Les ROA AS0: outil de conservation ou déni préventif?

Résumé

• Un ROA AS0 est un désaveu signé de l'origination publique de route. Comme AS 0 est réservé et ne doit pas apparaître comme une origine BGP utilisable, une annonce réelle couverte uniquement par ce ROA sera classée Invalide par la validation d'origine.
• La RFC 6491 donne à l'IANA une base normative pour émettre des ROA AS0 pour les ressources non allouées et les ressources réservées ou à usage spécial qui ne sont pas destinées à être routées globalement. Elle interdit également ces ROA pour l'espace réservé ou à usage spécial qui est censé être routé.
• L'autorité des RIR est plus étroite et régie régionalement. Elle repose sur l'administration actuelle de l'espace non délégué, la politique de la communauté et des enregistrements précis des ressources. APNIC et LACNIC ont mis en œuvre des politiques pour la couverture AS0 de l'espace d'adressage sous leur administration; cela ne crée pas d'autorité sur le pool d'un autre RIR ou toute forme de ressource contestée.
• AS0 est utile comme contrôle de conservation car il exprime un refus par défaut contre une utilisation non autorisée avant qu'une allocation n'existe, et parce qu'un ROA positif concurrent peut rendre une route autorisée Valide. Il ne prouve pas que chaque route observée est malveillante ou n'élimine pas le choix de politique locale de l'opérateur.
• Le plus grand risque de gouvernance est l'erreur de classification lors de la transition. L'espace disponible, réservé, mis en quarantaine, retourné, récupéré, à usage spécial, attribué et détenu historiquement a des histoires factuelles et juridiques différentes. Une étiquette dérivée d'un instantané quotidien du registre ne peut pas régler à elle seule un droit contesté.
• Le retrait doit précéder ou être coordonné en toute sécurité avec la délégation. La suppression d'un préfixe d'AS0 n'est pas terminée tant que la publication mise à jour n'atteint pas les validateurs, les caches et les routeurs. Les opérateurs qui rejettent les chemins Invalides ont également besoin d'une méthode de réévaluation sûre lorsque la correction arrive.
• Des entrées de confiance séparées et une utilisation prioritaire de la surveillance peuvent contenir les risques. APNIC a averti que des erreurs pourraient interrompre le routage et recommande d'utiliser son matériel AS0 à des fins consultatives ou d'alerte plutôt que de filtrage automatique. Une telle séparation ne protège le choix de l'opérateur que si l'entrée de confiance, la portée et le défaut sont visibles.
• Une opération AS0 légitime nécessite une règle de portée publique, des preuves de classification signées et versionnées, des vérifications de conflit avant publication, un défi authentifié rapide, des objectifs de retrait mesurables, un historique conservé et une observation BGP indépendante. Une Société des ressources numériques peut examiner ces contrôles en tant qu'organisation de membres, de recherche et de plaidoyer sans revendiquer le pouvoir d'allouer de l'espace, d'exploiter RPKI ou de contraindre la politique de routage.

Zéro est un désaveu, pas une destination

AS0 fonctionne parce que deux idées normatives se rencontrent. La première est le ROA: un objet signé indiquant quel système autonome est autorisé à originer une route pour un préfixe d'adresse, dans une longueur de préfixe maximale spécifiée. La seconde est la réservation d'AS 0 lui-même. La RFC 7607, publiée en 2015, exige que les speakers BGP n'originent ni ne propagent une route contenant AS 0 dans les attributs de chemin pertinents et n'établissent pas de session revendiquant AS 0.

Un ROA AS0 n'autorise donc pas un réseau nul spécial à originer un préfixe. Il sélectionne une origine qui ne peut pas légitimement apparaître dans le chemin BGP public. La RFC 6483 décrit le résultat comme un désaveu: le détenteur du préfixe indique que le préfixe et tout préfixe plus spécifique ne doivent pas être utilisés dans un contexte de routage. Toute origine AS publique ordinaire ne correspondra pas à cette autorisation AS0.

La logique de validation a une qualification importante. La validation d'origine examine tous les ROA candidats couvrant la route. Si un ROA valide autorise l'origine observée et la longueur du préfixe, la route est Valide même si un ROA AS0 considéré seul la rendrait Invalide. La RFC 6483 indique donc qu'AS0 a une préférence relative inférieure à une autorisation positive concurrente. AS0 établit un refus par défaut; ce n'est pas un veto absolu sur un ROA positif correspondant.

Cette propriété rend AS0 à la fois utile et délicat. Un registre peut marquer un pool non délégué comme non destiné au routage sans nommer chaque origine non autorisée possible. Lorsqu'il délègue ultérieurement une partie du pool, un ROA positif correctement émis peut protéger une annonce pendant que la couverture AS0 est modifiée. Mais se fier au chevauchement comme solution de routine masquerait un mauvais contrôle des modifications. La valeur par défaut devrait toujours être la suppression ou la réémission de l'objet AS0 avant que le nouveau détenteur n'ait besoin d'annoncer.

L'effet technique est plus étroit que ne le suggère certains langages politiques. Un ROA AS0 entraîne une classification Invalide chez les parties prenantes qui acceptent l'entrée de confiance pertinente et reçoivent l'objet actuel. Il ne supprime pas lui-même une route de BGP. La RFC 8481 laisse l'action politique à l'opérateur. Certains réseaux rejettent les routes Invalides, d'autres les déprécient ou les surveillent, et d'autres encore n'utilisent pas du tout cette entrée de confiance AS0.

Le mécanisme est donc une recommandation signée soutenue par l'autorité cryptographique des ressources et l'adoption par les opérateurs. Le qualifier de simple information sous-estime son effet. L'appeler une interdiction mondiale de routage le surestime. La gouvernance commence exactement au milieu: un désaveu par défaut faisant autorité que les réseaux indépendants peuvent transformer en application.

La question de l'autorité a trois réponses différentes

Qui peut autoriser AS0 dépend de l'espace d'adressage décrit. L'IANA, un RIR et un détenteur de ressources ordinaire ne tirent pas leur autorité de la même relation.

La RFC 6491 traite des objets RPKI de l'IANA pour les ressources qui restent au sommet de la structure d'allocation. Elle indique que l'IANA doit émettre des ROA AS0 pour les ressources non allouées. Pour les ressources réservées et à usage spécial, le critère est le routage public prévu: l'IANA doit émettre AS0 pour les ressources non destinées à être routées globalement et ne doit émettre aucun ROA pour les ressources réservées ou à usage spécial censées être routées.

