Summary

  • En 2013, Denis Walker a présenté une fonction de la base RIPE permettant au titulaire d’une ressource d’adresses délivrée par le RIPE NCC de faire supprimer certains objets placés sous cette ressource.
  • L’autorisation vient des mainteneurs du parent ; elle sert à supprimer, jamais à modifier l’objet enfant. Les allocations parentes, les numéros d’AS et les objets de personnes restent hors de portée.

Le petit objet qui tenait la porte

Le scénario a tout d’une mauvaise plaisanterie administrative. Une entreprise détient sa plage d’adresses, prépare une nouvelle annonce, puis bute sur un objet route portant déjà le préfixe exact. L’objet est protégé par un mainteneur auquel elle n’a plus accès. Il fallait alors demander au RIPE NCC de passer outre l’authentification. La ressource appartenait au champ de responsabilité du titulaire ; le bouton pour dégager l’obstacle se trouvait ailleurs.

Denis Walker a décrit en avril 2013 la réponse apportée par la base RIPE. La fonction baptisée reclaim ajoute, pour une suppression, l’autorisation des mainteneurs figurant dans mnt-by et mnt-lower de la ressource parente attribuée ou allouée par le RIPE NCC. L’utilisateur envoie une mise à jour ordinaire avec delete: reason. Aucun outil spécial, aucune formule secrète : la nouveauté réside dans la façon dont la base vérifie qui peut donner cet ordre.

Le piège pouvait naître d’une collaboration banale. Deux mainteneurs partagent mnt-by sur un objet ; l’un retire l’autre. Ou une délégation ancienne subsiste après un changement d’exploitation. Si l’objet route conserve le préfixe convoité, il empêche d’en créer un autre identique. Walker a transformé une intervention manuelle récurrente du registre en opération disponible au titulaire légitime.

Cette clé n’ouvre pas tout le bâtiment. Elle efface des objets inetnum et inet6num plus spécifiques, des objets route et route6 au préfixe égal ou plus spécifique, ainsi que les délégations inverses sous in-addr.arpa et ip6.arpa. Elle ne modifie ni le contenu ni l’authentification de l’objet enfant. L’allocation ou l’attribution parente, les objets aut-num, les domaines ENUM et les fiches secondaires person ou role restent exclus. Le détenteur d’une simple sous-allocation ne reçoit pas ce pouvoir par contagion : il faut être le titulaire de la ressource délivrée par le RIPE NCC.

Supprimer une ligne de la base ne reconfigure aucun routeur. Cela retire toutefois un verrou posé dans le registre public sur la prochaine opération. La nuance compte : le pouvoir en jeu porte sur la capacité d’agir dans le système d’enregistrement, là où une erreur de délégation pouvait figer une décision réseau.

Le rapport annuel 2013 du RIPE NCC inscrit la fonction parmi les nouveautés de l’année. La description de Walker en précise les limites. Derrière un verbe austère — supprimer — se cache une question assez vive : pourquoi le titulaire responsable devrait-il demander la permission de retirer un objet qui bloque sa propre ressource ?

Sources du RIPE