Résumé

  • Job Snijders et Ties de Kock, du RIPE NCC, ont signé la RFC 9697, publiée par l'IETF en décembre 2024.
  • Le texte demande au validateur de comparer les empreintes déjà vues ; si une ancienne version change, il doit avertir et repartir du dernier instantané complet.

Un vieux numéro, deux contenus

Dans l'exemple de la RFC 9697, le dépôt passe du numéro 1774 au 1775. Jusque-là, rien à signaler. Mais l'empreinte du fichier 1774 a changé. Celle de 1773 reste intacte. Le tiroir porte toujours la même étiquette ; ce qu'il contient a été remplacé. L'exemple sert à expliquer une panne possible, pas à raconter un incident réel. Job Snijders et son coauteur Ties de Kock ont pris cette anomalie suffisamment au sérieux pour modifier la règle de synchronisation.

Le RPKI fournit aux réseaux des objets signés qui entrent dans la validation de l'origine des routes. RRDP les distribue par petits fichiers de modification, les « deltas ». Un validateur commence avec un instantané complet, puis ne télécharge que les changements manquants. Un fichier de notification indique la session, les numéros et les empreintes des deltas. Le mécanisme évite de recopier tout le dépôt à chaque passage. Il suppose qu'un delta publié sous un numéro donné reste ce même delta.

Si deux validateurs interrogent le dépôt à des moments différents, chacun peut enregistrer un contenu différent pour 1774. Tous deux affichent pourtant la même session et le même dernier numéro. Un contrôle limité à ces deux valeurs annoncera une harmonie trompeuse. La méthode de Snijders et de Kock conserve les couples numéro-empreinte du précédent téléchargement réussi. À la notification suivante, le validateur confronte les numéros présents dans les deux listes. Une ancienne empreinte qui bouge déclenche un avertissement et le téléchargement du dernier instantané complet.

Snijders connaissait déjà les caprices de la distribution. Dans son récit technique de 2021 sur rpki-client, il décrit des serveurs RRDP répartis derrière un équilibrage de charge : un serveur annonçait un delta qu'un autre n'avait pas encore reçu. Cette course entre serveurs est distincte du vieux delta modifié que traite la RFC 9697. Elle rappelle toutefois que la solidité des signatures dépend aussi de la circulation correcte des fichiers.

Le coût d'une copie divergente atteint la décision de routage. Selon la RFC, un cache désynchronisé peut conserver des données de validation que l'autorité de certification voulait retirer, ou en omettre d'autres. Une annonce destinée à être valide peut alors apparaître inconnue ou invalide. La session peut durer des mois. L'empreinte du passé mérite donc une place dans le carnet du présent.