID. La firma cubre ese valor junto con los bloques de direcciones. Así, una autoridad derivada del espacio IP declara qué AS puede originarlo. El certificado no afirma que el firmante sea el AS, que conozca a su operador o que haya visto una sesión BGP.

Por eso RFC 9582 describe el resultado como autorización y no como autenticación explícita. Tampoco pretende no repudio. El objeto puede ser íntegro y válido sin convertirse en acta de identidad ni confesión irrevocable.

Una autorización se vuelve VRP

Cada ROA contiene un solo asID. Si dos AS pueden anunciar los mismos prefijos, existen dos autorizaciones. Esta granularidad permite seguir altas, retiradas y errores por objeto, pero se pierde cuando una interfaz aplana todo en “RPKI verde”.

Las direcciones se expresan por familia y prefijo. maxLength es opcional. Su ausencia limita el permiso al prefijo exacto; su presencia incluye más específicos hasta el límite. El valor no confirma que esos más específicos se anuncien. Solo amplía el conjunto que no será incompatible por longitud.

El contenido también tiene forma canónica. RFC 9582 compara familia, primera dirección, longitud del prefijo y máxima efectiva. Ordenar y eliminar duplicados reduce representaciones equivalentes y futuras diferencias de aceptación. No dice nada sobre cuál repositorio vio el validador ni cuándo actualizó un router.

Después de validar firma, certificado, recursos y perfil completo, el sistema deriva un VRP. Ese VRP ya no es el archivo original: es una afirmación operativa preparada para comparar. Su procedencia debe acompañarlo.

La ruta trae sus propios hechos

RFC 6811 necesita una ruta observada. Toma su prefijo, longitud y AS de origen y los compara con los VRP. Valid significa que al menos uno coincide; Invalid, que existe cobertura pero ninguno coincide; NotFound, que no hay VRP que cubra el prefijo.

Ninguno de esos estados describe la identidad civil del AS. Tampoco demuestra intención maliciosa, corrección de la ruta completa ni entrega. Dos puntos de observación pueden ver rutas distintas, y dos routers pueden usar conjuntos de VRP o políticas diferentes.

RFC 8210 añade otra frontera al llevar datos de caché al router. RFC 7115 y RFC 8893 añaden la política. Haber recibido el VRP no prueba haber descartado una ruta; haber descartado una ruta no prueba que todas las redes hicieron lo mismo; seleccionar una ruta no prueba que el plano de datos ni la aplicación funcionaron.

La cadena verificable es más larga, pero también más útil: bytes del objeto, firma, autoridad IP, carga asID/prefijo/maxLength, VRP, recepción en router, ruta observada, estado calculado, regla aplicada, camino elegido y resultado del servicio.

El límite protege la operación

Una frase operacional correcta contiene tiempo y observador: “con este ancla y este conjunto de repositorio, el objeto autorizaba a AS X para el prefijo Y”. Una frase incorrecta elimina esas condiciones: “AS X está autenticado” o “la ruta segura está activa”.

La doctrina de running code obliga a volver al sistema que ejecuta. El registro y la firma son hechos compartidos valiosos; la decisión de ruta sigue siendo local y observable. La capa simbólica no puede anunciar por adelantado el resultado físico.

Fuentes