Summary

  • Le programme de RIPE 93 du 27 octobre accueille Alexander Männel et son étude du délai entre modification d'un ROA et changement de chemin dans le plan de données. Les résultats figuraient déjà dans des diapositives IETF rendues publiques en juillet.
  • Après le passage d'invalide à valide ou non trouvé, 50 % des points observés sont atteints en 9 minutes sur les réseaux multihébergés et 12 sur les autres. Dans l'autre sens, les chiffres sont 42 et 30 minutes.

Le registre peut apposer son tampon immédiatement. Les paquets, eux, doivent attendre que plusieurs maisons ouvrent le courrier. C'est le sujet de la présentation inscrite à RIPE 93 le 27 octobre : Alexander Männel étudie le temps nécessaire pour qu'un changement de validité RPKI modifie la circulation effective. L'équipe avait déjà publié ses diapositives originales à l'IETF 126 en juillet. La nouveauté éditoriale est leur mise devant la communauté qui exploite ces registres et ces réseaux, pas une campagne de mesures secrète menée en octobre.

Pour lancer le chronomètre assez tôt, les chercheurs ont surveillé l'origine CDN du dépôt RRDP de RIPE avec un validateur optimisé. À chaque changement de données ROA validées, ils ont envoyé des traceroutes vers le préfixe touché depuis plus de 300 points CAIDA Ark, toutes les trois minutes pendant une heure. Entre novembre 2025 et janvier 2026, ils ont observé 24 886 transitions affectant ces données validées. Parmi elles, 1 493 entraient dans l'état INVALID ou en sortaient, hors annonces à origines multiples. Leur détection précédait le validateur public le plus rapide d'au moins 57 secondes ; l'avance médiane était de cinq minutes et sept secondes.

Le sens de la transition change l'attente. Quand une route auparavant invalide devient valide ou « non trouvée », les diapositives placent le seuil de 50 % des points d'observation à 12 minutes pour un réseau à un seul amont et neuf pour un réseau multihébergé. Quand une route jusque-là valide ou non trouvée devient invalide, le même seuil arrive après 30 et 42 minutes. La notice de RIPE 93 résume ces deux familles à 9–12 et 30–42 minutes. La seconde est celle qui compte quand une équipe de sécurité attend qu'une annonce désormais invalide cesse d'être suivie.

La chaîne ne relève d'aucun seul pupitre. RIPE NCC publie les données du dépôt ; les opérateurs des validateurs décident de la fréquence des mises à jour ; les réseaux appliquent leur politique de validation d'origine au routage. Les chercheurs ont arrêté chaque observation après une heure, et leur classement des réseaux selon le nombre d'amonts, déduit des données RIPE RIS, peut se tromper. Ces bornes disent exactement ce qu'un responsable peut promettre : une étape mesurée à la moitié des points vus, pas l'heure de fermeture de tous les chemins.

L'équipe recommande des ROA créés avant l'urgence et des validateurs qui rafraîchissent leurs données en dix minutes ou moins. Pour une organisation qui gère un incident, le progrès concret serait un journal commun des quatre horloges : publication, validation, application par le routeur et changement de portée. Sans ces heures, chacun peut annoncer que sa partie du travail est terminée pendant que le trafic suit encore l'ancienne décision.

Sources originales