Resumen

  • Usama Ejaz y Antonis Chariton compararon anuncios BGP, objetos IRR y resultados RPKI del 8 al 14 de agosto de 2026. El resumen original de RIPE 93 encontró coincidencias IRR exactas para el 64,4 % de los pares prefijo-origen observados en la unión semanal.
  • Entre las coincidencias, 786 permanecieron RPKI Invalid toda la semana: 371 sobrepasaban la longitud máxima del ROA y 415 usaban un AS de origen distinto.

El papel estaba en regla; la ruta, en disputa

Un filtro construido con IRR busca un objeto que nombre el prefijo y el origen. Si lo encuentra, la operación parece resuelta. Ejaz abrió otro expediente en la transcripción oficial de RIPE 93: el anuncio visto en BGP, el objeto exacto, el estado RPKI y la pertenencia a un AS-SET pueden divergir. La coincidencia de una base de datos no borra la respuesta criptográfica de otra.

Durante la semana estudiada, el equipo alineó pares prefijo-origen vistos por 57 colectores RIPE RIS y RouteViews con objetos de 19 fuentes IRR y cargas validadas de 17 vistas RPKI presentes toda la semana. El 64,4 % de la unión semanal tenía una coincidencia IRR exacta. Del conjunto coincidente, el 79,9 % figuraba en una sola fuente IRR. Esa soledad importa cuando un sistema automático interpreta una fila encontrada como prueba suficiente.

El conflicto más claro duró los siete días: 786 coincidencias exactas seguían Invalid. La guía de RIPE NCC sobre validación de origen separa las causas. En 371 casos, el anuncio era más específico de lo permitido por maxLength; en 415, el AS de origen no estaba autorizado por el ROA que cubría el prefijo. Para decidir qué registro corregir falta la intención actual del titular sobre ese prefijo, ese origen y esa longitud.

El registro viejo no se jubila solo

El estudio conservó además 140.360 candidatos de objetos más amplios. Un objeto antiguo puede seguir visible debajo de anuncios nuevos y más específicos. Las reglas de creación de objetos de ruta de RIPE explican otra grieta: autentican el recurso de direcciones al crear el objeto, pero no exigen autenticación del AS nombrado como origen. El objeto IRR y el ROA recorren cadenas de autoridad diferentes.

Una reconstrucción separada de AS-SET retuvo el 99,27 % de las coincidencias exactas, aunque las expansiones incompletas o sin resolver exigían revisión. Ejaz propone una secuencia operativa: mirar el anuncio, comprobar el objeto exacto, leer el ROA y llevar la contradicción al titular que puede corregirla.

Fuentes: estudio original RIPE 93; transcripción oficial; guía RPKI de RIPE NCC; reglas IRR de RIPE.