Résumé

  • Un ASPA est un objet RPKI créé par le titulaire d’un ASN et contenant une liste signée de fournisseurs amont autorisés.
  • Cette liste est une autorisation. Pour établir une relation actuelle, il faut observer puis valider un chemin BGP ; trafic, joignabilité et contrat exigent encore d’autres preuves.

Une liste signée reste une déclaration

APNIC définit précisément l’auteur et l’objet. Le titulaire de l’ASN client publie l’ASPA et nomme les ASN admis comme fournisseurs amont. La validation permet d’établir que l’objet appartient à la hiérarchie RPKI et que cet ensemble est bien celui déclaré par le titulaire à l’état considéré du dépôt.

C’est plus robuste qu’une note non signée, mais moins large qu’une mesure du réseau. L’objet ne dit pas que chaque fournisseur autorisé est utilisé, qu’une session est établie ni qu’un paquet a traversé la relation. L’autorisation répond à « qui peut tenir ce rôle » ; l’observation répond à « qui l’a tenu sur ce chemin, à cet instant ».

La validation réunit deux couches de preuve

APNIC indique que les validateurs récupèrent les ASPA et les confrontent aux annonces BGP. Dans le sens amont, un chemin peut être valide, invalide ou inconnu selon ses relations client-fournisseur. Dans le sens aval, l’algorithme vérifie si le chemin est compatible avec l’absence de fuite de route.

Ces résultats ne sortent pas de l’ASPA seul. Ils exigent un chemin observé, un ensemble ASPA actuel et validé, ainsi que le bon algorithme directionnel. « Inconnu » compte aussi : une donnée manquante n’interdit pas positivement une relation, tandis qu’un fournisseur listé ne prouve pas qu’il apparaît aujourd’hui.

Ne pas remplacer ROA ou télémétrie par ASPA

APNIC sépare les questions. Un ROA autorise un ASN à annoncer l’origine d’un préfixe. Un ASPA autorise des relations de fournisseur utilisées pour évaluer la suite du chemin. Aucun des deux ne mesure le volume de trafic, la latence, la joignabilité, le contrôle des routeurs ou les conditions commerciales.

Une conclusion vérifiable conserve donc l’ASN client, l’ASN fournisseur, le dépôt ASPA et l’heure de validation. Pour affirmer un transit actuel, elle ajoute la route observée, le point de mesure, le chemin AS et l’heure d’observation.

Sources