L'utilisation délibérée de "doit" reconnaît que les actions du registre et les transitions techniques peuvent nécessiter une suppression ou une non-émission avant un changement de statut.

L'autorité d'un RIR commence après que les ressources sont placées sous son administration. Il peut certifier les parties non déléguées de son propre pool car il est le gardien actuel et parce que la politique régionale autorise l'acte. La politique d'APNIC indique que seul APNIC peut créer des ROA AS0 pour l'espace d'adressage APNIC pas encore délégué à un titulaire de compte, et qu'APNIC supprimera le préfixe lorsqu'il déléguera l'espace.

La politique adoptée par LACNIC limite de même AS0 aux ressources non allouées, non attribuées, récupérées ou retournées sous administration LACNIC et exige que les ROA concernés soient invalidés ou réémis lorsque les ressources sont allouées ou attribuées.

Un détenteur existant peut également utiliser AS0 pour l'espace qu'il contrôle et qu'il ne souhaite pas router. Son autorité découle de son certificat et de sa relation de ressource, et non d'un mandat général de conservation. Cette utilisation peut soutenir une réserve dormante ou un agrégat à l'intérieur duquel seuls des éléments plus spécifiques autorisés doivent router. Elle ne doit pas être confondue avec un RIR déclarant qu'aucun détenteur n'existe.

Ces distinctions empêchent l'extension de l'autorité. Un RIR ne peut pas déduire un pouvoir sur le pool d'une autre région parce qu'il observe une annonce. Un projet de mesure ne peut pas signer AS0 simplement parce que les données d'enregistrement semblent incomplètes. Un organisme de normalisation peut définir comment l'espace réservé doit être utilisé mais n'exploite pas automatiquement l'autorité de certification pertinente. Un litige judiciaire concernant un bloc historique ne peut pas être résolu en qualifiant le bloc de "disponible" dans une liste de commodité.

La déclaration d'autorité appropriée identifie le préfixe, la chaîne administrative actuelle, la classification, la base politique et la période de validité. Si l'un de ces éléments est contesté, la publication AS0 peut encore être justifiée comme protection provisoire, mais le litige et la voie de contestation doivent être visibles. La capacité cryptographique à signer est une preuve nécessaire de contrôle; elle n'est pas en soi la preuve que chaque classification sous-jacente était procéduralement saine.

La conservation est un devoir réel dans un environnement rare et sujet aux abus

Le plaidoyer en faveur d'AS0 ne doit pas se perdre dans l'inquiétude concernant le déni. L'espace d'adressage non délégué n'est pas libre pour une utilisation opportuniste. Les RIR le détiennent pour une allocation future, des besoins spéciaux, des retours, une quarantaine ou des fins définies par la politique. Les annonces provenant d'un tel espace peuvent résulter d'une erreur, de configurations privées fuyant dans le routage public, de filtres obsolètes ou d'abus délibérés. Un désaveu lisible par machine peut aider les opérateurs à distinguer cet espace des préfixes simplement non signés mais légitimement routés.

Avant AS0, les opérateurs s'appuyaient couramment sur des listes de préfixes "bogon" construites à partir d'enregistrements d'allocation. Ces listes nécessitent une actualisation régulière et une interprétation minutieuse. RPKI peut lier l'avertissement à la même hiérarchie de certificats utilisée pour l'autorisation positive d'origine de route. Un validateur peut alors délivrer le résultat avec d'autres charges utiles, et un routeur peut appliquer une politique de validation d'origine unique plutôt qu'une liste non vérifiée distincte.

La justification politique d'APNIC est explicite: l'espace d'adressage marqué comme non alloué ou non attribué sous administration APNIC ne doit pas être annoncé publiquement, et AS0 est destiné à restreindre la propagation des annonces le couvrant. La justification de LACNIC lie de même la garde à la distribution en vertu de la politique et cherche à réduire la charge des opérateurs qui maintiennent des filtres séparés. Ce sont des objectifs d'intérêt public légitimes.

L'avantage sécuritaire est préventif. Un acteur malveillant ne peut pas rendre une route Valide simplement en choisissant une origine AS car aucun AS routable ne correspond à zéro. Si les opérateurs rejettent les routes Invalides, AS0 augmente la probabilité qu'une mauvaise origine à partir d'un espace inutilisé soit arrêtée près d'une frontière d'importation. Il crée également une alerte authentifiée pour les opérateurs qui ne rejettent pas encore.

Mais la conservation n'est pas la propriété au sens ordinaire, et la visibilité d'une route n'est pas une preuve définitive de vol. Certains enregistrements sont historiques, certaines ressources sont en transition, et certaines utilisations d'adresses sont privées ou à usage spécial. Une route publique peut révéler une erreur dans la classification du registre lui-même plutôt qu'une origine abusive. La valeur d'AS0 réside dans l'établissement d'une forte présomption réfutable, et non d'une accusation irréfragable.

La thèse délimitée est donc pro-conservation. Les RIR et l'IANA devraient pouvoir protéger les ressources véritablement non déléguées et non routées relevant de leur autorité. Ils devraient le faire avec la discipline attendue d'un contrôle dont les erreurs peuvent affecter la connectivité: portée étroite, enregistrements fiables, avertissement avant changement si possible, retrait rapide, propagation observable et contestation significative.

"Non alloué" et "réservé" ne sont pas des synonymes

La politique AS0 commence souvent par une liste d'étiquettes: disponible, réservé, non alloué, non attribué, retourné, récupéré ou mis en quarantaine. Ces étiquettes peuvent toutes soutenir le non-routage dans un cadre particulier, mais elles ne sont pas interchangeables.

L'espace non alloué n'a pas été délégué dans la chaîne administrative pertinente. Le cas par défaut est simple: aucun réseau n'a actuellement l'autorité de l'originer publiquement. L'espace non attribué peut se trouver dans une allocation plus large mais n'a pas été attribué à un utilisateur final ou sous-détenteur. La possibilité pour un RIR de signer directement pour cet espace dépend de la structure du certificat et de la politique; un détenteur parent peut conserver l'autorité pertinente.

L'espace réservé est retenu pour une raison. Certaines réservations ne sont pas destinées au routage mondial, comme l'usage privé ou de documentation. D'autres peuvent être destinées à un service routable futur ou à une procédure d'attribution temporaire. La RFC 6491 reconnaît expressément les ressources réservées et à usage spécial qui sont censées être routées globalement et interdit à l'IANA d'émettre des ROA pour ces cas. "Réservé" ne peut donc pas être un synonyme mécanique de "jamais router".

