Résumé

  • Une ROA autorise un AS à être l’origine de préfixes déterminés; le maxLength facultatif étend cette autorisation à des routes plus spécifiques sans dire lesquelles seront réellement annoncées.
  • La validation compare une route observée aux données de préfixe, de longueur maximale et d’AS d’origine. Un résultat Valid ne démontre ni l’intention, ni la portée, ni la préférence locale.
  • Des ROA minimales et un rapprochement daté entre autorisations, observations BGP et politique approuvée réduisent l’ambiguïté.

La distinction essentielle oppose l’ensemble permis au plan d’exploitation. La RFC 9582 définit la ROA comme un objet signé par lequel le détenteur d’un bloc d’adresses autorise un AS à annoncer un ou plusieurs préfixes. Une ROA ne nomme qu’un AS; plusieurs AS exigent des objets distincts.

Sans maxLength, seule la longueur exacte du préfixe est autorisée. Avec maxLength, l’autorisation couvre aussi les préfixes plus spécifiques jusqu’à cette limite. Une entrée /20 avec maxLength /24 ouvre donc un ensemble d’annonces possibles. Elle ne contient ni calendrier, ni site d’origine, ni condition de bascule, ni préférence de chemin.

Cette absence est conforme à la fonction de la ROA. L’objet répond à la question de l’autorisation d’origine. L’ingénierie de trafic décide quelles routes seront exportées, depuis quels points, avec quels attributs et pendant quelle durée. Confondre les deux transforme une preuve cryptographique limitée en conclusion opérationnelle injustifiée.

La RFC 6811 précise le mécanisme. Un VRP contient un préfixe, sa longueur, une longueur maximale et un AS d’origine. Une route couverte est Valid si l’AS correspond et si sa longueur est admise; elle est Invalid lorsqu’une couverture existe sans correspondance, et NotFound en l’absence de couverture. Ces états classent une route reçue. Ils ne reconstituent pas le ticket de changement de l’opérateur.

Une route plus spécifique inattendue peut donc rester Valid. Une ancienne configuration, une exportation involontaire ou une annonce temporaire oubliée peut se situer dans l’enveloppe autorisée. Aucun incident réel n’est allégué ici: la limite logique suffit à montrer pourquoi la validation ne remplace pas la politique.

La RFC 9319 recommande des ROA minimales, limitées autant que possible aux préfixes effectivement annoncés. Elle déconseille généralement maxLength, qui autorise souvent des routes plus spécifiques inutilisées et élargit ainsi la surface disponible à une fausse origine utilisant l’AS autorisé. Certaines exceptions existent, notamment lorsque toutes les routes admises sont réellement annoncées, mais elles exigent un jugement explicite et des révisions répétées.

Un registre de preuves doit séparer trois plans. Le plan d’autorisation conserve ROA, AS, préfixe, maxLength et période de validité. Le plan d’observation conserve route, point de mesure et heure. Le plan de politique conserve ensemble approuvé, motif, responsable, période et condition de retrait. Leur rapprochement révèle les routes autorisées mais imprévues, les autorisations devenues inutiles et les annonces prévues mais absentes.

Chaque élément doit garder son propre temps. Une observation à 10 heures ne doit pas être expliquée uniquement par une ROA récupérée plus tard. Enfin, la RFC 9582 rappelle que la PKI établit une autorisation, pas une authentification d’identité ni une non-répudiation. Le maxLength reste une borne d’autorisation, jamais une politique de trafic condensée.

Sources