RIPE : 37 % des définitions ROA absentes de BGP

Résumé

À RIPE 93, RIPE NCC a opposé deux lectures : près de 100 % des annonces observées et couvertes par un ROA étaient valides, tandis qu’environ 37 % des définitions préfixe-ASN des ROA n’étaient pas observées dans BGP.
Certaines autorisations silencieuses servent de routes de secours. D’autres peuvent rester actives après le retrait d’une annonce et faire paraître valide une origine usurpée.

L’autorisation qui survit à la route

La route disparaît parfois avant son autorisation. Le ROA, lui, continue de signer la même origine. La création donne un signal de sécurité visible ; le retrait de la permission après l’arrêt de l’annonce ressemble à une tâche de rangement sans urgence.

Le 28 octobre, à RIPE 93, Tim Bruijnzeels, responsable RPKI de RIPE NCC, a décrit ce décalage sous deux angles. À l’échelle mondiale, environ 73 % des préfixes disposaient d’un ROA, IPv4 et IPv6 réunis. Parmi les préfixes annoncés et déjà couverts par un ROA, près de 100 % étaient valides selon ROV. Les opérateurs corrigent ou filtrent rapidement les annonces Invalid, a-t-il expliqué : le signal visible s’améliore vite.

Puis il a retourné la photographie. Environ 37 % des définitions préfixe-ASN contenues dans des ROA n’étaient pas observées dans BGP. Ce chiffre compte des autorisations par couple préfixe-origine ; il ne mesure ni le nombre de routes, ni le trafic, ni les objets ROA, ni l’espace d’adresses. Un ROA peut porter plusieurs définitions de préfixe.

Le compte rendu ne donne ni numérateur, ni dénominateur détaillé, ni date d’échantillon, ni période d’observation, ni méthode. Ces données permettraient de distinguer les autorisations réellement abandonnées des routes silencieuses qui ont encore une fonction.

Certaines sont utiles. Un détenteur de ressources peut autoriser une route avant sa mise en service ou garder une origine de secours prête à prendre le relais. Bruijnzeels a précisément cité les routes de secours parmi les explications possibles. Le tableau de bord RIPE NCC compare les ROA aux annonces vues par ses collecteurs RIS ; sa documentation API indique que ces observations sont actualisées toutes les huit heures. Une absence dans la vue courante décrit ce que les collecteurs ont vu, pas l’intention du détenteur sur toute la durée de vie du préfixe.

D’autres définitions sont peut-être des restes. Bruijnzeels a résumé l’incitation : l’opérateur a une raison forte de créer un ROA lorsqu’il commence à annoncer une route, puis beaucoup moins de raisons de le supprimer quand l’annonce cesse. Le bénéfice du retrait est moins visible que celui de la création, et l’objet peut rester dans le dépôt.

Ce silence a une conséquence technique. La validation d’origine BGP vérifie que le préfixe et l’ASN d’origine correspondent à un ROA qui les autorise. Elle n’authentifie pas tout le chemin AS. Si quelqu’un annonce le préfixe en usurpant une origine encore autorisée par un ancien ROA, les validateurs peuvent classer l’annonce comme valide. Une signature qui décrivait autrefois une route réelle peut continuer à cautionner une origine après la disparition de la raison opérationnelle.

La réponse paraît simple : afficher un avertissement sur chaque ROA absent de BGP. RIPE NCC dit que l’information existe déjà, mais qu’il faut la chercher ; l’organisation veut la rendre plus visible et envisage d’étendre les alertes. Bruijnzeels a aussi proposé que l’utilisateur puisse marquer une route de secours volontaire pour ne plus recevoir les mêmes rappels. Ce second réglage compte autant que l’avertissement. Supprimer toutes les définitions silencieuses peut effacer le chemin de secours qu’un opérateur comptait utiliser pendant une panne.

Il faut une file de vérification, pas un compteur rouge assorti d’un bouton de suppression. Pour chaque écart, afficher le préfixe observé, l’ASN d’origine, la dernière observation et l’âge des données RIS. Puis laisser le détenteur choisir : actif, planifié, secours ou retiré. Il peut alors actualiser une route, conserver une autorisation de secours documentée ou supprimer une permission devenue inutile. « Non observé » devient une question à laquelle l’opérateur répond, pas un verdict du tableau de bord.

Le chiffre de RIPE NCC montre un vrai angle mort de gestion. Une excellente validité parmi les routes observées peut coexister avec un stock d’autorisations que personne ne suit. Le prochain chiffre utile n’est pas un 37 % plus bas, obtenu en supprimant tout. C’est la part des définitions silencieuses classées comme secours, planifiées, actives ou retirées — puis le nombre d’autorisations retirées pour de bon.