La quarantaine ajoute du temps et de l'histoire. Un bloc retourné ou récupéré peut être retenu avant réémission afin que le routage obsolète, la réputation, la géolocalisation ou les enregistrements d'abus puissent se stabiliser. Le registre peut avoir de bonnes raisons de décourager l'origination publique pendant la quarantaine. Il doit également savoir si un ancien détenteur revendique toujours des droits, si un transfert est incomplet, et si une route résiduelle représente un litige non résolu plutôt qu'un mauvais usage aléatoire.

Disponible signifie généralement éligible à une allocation en vertu de la politique. L'étiquette peut changer quotidiennement à mesure que les demandes, réservations et délégations sont traitées. Un objet AS0 dérivé d'une liste de disponibles doit être lié à des contrôles transactionnels afin qu'un préfixe ne puisse pas être délégué tout en étant encore accidentellement couvert sans autorisation positive effective.

Les ressources historiquement détenues sont la catégorie la plus difficile. L'historique d'enregistrement peut précéder les accords modernes et les services de certificats. Une ressource peut sembler mal documentée sans être non allouée. La classification devrait utiliser l'historique d'enregistrement, les registres de transfert, les contrats, la correspondance et le routage observable, et non un seul champ moderne manquant. AS0 ne doit jamais devenir un raccourci pour éteindre une revendication gênante.

Un service de publication légitime définit chaque statut inclus et exclusion. Il nomme l'ensemble de données faisant autorité, l'heure de mise à jour et les règles de rapprochement. Il effectue des vérifications de chevauchement par rapport aux certificats actuels, aux attributions, aux ROA positifs, aux délégations en attente et aux litiges connus. S'il ne peut pas expliquer pourquoi un préfixe est dans l'ensemble, l'ensemble n'est pas prêt à influencer le routage.

Les statistiques quotidiennes sont des preuves, pas des instruments de titre

Le format d'échange de statistiques des RIR fournit un instantané public utile des allocations et attributions. Les registres entités publient des fichiers selon un calendrier régulier, avec une structure de noms et d'enregistrements commune. Les formulaires étendus peuvent inclure des statuts utilisés par les systèmes opérationnels. La mise en œuvre AS0 d'APNIC a tiré son ensemble non délégué des ressources marquées comme disponibles ou réservées dans ses statistiques publiées.

C'est un point de départ solide car l'entrée est publique, lisible par machine et reproductible. Un observateur peut comparer l'ensemble de ressources classifié avec les charges utiles AS0 et identifier les différences inexpliquées. Le versionnage et les sommes de contrôle améliorent l'intégrité. L'automatisation réduit la probabilité qu'une liste maintenue manuellement se dégrade silencieusement.

Le format indique également ses limites. Il résume les allocations et attributions en cours et ne fournit pas de détails transactionnels ou historiques. Les nombres d'enregistrements ne correspondent pas aux quantités d'espace d'adressage. Les transferts peuvent créer un chevauchement temporaire entre les fichiers du registre. Certaines attributions historiques non issues du registre échappent aux enregistrements produits par les RIR. Un instantané peut indiquer un statut sans prouver comment, quand ou sous quelle autorité contestée il est survenu.

C'est pourquoi les statistiques quotidiennes ne devraient pas être le seul fondement du déni. Le service AS0 devrait les rapprocher du système d'enregistrement en direct, de l'inventaire des certificats, des ROA positifs, des transactions d'allocation en attente, des verrous de transfert et des indicateurs de litige. Il devrait refuser la publication lorsque les sources sont en conflit plutôt que de choisir l'étiquette la plus commode. Une voie de révision humaine est particulièrement importante pour l'espace récupéré, retourné et historique.

Le public devrait pouvoir reconstruire la décision sans accéder aux données privées du compte. Pour chaque préfixe inclus, un manifeste signé ou un enregistrement de transparence peut identifier le statut source, l'heure d'observation, la politique d'autorisation et l'objet AS0. Pour chaque suppression, il peut identifier le nouveau statut et l'heure de retrait. L'identité sensible du client peut rester protégée jusqu'à ce que les règles d'enregistrement ordinaires permettent la divulgation.

Les observateurs externes peuvent alors poser une question significative: l'ensemble AS0 correspondait-il à l'ensemble non délégué déclaré du registre à ce moment-là? Ils n'ont pas besoin d'accepter la conclusion juridique du registre dans chaque litige pour vérifier la cohérence opérationnelle. Si un préfixe apparaît comme attribué alors qu'il est toujours dans AS0, la divergence devient visible avant qu'un incident de routage ne soit rejeté comme une erreur du détenteur.

Les preuves lisibles par machine rendent possible l'examen de l'autorité, mais elles ne convertissent pas la publication de données en jugement. Le registre reste responsable de la procédure de classification derrière l'enregistrement et de la correction des erreurs lorsque des preuves documentaires modifient le résultat.

La transition hors d'AS0 est le moment constitutionnel

Le cas le plus facile pour AS0 est un bloc qui reste inutilisé pendant des années. Le cas difficile est l'heure à laquelle il devient utilisable. Une nouvelle allocation transforme un défaut de conservation en un droit du détenteur d'autoriser le routage. Si les processus du registre ne coordonnent pas cette transition, un contrôle de sécurité peut refuser l'utilisation même que l'allocation était censée permettre.

La politique actuelle des ressources d'APNIC indique que lorsqu'il délègue de l'espace à un titulaire de compte, il supprimera le préfixe du ROA AS0. La politique de LACNIC exige d'invalider les ROA contenant une ressource sur le point d'être allouée ou attribuée et d'émettre des ROA de remplacement sans cette ressource. L'ordre est important. Le déni doit être retiré avant ou dans le cadre d'une transaction coordonnée en toute sécurité avec la nouvelle autorité.

La publication n'est pas instantanée, cependant. La suppression d'un préfixe dans un système d'allocation interne ne supprime pas immédiatement chaque charge utile validée. Le référentiel doit publier un nouvel état cohérent. Les parties prenantes récupèrent selon leurs propres horaires. Les sessions cache-routeur utilisent un comportement d'actualisation et de nouvelle tentative. Les routeurs doivent recevoir un retrait et réévaluer les routes. Différents réseaux peuvent avoir des vues valides différentes pendant la convergence.

