Résumé

  • Un Internet-Draft individuel du 20 septembre propose d’ajouter un identifiant de région à la ROA, puis de le comparer à un contexte régional calculé à l’entrée du routeur.
  • La comparaison rend un désaccord visible. Elle ne rend pas équivalents le RIR d’origine, un code pays, une geofeed, un point de peering et une autorisation de routage.

La ROA actuelle a une ambition limitée : attester que le détenteur d’un préfixe autorise un AS à l’annoncer, avec une longueur maximale donnée. draft-geng-sidrops-regionalized-roa-00 ajoute une seconde question. Si le bon AS annonce le bon préfixe depuis une région non autorisée, ROV répond encore Valid. Le draft veut alors produire RegionMismatch.

L’idée mérite examen. Son état doit pourtant rester exact : Datatracker la classe comme draft individuel, sans stream, sans statut RFC prévu dans le tracker et sans approbation de l’IETF.

Trois nomenclatures ne forment pas une géographie

Le champ proposé accepte un code de RIR, un pays ISO ou une région UN M49. Un RIR décrit une filiation administrative et cryptographique. RFC 7020 rappelle que des LIR peuvent couvrir plusieurs régions et entretenir plusieurs relations RIR. Le pays décrit une juridiction. La région statistique regroupe des pays. Aucun de ces éléments ne détermine seul où un préfixe doit être reçu.

Un opérateur peut vouloir publier une intention régionale. La signature prouverait alors l’auteur de cette intention. Elle ne transformerait pas la région de certification en frontière physique du réseau. Anycast, peering distant, transit mondial et reprise après sinistre suffisent à montrer pourquoi les deux plans doivent rester séparés.

Le second terme de la comparaison est local

Le routeur doit construire Region_Ctx à partir d’une configuration de peer, d’une communauté BGP ou de données de topologie. Ces indices sont utiles, mais chacun possède son propriétaire, sa version et sa date. RFC 8092 définit la Large Community comme une information opaque de gestion : elle transporte une convention, pas une mesure géographique autonome.

Le draft reconnaît qu’un contexte d’entrée falsifié ou mal configuré produit faux positifs et faux négatifs. Il faut donc conserver la chaîne : déclaration signée, vocabulaire, observation d’entrée, règle de conversion, UPDATE, chemin AS, décision locale, route de remplacement et effet de joignabilité. RegionMismatch devrait signifier « deux enregistrements divergent », non « attaque démontrée ».

Une geofeed signée authentifie une déclaration

L’option hors bande permet de synthétiser une base enrichie à partir de statistiques RIR et de géolocalisation. RFC 9632 permet une signature RPKI facultative d’une geofeed, mais recommande aussi la vérification croisée. La signature relie le fichier à une autorité sur l’espace d’adresses ; elle ne mesure pas le terrain.

Cette base reste donc une construction de politique locale. Elle doit avoir un journal de provenance et un retrait rapide. Une donnée géographique erronée ne doit pas acquérir silencieusement la force d’une autorisation d’origine.

La compatibilité reste à spécifier

Le texte envisage un nouveau PDU RTR ou une extension du PDU préfixe, puis affirme que les anciens routeurs ignoreront le champ. RFC 8210 négocie les versions et traite un type de PDU inconnu comme une erreur fatale. Une version 00 peut laisser ce travail ouvert, mais elle ne peut encore revendiquer une compatibilité démontrée. Il faut un encodage, une négociation, une règle de downgrade et des essais mixtes.

Un signal avant un verdict

Le draft laisse l’action à la politique locale : rejet, baisse de LOCAL_PREF, alarme. C’est la bonne limite. Un premier déploiement prudent devrait commencer par l’alarme, publier les causes de mismatch et mesurer les erreurs dues au peering distant, à l’anycast ou au basculement planifié. Le rejet dur doit rester une décision supplémentaire, explicite et réversible.

La proposition révèle une faiblesse réelle de la validation d’origine. Pour la traiter, elle doit préciser qui affirme quelle région, comment des vocabulaires incompatibles se comparent, quand l’information expire et comment le réseau prouve l’effet. La cryptographie peut signer la carte ; elle ne peut pas, à elle seule, certifier que la carte est le territoire.

Sources