Jorge Cano et le changement discret du cœur RPKI de LACNIC

Jorge Cano a changé le moteur RPKI de LACNIC. Le bouton final s’appelait DNS.

Pourquoi c'est important

Un moteur cryptographique neuf, deux années de préparation et, pour finir, quelques enregistrements DNS. Dans le récit de Jorge Cano, cette dernière manœuvre paraît presque dérisoire. Elle ne l’est que parce que LACNIC avait d’abord examiné ce que conserveraient les validateurs des autres.

Sofia Ren24 octobre 2026Temps de lecture 3 minDernière mise à jour: 24 octobre 2026

Jorge Cano a raconté la migration RPKI de LACNIC. Son visage reprend sa photographie nominative publiée par LACNIC; l’armoire à clés est imaginée.

Résumé

Lancé fin 2022, le remplacement du cœur RPKI de LACNIC a exigé des essais sur plusieurs versions de validateurs. Jorge Cano désigne l’intégrité de leurs caches comme l’une des difficultés majeures; certains anciens logiciels devaient redémarrer.
Une fois le nouveau cœur adapté à la base des membres, le basculement s’est fait par des enregistrements DNS. Cano décrit ensuite une clé maîtresse hors ligne et trois cérémonies de signature en présence de témoins.

Les caches n’applaudissent pas au lancement

Le registre peut annoncer qu’un nouveau système fonctionne. Le validateur d’un opérateur, lui, travaille avec ce qu’il a reçu et gardé. Jorge Cano place cette asymétrie au centre de son récit de migration. LACNIC a essayé diverses versions de logiciels de validation afin de préserver l’intégrité de leurs caches. Pour quelques versions anciennes, un redémarrage restait nécessaire. Ce détail vaut mieux qu’un communiqué triomphal : il nomme l’endroit où le changement du registre rencontre la machine de quelqu’un d’autre.

Cano est architecte logiciel principal chez LACNIC. Il découpe l’infrastructure en trois étages : le cœur qui traite la cryptographie, une couche qui prépare et prévalide les objets avant publication, puis l’interface qui sert le contenu validé. Dans le service RPKI hébergé, les membres créent leurs autorisations d’origine dans MiLACNIC. Le registre garde la gestion des clés et des certificats. La commodité offerte au membre repose donc sur une mécanique centrale qu’il ne pilote pas.

Le chantier a commencé fin 2022. L’équipe a choisi Krill, une implémentation ouverte, puis l’a adaptée à la base des utilisateurs et aux besoins propres au registre. Environ deux ans plus tard, le nouveau cœur est arrivé en production. La dernière opération a consisté à modifier des enregistrements DNS. C’est une chute comique pour un chantier de cryptographie, mais seulement en apparence. Le DNS a déplacé l’aiguillage; les tests et l’adaptation avaient construit la voie.

Dans un texte de janvier 2025, Cano décrit la clé maîtresse de l’ancre de confiance maintenue hors ligne. Elle est activée brièvement pour resigner le certificat principal. Trois cérémonies avaient déjà eu lieu à la Casa de Internet, en Uruguay, avec des salariés de plusieurs services et des témoins. Une liste de contrôle consigne les étapes et les incidents. La rareté de l’opération augmente la valeur du rituel pratique : quand on ouvre l’armoire, chacun sait ce qu’il vient faire et ce qui restera écrit. Le tableau détaillé des versions testées n’est pas public; il permettrait de situer précisément les caches qui ont exigé un redémarrage.