Une analyse d'impact de 2019 du RIPE NCC pour une proposition AS0 a illustré le problème sans le régler. Elle a noté que les déclencheurs opérationnels pourraient rendre la révocation anticipée difficile et que le traitement global pourrait prendre du temps. Les estimations exactes dans une analyse de proposition ne doivent pas être traitées comme une performance actuelle universelle, mais la leçon institutionnelle demeure: la disponibilité de l'allocation et du routage nécessite une période de transition explicite.

Il existe trois mesures de sauvegarde pratiques. Premièrement, pré-positionner le retrait là où la décision d'allocation est suffisamment définitive pour le faire en toute sécurité. Deuxièmement, permettre au nouveau détenteur de créer un ROA positif correspondant avant l'annonce, car la validation d'origine traite une autorisation positive correspondante comme Valide même en présence d'AS0. Troisièmement, vérifier auprès de validateurs indépendants que l'état de charge utile prévu s'est propagé avant de conseiller au détenteur d'annoncer.

Ces contrôles nécessitent une promesse de service. L'avis d'allocation doit indiquer si AS0 couvrait auparavant la ressource, quand la suppression a été publiée, où le détenteur peut l'inspecter, et quand un ROA positif est devenu utilisable. Si un routage urgent est attendu, un ingénieur du registre doit confirmer la validation externe plutôt que de se fier à un statut de portail.

La transition est constitutionnelle car elle révèle à qui appartiennent les droits et quand. La conservation est légitime tant qu'aucun détenteur n'a d'autorité. Une fois l'autorité accordée, l'institution doit renoncer au déni rapidement et visiblement. Un registre qui peut ajouter AS0 automatiquement mais ne peut pas le supprimer selon un objectif mesuré a construit un pouvoir unidirectionnel.

Une mauvaise classification AS0 a un mode de défaillance distinctif

Supposons qu'un /16 soit classé comme non délégué et couvert par un ROA AS0 alors qu'un détenteur légitime route un /24 à l'intérieur de celui-ci. Avant AS0, la route peut avoir été Introuvable et acceptée. Après que les validateurs ingèrent l'objet, le /24 devient Invalide car le préfixe AS0 couvre ses plus spécifiques et aucun ROA positif ne correspond. Les réseaux qui rejettent les routes Invalides peuvent retirer l'accessibilité à différents moments.

Le motif visible peut ressembler à une réponse de détournement: certains réseaux cessent de transporter la route tandis que d'autres continuent. Le détenteur peut d'abord blâmer le transit, le fournisseur de transit peut pointer vers son validateur, et le validateur peut montrer correctement la charge utile AS0 signée. Chaque acteur peut être techniquement correct dans sa propre frontière alors que la classification sous-jacente du registre est erronée.

Le remède doit commencer au niveau de l'autorité. Une exception locale d'opérateur peut restaurer un chemin, mais elle ne peut pas supprimer l'objet AS0 vu par d'autres réseaux. Le registre doit authentifier le demandeur, examiner les preuves de ressource, retirer ou restreindre l'objet et publier une correction motivée. Les validateurs doivent alors traiter l'état modifié du référentiel, et les routeurs doivent réévaluer.

La défaillance peut persister après le retrait si les preuves sont minces. Un validateur peut ne pas récupérer le nouvel état. Un cache peut être obsolète. Un routeur peut avoir abandonné la route et nécessiter un mécanisme de récupération sûr. Certains opérateurs peuvent maintenir séparément des listes bogon dérivées du même statut erroné. Corriger RPKI seul peut ne pas supprimer tous les dénis.

Cette forme plaide pour un enregistrement coordonné des incidents. Il devrait identifier la classification erronée, la première publication AS0, les préfixes affectés, les origines BGP observées, l'autorisation de correction, le retrait du référentiel, la convergence des validateurs indépendants, la récupération des caches et routeurs, et les filtres non RPKI résiduels. L'enregistrement devrait distinguer les effets confirmés des effets inférés.

L'indemnisation et la faute devraient suivre les preuves. Un registre qui a mal classifié des enregistrements clairs a un devoir plus fort qu'un autre confronté à un litige de titre de bonne foi. Un opérateur qui a appliqué une politique stricte documentée n'a pas créé la classification, mais il peut être responsable de l'absence d'une voie d'escalade client ou de l'incapacité à traiter la correction. Un détenteur qui a routé sans maintenir de contact ou de registres d'autorisation peut avoir contribué au retard sans perdre toute revendication.

L'objectif n'est pas de rendre AS0 sans risque. C'est de s'assurer que le contrôle a un mode de défaillance réversible et qu'aucune institution ne peut pointer indéfiniment vers le maillon suivant de la chaîne.

Des entrées de confiance séparées peuvent limiter le rayon d'explosion si les opérateurs les remarquent

Les notes publiques d'APNIC sur son ROA AS0 sont exceptionnellement franches. Elles avertissent que des erreurs pourraient provoquer une interruption de routage involontaire en fonction de la configuration du routeur, recommandent une utilisation consultative ou d'alerte plutôt qu'un filtrage automatique, et décrivent un localisateur d'ancrage de confiance différent destiné à empêcher une utilisation involontaire. Le matériel ne couvre que l'espace d'adressage pour lequel APNIC est l'autorité.

Cette conception sépare la décision de faire confiance au matériel RPKI positif ordinaire de la décision de consommer un désaveu large généré par le registre. Un opérateur peut valider l'ensemble AS0 dans la surveillance, le comparer avec les preuves BGP et d'enregistrement, et choisir s'il doit appliquer et où. Une erreur n'a pas besoin d'affecter automatiquement tous les réseaux utilisant l'ancrage de confiance standard d'APNIC.

La séparation n'est pas magique. Si le logiciel inclut l'entrée de confiance supplémentaire comme un défaut silencieux, le choix disparaît. Si un validateur géré étiquette le flux de manière générique, un opérateur de routeur peut ne pas savoir que AS0 provient d'une source distincte. Si un opérateur fusionne les charges utiles de plusieurs caches sans provenance, il peut être incapable d'identifier quelle entrée de confiance a rendu la route Invalide.

Le contrôle nécessite donc une visibilité d'interface. Les validateurs devraient montrer les entrées de confiance AS0 séparément, lister le nombre et la portée des charges utiles sans laisser entendre une couverture universelle, et étiqueter la provenance dans les diagnostics. Les opérateurs devraient enregistrer l'approbation explicite, le mode prévu, les routeurs couverts et la politique. Les modifications de l'entrée de confiance devraient nécessiter une révision comparable à un changement de politique de routage.

