Résumé

  • L’instantané RIS de 00:00 UTC répertorie 91 préfixes IPv4 originés par AS24940 ; la vue rpki-client a été générée à 02:35:34 UTC le 8 octobre.
  • Le rapprochement trouve une VRP de même origine qui admet la route pour 63 préfixes ; 49 ont au moins une longueur maximale supérieure à celle observée. Les 49 comptent des routes, pas des objets ROA distincts.
  • Les tests actuels rejettent en invalid_length les /24 sous les trois préfixes resserrés, mais valident le /24 de test dans 78.46.0.0/15. Cela ne prouve ni annonce active, ni trafic, ni filtrage universel.

La route, unité de l’audit

Les deux vues sont décalées de 2 h 35 : RIS à 00:00 UTC et page rpki-client à 02:35:34 UTC. Cette page répertorie 73 entrées VRP IPv4 pour AS24940 ; 53 autorisent un préfixe plus spécifique que celui inscrit, dont 52 jusqu’au /24 et une entrée /24 jusqu’au /32. En croisant couverture, origine et longueur maximale, 63 routes trouvent une VRP de même origine qui les admet ; pour 49 d’entre elles, au moins une longueur maximale dépasse celle de la route observée. Les 49 désignent des préfixes routés, pas 49 objets ROA distincts.

Les 28 autres n’ont pas trouvé de VRP AS24940 qui admette leur longueur dans ce rapprochement ; sans validation par préfixe à un instant aligné, on ne peut pas les classer unknown, invalid_asn ou invalid_length. Le chiffre 50 de Madory porte sur une autre mesure, antérieure ; l’écart ne prouve donc ni hausse ni baisse.

Une requête de validation donne deux réponses différentes pour AS24940 de Hetzner Online. Le 8 octobre, Routinator renvoie invalid_length pour un 162.55.80.0/24 de test sous la ROA actuelle de 162.55.0.0/16, limitée à /16. Pour 78.46.0.0/24, il renvoie toujours valid sous 78.46.0.0/15, dont la longueur maximale demeure /24. L’API network-info de RIPEstat associe actuellement une adresse de ce second bloc à la route /15 annoncée par AS24940.

La différence compte : le premier préfixe faisait partie du détournement BGP d’août visant Softaculous, éditeur du service de mise à jour Virtualizor. Dans un article invité publié par APNIC le 22 septembre, Doug Madory, analyste Internet, indique que Hetzner a ramené à /16 la longueur maximale de la ROA de 162.55.0.0/16. Il signale aussi deux autres changements : 213.133.96.0/19 et 213.239.192.0/18 ont été resserrés de /24 à leur longueur de préfixe respective.

Les tests actuels de Routinator concordent avec ces trois modifications. Un /24 hypothétique sous chacun de ces préfixes est désormais invalid_length, avec des limites respectives de /16, /19 et /18. Il s’agit d’essais de validation, pas d’affirmations selon lesquelles ces /24 auraient été annoncés. Ils indiquent la réponse des ROA actuelles à une annonce correspondante dont l’origine serait AS24940.

Cette limite détermine la lecture de sécurité. La validation d’origine RPKI compare un préfixe annoncé et son ASN d’origine aux autorisations publiées dans la ROA. Elle ne vérifie pas chaque saut du chemin AS et ne certifie pas qu’une route soit bénigne. Une longueur maximale large peut permettre à un sous-préfixe de passer le contrôle d’origine lorsque le chemin présente l’ASN autorisé. Valid décrit donc l’accord avec une ROA, pas la confiance que mérite la route.

Les changements restent importants : resserrer une ROA modifie les annonces que le validateur considérera comme valides pour ce bloc. Mais corriger trois préfixes ne prouve pas que chaque route active dispose d’une autorisation aussi étroite que possible. Le bon périmètre de suivi est l’ensemble complet des routes et des ROA, avec exceptions et horodatages, plutôt que le seul nombre d’objets visiblement réparés.

Sources