Summary

  • Dans son avis du 12 août, Richard Jimmerson annonce l’enquête sur un problème RPKI et la mise en file des nouveaux ROA. Sa mise à jour du lendemain attribue l’incident à une erreur d’encodage apparue après la mise à niveau du HSM et signale un correctif.
  • Le bilan technique du 26 août situe le déploiement le 12 août à 12 h 21 et la réparation le 13 à 11 h 36. RIPE Validator et Routinator ne relevaient rien ; rpki-client et Fort rejetaient le dépôt.

Un feu vert peut cacher un angle mort. Chez ARIN, le nouveau système RPKI était entré en production à 12 h 21 le 12 août 2020. À 12 h 46, un signalement indiquait que rpki-client ne validait plus son dépôt. RIPE Validator et Routinator, utilisés dans les essais, n’avaient pourtant détecté aucune erreur. Fort partageait le verdict de rpki-client. Le même dépôt offrait donc deux expériences opposées selon le logiciel qui le lisait.

Directeur des opérations d’ARIN, Jimmerson devait décider pendant que la cause restait obscure. Il a annoncé que les nouvelles demandes de Route Origin Authorization seraient gardées en file jusqu’à la fin de l’enquête et des réparations. Un ROA autorise un système autonome à annoncer un préfixe IP. Continuer à produire de nouveaux objets pendant que certains validateurs repoussaient le dépôt aurait compliqué l’incident. La file d’attente rendait la décision lisible pour ceux qui attendaient leur ROA.

Le lendemain, Jimmerson a exposé la faute : dans un objet signé, deux identifiants d’algorithme censés correspondre portaient des paramètres différents, une valeur vide d’un côté, NULL de l’autre. Il a indiqué que le correctif était prêt et qu’un nettoyage de certains ROA créés entre-temps suivrait. Il a crédité Job Snijders, qui avait alerté ARIN, ainsi que plusieurs contributeurs d’OpenBSD ayant participé au diagnostic.

Mark Kosters, directeur technique d’ARIN, a ensuite publié la chronologie et promis une batterie d’essais élargie aux validateurs fondés sur OpenSSL. C’est une conséquence très concrète : un test réussi ne vaut que pour les lecteurs qu’il a effectivement sollicités. Jimmerson a tenu la porte de sortie des ROA le temps que l’institution apprenne à regarder les autres voyants.