L'utilisation prioritaire de la surveillance a une valeur substantielle. Un opérateur peut alerter lorsqu'un préfixe couvert par AS0 apparaît dans BGP, contacter l'origine apparente ou l'amont, et comparer les enregistrements d'enregistrement indépendants avant le rejet. C'est particulièrement prudent lors d'un déploiement précoce ou là où l'historique de classification est complexe. Cela génère également des preuves sur les faux positifs et la propagation sans risquer une déconnexion immédiate.

La faiblesse est que la surveillance ne conserve pas les routes par elle-même. Un abuseur déterminé peut continuer à annoncer. Les opérateurs matures peuvent raisonnablement passer au rejet après avoir démontré la qualité des données et la capacité de correction. L'exigence de gouvernance n'est pas une prudence permanente mais une escalade délibérée: mesurer, notifier, tester des exceptions, publier une date, puis appliquer en vertu d'une politique documentée.

Différents choix régionaux sont légitimes lorsqu'ils sont visibles. D'après les preuves examinées, APNIC et LACNIC ont mis en œuvre des arrangements AS0, avec des directives officielles du NRO de 2025 décrivant des ancres de confiance AS0 séparées et recommandant l'alerte ou la surveillance plutôt que le filtrage automatique en raison du risque. Cela ne devrait pas être généralisé en une affirmation selon laquelle chaque RIR publie ou gouverne AS0 de manière identique.

La politique locale reste la décision finale d'application

Un ROA AS0 ne contourne pas la RFC 8481. Les validateurs établissent l'état de validation d'origine; la configuration de l'opérateur décide de la politique. Cela importe car les institutions qui signent AS0 et celles qui supportent le risque de connectivité sont différentes.

Un réseau peut rejeter toute route qui est Invalide uniquement à cause d'une charge utile AS0 acceptée. Cela donne à la conservation un effet direct et simplifie la politique. Cela nécessite également une confiance dans la solidité des procédures de classification, de retrait et d'exception. Le réseau devrait savoir si l'état Invalide provient de ROA standard émis par le détenteur, d'un flux AS0 du registre ou d'assertions locales, même si le même terme de route-map rejette finalement les trois.

Un autre réseau peut alerter séparément sur AS0. Il peut contacter un client avant d'appliquer, rejeter sur les sessions peer et transit mais autoriser une exception client authentifiée temporaire, ou n'appliquer qu'après confirmation indépendante. De telles distinctions peuvent être légitimes car la relation et les preuves diffèrent. Elles ne devraient pas devenir des échappatoires permanentes par lesquelles les clients peuvent annoncer tout espace non délégué.

La dépréciation est un compromis imparfait. Une route plus spécifique Invalide peut attirer du trafic par rapport à une route Valide moins spécifique car le transfert utilise le plus long préfixe avant la préférence BGP entre routes pour le même préfixe. Conserver un chemin Invalide uniquement pour une réévaluation rapide est différent de l'autoriser dans le transfert. Les descriptions politiques doivent distinguer ces états.

Les opérateurs ont également besoin d'une réponse lorsque les données de validation disparaissent. L'expiration du cache peut supprimer le signal AS0 ou modifier son traitement. L'ouverture en cas d'échec peut permettre la route non souhaitée; la fermeture en cas d'échec sur toutes les données inconnues peut causer un préjudice plus large à l'accessibilité. Les caches redondants et une politique d'expiration explicite réduisent mais n'éliminent pas le choix.

Aucun registre ne peut évaluer ces risques locaux pour chaque réseau. Un fournisseur du secteur public transportant des services d'urgence peut choisir une exception échelonnée après authentification d'un préfixe nouvellement alloué. Un backbone avec une observation large et une escalade mature peut rejeter immédiatement. Une petite entreprise peut se fier entièrement à son amont. La légitimité institutionnelle vient de rôles clairs, pas d'une configuration identique.

La décision de l'opérateur devrait toujours être explicable. Lorsqu'une route est rejetée, le réseau devrait pouvoir identifier la charge utile AS0, l'entrée de confiance, l'heure du validateur et la politique correspondante. Lorsqu'une exception est accordée, elle devrait identifier la portée, les preuves, l'approbateur et l'expiration. L'autonomie locale sans enregistrement est indiscernable d'un traitement arbitraire pour la partie affectée.

La mesure externe fait partie du dossier de sécurité

Un éditeur AS0 peut vérifier ses propres objets et manquer la divergence la plus importante: un préfixe qu'il qualifie d'inutilisé est visiblement originaire de BGP. La route peut être non autorisée, mais elle peut aussi être la preuve que la classification mérite d'être revue avant une application large. La mesure externe devrait donc avoir lieu avant la publication, pendant l'exploitation et après le retrait.

La première comparaison est entre la couverture AS0 proposée et les observations BGP actuelles. RIPE RIS et RouteViews collectent les routes des réseaux entités à plusieurs emplacements et archivent les tables de routage et les mises à jour. Un éditeur peut signaler tout préfixe proposé ou plus spécifique qui apparaît chez n'importe quel collecteur sélectionné. Le résultat est une file d'attente de révision, pas une exemption automatique. La visibilité du collecteur est partielle, et la non-observation ne prouve pas qu'une route n'existe pas.

La deuxième comparaison est entre le statut de ressource faisant autorité et l'ensemble des charges utiles validées. Les validateurs indépendants devraient dériver les mêmes entrées AS0 prévues à partir des objets publiés. Les différences peuvent révéler un retard de référentiel, des erreurs de certificat ou une interprétation logicielle. Le rapport devrait identifier les entrées de confiance et les heures d'observation plutôt que de compter les validateurs comme des votes.

La troisième comparaison concerne l'effet. L'observation contrôlée peut montrer si les annonces couvertes par AS0 restent visibles depuis des points de vue sélectionnés, si la visibilité change après l'adoption par l'opérateur, et si un préfixe corrigé revient. Elle ne peut pas établir un taux de rejet global exact. Les collecteurs BGP échantillonnent des pairs volontaires, et les changements de chemin peuvent cacher la politique. Les tests actifs nécessitent des garanties éthiques et de routage et ne mesurent encore que des chemins sélectionnés.

La quatrième comparaison concerne les faux positifs. Chaque défi authentifié devrait être classifié: erreur de données du registre, délégation en attente, route obsolète, erreur du détenteur, revendication contestée, usage privé local ou annonce inexpliquée. Le délai de première réponse, la correction par l'autorité, la convergence du validateur et la restauration observée devraient être rapportés dans des distributions avec des dénominateurs clairs. Une période sans défi n'est pas la preuve d'une précision parfaite si les parties affectées ne pouvaient pas trouver le contact.

La mesure publique donne de la crédibilité à la revendication de conservation. Elle montre si l'espace couvert a effectivement été observé en routage, si les abus ont diminué et si les transitions légitimes ont récupéré. Elle discipline également l'expansion. Un éditeur ne devrait pas ajouter plus de catégories simplement parce que la génération est techniquement facile; il devrait montrer que l'ensemble actuel est précis, réversible et utile.

La preuve la plus forte est au niveau des événements et reproductible. Une affirmation mensuelle selon laquelle "AS0 protège des millions d'adresses" en dit peu sur la valeur opérationnelle et peut induire en erreur car les comptes d'adresses pèsent fortement sur les grands blocs. Un enregistrement des annonces détectées, des conflits examinés, des corrections et de la convergence mesurée dit aux institutions ce que le contrôle a réellement fait.

Le retrait rapide est un droit, pas seulement un objectif d'ingénierie

Lorsqu'AS0 est erroné, la partie affectée a besoin de plus qu'un ticket de support. La déclaration signée du registre peut influencer des opérateurs éloignés avec lesquels le détenteur n'a aucun contrat. Une procédure de contestation crédible fait donc partie de l'autorité de publier.

Le point d'entrée doit être public, surveillé en continu et capable d'authentifier les demandeurs urgents. Le demandeur doit fournir le préfixe, l'autorité revendiquée, l'AS d'origine, les preuves de routage et le contact. Le registre doit immédiatement retourner un identifiant de cas et indiquer si le préfixe est actuellement dans AS0, sous quelle politique et à partir de quel enregistrement de statut.

Le triage doit séparer l'erreur administrative évidente des droits contestés. Si un préfixe nouvellement alloué est resté couvert en raison d'un échec de traitement du changement, le retrait ne devrait pas attendre un comité politique. Si la réclamation concerne un bloc retourné ou historique avec des enregistrements contradictoires, le registre peut avoir besoin d'un examen juridique et documentaire. Même alors, il devrait envisager une mesure de risque limitée dans le temps, expliquer la décision provisoire et préserver l'appel.

Les objectifs de retrait devraient être définis à des points de contrôle: approbation, publication dans le référentiel et confirmation par des validateurs indépendants spécifiés. La restauration de route de bout en bout devrait être mesurée et rapportée, mais non garantie universellement car les opérateurs contrôlent leur propre interrogation et politique. Le registre devrait continuer à aider jusqu'à ce que des observations externes représentatives montrent que la correction s'est propagée ou que l'obstruction restante est localisée ailleurs.

L'enregistrement historique doit survivre à la correction. Régénérer silencieusement un agrégat large sans journal de modifications détaillé rend difficile de savoir que le préfixe a jamais été couvert. Une entrée de transparence devrait enregistrer l'ancienne et la nouvelle portée, la catégorie de raison, l'autorisation et les horodatages. Elle peut protéger les détails privés du demandeur tout en exposant l'action institutionnelle.

Un appel devrait être disponible lorsque le registre refuse le retrait. L'organe de révision a besoin d'accès aux preuves d'enregistrement et de politique, doit être suffisamment indépendant pour remettre en question la classification du personnel, et devrait publier un résultat motivé avec les caviardages nécessaires. Les droits judiciaires et les recours contractuels demeurent le cas échéant; l'examen technique ne devrait pas prétendre régler toutes les questions de titre juridique.

Le retrait rapide est un droit car la réversibilité justifie le pouvoir préventif. L'institution demande aux opérateurs de se fier à une classification avant qu'un préjudice ne se produise. En échange, elle doit offrir à la partie mal classifiée une voie de sortie rapide et fondée sur des preuves. Sans cette symétrie, la conservation devient un déni préventif sans procédure régulière.

Le pouvoir préventif nécessite un contrôle des modifications plus fort que les listes ordinaires

Une liste bogon statique peut être erronée, mais un objet RPKI AS0 porte une autorité cryptographique et peut entrer dans une politique de routeur automatisée. Son contrôle des modifications devrait refléter ce levier plus élevé.

La génération devrait être déterministe à partir d'entrées déclarées mais pas aveugle. L'ensemble candidat peut être calculé à partir du statut des ressources, puis vérifié par rapport aux certificats détenus, aux ROA positifs, aux allocations en attente, aux registres de transfert, aux indicateurs de litige et au BGP observé. Chaque exclusion et conflit devrait être journalisé. Une deuxième personne ou un contrôle indépendant devrait approuver les ajouts à haut risque tels que les plages retournées, récupérées ou historiques.

Les objets devraient être limités pour réduire le destin partagé. La RFC 9455 met en garde plus généralement que les ROA contenant plusieurs préfixes partagent la validité comme un objet signé. Pour les opérations AS0, un emballage excessivement large peut rendre l'enquête et la correction plus difficiles même si la sémantique de validation de route reste spécifique au préfixe. Des objets plus petits et logiquement groupés peuvent soutenir des enregistrements de modifications plus clairs, à condition que l'échelle opérationnelle et les performances du référentiel soient respectées.

La simulation avant publication devrait calculer quelles annonces BGP observées passeraient de Introuvable ou Valide à Invalide dans des validateurs indépendants. La révision devrait inclure les plus spécifiques car AS0 est destiné à les couvrir. Un conflit d'autorisation positive doit être expliqué, pas ignoré. La sortie devient un artefact d'approbation et une base de référence pour l'observation après publication.

Le déploiement devrait être progressif. Publier vers une entrée de confiance de surveillance, inviter à la révision par l'opérateur, comparer les observations, corriger les classifications, puis envisager des directives d'application. Un registre peut encore répondre rapidement à un abus évident; l'adoption progressive concerne la confiance des parties prenantes, pas un retard dans la signature de chaque objet.

La suppression mérite une ingénierie équivalente. Les systèmes d'allocation devraient être incapables de finaliser une délégation sans créer un événement de suppression AS0 lié. Le service devrait vérifier la publication dans le référentiel et les vues des validateurs indépendants. Un échec de suppression devrait alerter une équipe responsable plutôt que d'attendre que le destinataire découvre une route Invalide.

Enfin, les organes de gouvernance devraient examiner publiquement les changements de portée. L'ajout d'espace "mis en quarantaine" ou "récupéré" peut modifier les droits et ne devrait pas être une version logicielle inaperçue. La politique devrait définir l'inclusion, la transition et l'appel. Le personnel technique devrait publier une analyse d'impact avec les conflits et les limitations. L'approbation communautaire ne peut garantir l'exactitude, mais elle rend le mandat de conservation affirmé contestable avant qu'il ne devienne du code.

Le plaidoyer pour AS0 est le plus fort lorsque ses limites sont explicites

La défense la plus solide d'AS0 ne revendique pas des enregistrements parfaits, un déploiement universel ou une élimination automatique des abus. Elle dit quelque chose de plus modeste et plus durable: les institutions qui administrent actuellement l'espace d'adressage ont le devoir d'empêcher une utilisation non autorisée avant la délégation, et RPKI offre un moyen authentifié d'exprimer ce défaut aux opérateurs volontaires.

La défense a des conditions. L'institution doit détenir l'autorité administrative actuelle pour le préfixe exact. Le statut de la ressource doit signifier que l'origination publique n'est pas prévue. Les ressources à usage spécial censées router doivent être exclues. Les détenteurs existants, les délégations en attente, les ROA positifs et les annonces visibles doivent être vérifiés. La politique régionale doit autoriser l'acte là où la règle de normes de premier niveau de l'IANA ne le gouverne pas directement.

L'effet doit également être énoncé honnêtement. AS0 produit un résultat de validation d'origine; les opérateurs choisissent l'application. Une route classée Invalide peut refléter une utilisation malveillante, une erreur opérationnelle ou une mauvaise classification. Un ROA positif correspondant peut rendre une route Valide. Différentes entrées de confiance peuvent conduire les réseaux à des vues différentes. Les observations BGP sont échantillonnées, pas universelles.

Plus important encore, le contrôle doit être réversible. L'éditeur a besoin d'un retrait mesuré, d'un service de contestation, d'un historique conservé et d'une confirmation indépendante. Les nouveaux détenteurs ont besoin de preuves de transition avant d'annoncer. Les opérateurs ont besoin de provenance et d'une réévaluation sûre. Un contrôle qui peut ajouter un déni en minutes mais met des jours à corriger une erreur évidente manque d'équilibre institutionnel même si sa cryptographie est parfaite.

Ces limites n'affaiblissent pas la conservation. Elles rendent l'adoption par l'opérateur plus défendable. Les réseaux sont plus susceptibles d'appliquer un signal lorsqu'ils savent comment il a été produit et comment les erreurs sont réparées. Les détenteurs sont plus susceptibles d'accepter une couverture préventive lorsque l'allocation la supprime de manière fiable. Les chercheurs peuvent mesurer l'effet lorsque la portée et l'historique sont publics.

Un régime AS0 devrait donc publier une déclaration d'assurance compacte: autorité, statuts inclus, exclusions, sources de données, calendrier d'actualisation, entrée de confiance, conseils d'adoption, vérifications de conflit, contact de contestation, objectifs de retrait, validateurs externes et limites de mesure. Cette déclaration transforme une large assertion négative en un service responsable.

Une Société des ressources numériques peut auditer sans devenir un allocateur

Une Société des ressources numériques a un rôle utile précisément parce qu'AS0 traverse les frontières institutionnelles. Le registre contrôle la classification et la signature. Les opérateurs contrôlent la politique de routage. Les détenteurs supportent les conséquences. Les chercheurs n'observent que certaines parties du système de routage. Aucun acteur unique n'assemble naturellement l'ensemble du dossier de sécurité.

La Société peut tenir un registre comparatif des politiques AS0: quelle institution publie, sous quelle entrée de confiance, pour quels statuts, avec quel ordre de transition, canal de contestation et enregistrement de transparence. Elle peut tester si la portée publiée correspond aux données de ressources déclarées et si les validateurs indépendants convergent. Elle peut commander des études d'événements autour des ajouts, retraits et préfixes nouvellement délégués.

Elle peut également représenter les petits détenteurs dans la correction. Un formulaire de preuve commun et un répertoire d'escalade réduiraient le temps passé à prouver qu'une route Invalide est liée à AS0. La Société pourrait suivre la réponse et la restauration sans exiger la divulgation de matériel de compte protégé. Les échecs répétés pourraient être soulevés dans les processus de la communauté RIR avec des preuves concrètes plutôt qu'une suspicion généralisée.

La frontière est essentielle. La Société ne devrait pas émettre de ROA AS0 pour un espace d'adressage qu'elle n'administre pas, décider d'un titre de ressource contesté, contraindre un RIR à allouer, ou ordonner aux réseaux de transporter des routes. Elle ne devrait pas fusionner chaque politique régionale en un seul flux universel. Ces actes reproduiraient la concentration que l'examen indépendant est censé vérifier.

Son autorité serait réputationnelle et procédurale. Des méthodes publiées, des comparaisons reproductibles, une adhésion équilibrée et des conflits déclarés peuvent rendre ses conclusions utiles. Un RIR pourrait rejeter une recommandation, mais aurait besoin d'expliquer pourquoi. Un opérateur pourrait choisir une politique plus stricte ou plus souple, mais pourrait comparer les preuves derrière chaque entrée de confiance.

La Société devrait noter les contrôles, pas les institutions dans l'abstrait. L'ensemble AS0 a-t-il une base d'autorité claire? Une nouvelle délégation peut-elle sortir en toute sécurité? Les conflits observés sont-ils examinés? Le retrait est-il visible dans les validateurs indépendants? Un détenteur affecté peut-il obtenir une raison? Les changements politiques et techniques sont-ils publics? Ces questions donnent une amélioration exploitable.

Un tel rôle soutient un programme positif pour la Société des ressources numériques: conservation sans confiscation, sécurité du routage sans commandement central caché, et autonomie régionale avec des preuves communes. Il transforme la légitimité d'une affirmation sur un but bienveillant en un test de pouvoir réversible.

La conservation et le déni sont séparés par la procédure

Les ROA AS0 sont à la fois des outils de conservation et des dénis préemptifs. Les deux descriptions ne sont pas mutuellement exclusives. Le mécanisme refuse l'origination publique avant qu'un détenteur légitime ne soit censé router. Ce déni conserve les ressources uniquement lorsque l'autorité, la classification et la transition sont solides.

Les normes fournissent une base délimitée. AS 0 est inutilisable comme origine BGP publique. La RFC 6483 définit le désaveu et permet aux ROA positifs correspondants de prévaloir. La RFC 6491 autorise le traitement par l'IANA de l'espace non alloué et non routé réservé ou à usage spécial tout en protégeant l'espace destiné à être routé. La RFC 8481 maintient l'action finale dans la politique de l'opérateur.

Les politiques régionales ajoutent une deuxième base. APNIC et LACNIC ont lié AS0 à l'espace d'adressage sous leur propre administration et décrit le retrait lorsque les ressources sont déléguées. Leurs choix démontrent que la politique communautaire, et non la seule capacité technique, devrait définir la portée des RIR. L'entrée de confiance séparée d'APNIC et la mise en garde contre le filtrage automatique reconnaissent également le coût de l'erreur.

Le travail restant est institutionnel. Chaque préfixe inclus devrait avoir une base d'autorité et de statut visible. Chaque transition devrait coordonner le retrait, l'autorisation positive et la validation externe. Chaque contestation devrait recevoir une réponse authentifiée et une correction mesurable. Chaque effet revendiqué devrait identifier ses points de vue BGP et ses limites. Chaque opérateur devrait savoir que c'est lui, et non le registre, qui choisit finalement si Invalide signifie rejeter.

Avec ces contrôles, AS0 est un instrument de conservation légitime: assez fort pour décourager le mauvais routage, assez étroit pour respecter l'autorité du détenteur, et réversible lorsque les faits changent. Sans eux, le même zéro signé peut devenir un déni opaque imposé avant que la partie affectée n'ait eu une audition effective.

Le test de gouvernance est donc pratique plutôt que rhétorique. Demandez qui a signé, quel statut exact a justifié la signature, qui a vérifié l'utilisation existante, quand le déni sera supprimé, comment un demandeur peut le contester, quels validateurs confirment le changement et ce que montrent les routes échantillonnées après coup. Si ces questions ont de bonnes réponses, zéro peut protéger une ressource commune. Sinon, la validité cryptographique prouve seulement que la mauvaise déclaration institutionnellement non soutenue a été signée correctement.

Sources

• RFC 7607: Codification du traitement d'AS 0— Exige que les speakers BGP n'originent ni ne propagent de routes contenant AS 0 dans les attributs de chemin spécifiés. Il explique pourquoi AS0 peut servir de sujet non routable mais n'autorise aucune institution à classer un préfixe particulier.
• RFC 6483: Validation de l'origination de route à l'aide de RPKI et des ROA— Définit le désaveu AS0, le traitement des plus spécifiques et la capacité d'un ROA positif correspondant à produire un résultat Valide. Elle précède les politiques régionales évaluées ici.
• RFC 6491: Objets d'infrastructure à clé publique de ressources émis par l'IANA— Fournit la base normative pour les objets AS0 de l'IANA couvrant les ressources non allouées et non routées réservées ou à usage spécial, avec des exclusions explicites pour les ressources destinées à être routées.
• RFC 6811: Validation d'origine des préfixes BGP— Définit les états de route Valide, Invalide et Introuvable. Un état n'établit pas pourquoi une annonce est en conflit avec l'autorisation.
• RFC 8481: Clarifications sur la validation d'origine BGP— Exige que l'action politique de validation d'origine reste sous la configuration explicite de l'opérateur. Elle ne recommande pas une politique AS0 unique.
• RFC 8416: Gestion simplifiée des ressources locales de numéros Internet avec RPKI— Décrit les filtres et assertions locaux, y compris les cas impliquant un espace réservé ou non alloué. Les exceptions locales n'altèrent pas les vues globales des autres opérateurs.
• RFC 8210: Le protocole RPKI vers routeur, version 1— Définit les retraits de charges utiles, les numéros de série de cache et le timing entre validateurs et routeurs. Ses temporisateurs ne garantissent pas un temps de correction de bout en bout universel.
• RFC 9455: Éviter les ROA contenant plusieurs préfixes IP— Explique le sort de validité partagé au sein des objets ROA multi-préfixes. Appliquer sa leçon de conception d'objet à AS0 est une recommandation de gouvernance, pas un mandat spécifique à AS0 dans cette RFC.
• APNIC prop-132: ROA RPKI pour l'espace d'adressage APNIC non alloué et non attribué— Enregistre la proposition régionale, la justification et le statut mis en œuvre pour l'espace géré par APNIC. Cela n'accorde pas à APNIC l'autorité sur d'autres régions.
• Politiques des ressources de numéros Internet d'APNIC, section 5.1.4— Indique quels statuts APNIC reçoivent une couverture AS0 et qu'APNIC supprime un préfixe lorsqu'il délègue la ressource. Le texte politique public ne prouve pas par lui-même que chaque transition opérationnelle est sans erreur.
• APNIC: Notes importantes sur le ROA AS0— Met en garde contre le risque d'interruption, recommande une utilisation consultative ou d'alerte et décrit une entrée de confiance séparée. C'est la déclaration opérationnelle d'APNIC elle-même, pas une étude d'efficacité indépendante.
• Politique LACNIC LAC-2019-12— Enregistre l'autorité régionale mise en œuvre, la portée et les exigences de retrait pour les ressources administrées par LACNIC. La politique ne règle pas les revendications historiques non liées ou transrégionales.
• Analyse d'impact RIPE NCC 2019-08— A exploré le timing opérationnel, la portée et les risques de transition pour une approche proposée AS0 ou d'assertion locale. C'est une preuve de préoccupations de conception, pas la preuve que la conception analysée est devenue la pratique actuelle du RIPE NCC.
• Format d'échange de statistiques des RIR— Définit des instantanés publics des allocations et attributions et explique leur manque d'historique transactionnel. Les fichiers de statut sont des preuves pour la classification, pas un substitut au jugement de l'autorité contestée.
• Documentation RIPE RIS— Décrit les collecteurs BGP distribués et les archives adaptées à l'observation avant et après. La couverture est échantillonnée et ne peut pas établir un rejet universel.
• Documentation de l'API RouteViews— Documente les observations de routage actuelles et historiques des collecteurs entités. La non-observation chez un collecteur n'est pas une preuve qu'aucune route n'existe ailleurs.
• Note de bonnes pratiques RPKI LACNIC/NRO— Décrit les orientations opérationnelles 2025 pour les entrées de confiance AS0, la surveillance et le déploiement progressif de ROV. Il s'agit d'orientations et ne devrait pas être converti en un dénominateur d'adoption exact.
• Charte de la NRS— Soutient la participation distribuée et les limites sur l'autorité concentrée des ressources numériques. Les fonctions d'audit et de contestation proposées dans cet article restent prospectives et ne confèrent pas de pouvoir d'allocation ou de routage à la NRS.