Résumé

  • Usama Ejaz et Antonis Chariton ont aligné BGP, objets IRR et RPKI du 8 au 14 août 2026. Dans l'abstract original de RIPE 93, 64,4 % des couples préfixe-origine observés sur la semaine possèdent un objet IRR exact.
  • Parmi ces correspondances, 786 restent RPKI Invalid toute la semaine : 371 dépassent la longueur maximale du ROA et 415 désignent un AS d'origine différent.

Deux guichets, deux verdicts

Un exploitant cherche un objet route, trouve le bon préfixe et le bon AS, puis fabrique son filtre. La présentation RIPE 93 montre le piège que Ejaz veut éviter : l'annonce BGP, la ligne IRR, la validation RPKI et l'appartenance à un AS-SET répondent à des questions différentes. La présence d'une ligne ne tranche pas celle du ROA.

L'équipe a comparé la période du 8 au 14 août 2026 à partir de 57 collecteurs BGP RIPE RIS et RouteViews, de 19 sources IRR et de 17 vues de validation RPKI disponibles toute la semaine. Sur l'union hebdomadaire, 64,4 % des couples préfixe-origine observés avaient une correspondance IRR exacte. Parmi celles-ci, 79,9 % n'apparaissaient que dans une seule source IRR. L'automate qui transforme la première réponse en permission risque de manquer le conflit.

Le chiffre décisif est 786. Ces correspondances exactes sont restées Invalid pendant la semaine entière. Le guide de validation de RIPE NCC distingue deux mécanismes : 371 annonces étaient trop spécifiques pour la longueur maximale autorisée par le ROA ; 415 utilisaient un AS d'origine que le ROA couvrant n'autorisait pas. Il faut connaître le préfixe, l'origine et la longueur réellement voulus par le détenteur de la ressource pour corriger chaque cas.

Les anciennes lignes gardent la place

Les chercheurs ont aussi conservé 140 360 candidats dont l'objet IRR couvrait un préfixe plus large. Une ligne plus ancienne peut rester après l'arrivée d'une annonce plus précise. Les règles de création de la base RIPE éclairent l'écart de statut : un objet route est autorisé par rapport à la ressource d'adresse ; l'AS nommé comme origine n'a pas à s'authentifier pour sa création. L'objet et le ROA suivent deux chaînes d'autorité.

Le rejeu des AS-SET déclarés dans PeeringDB a retenu 99,27 % des correspondances exactes, mais des expansions incomplètes ou irrésolues restaient à examiner. Ejaz propose une discipline simple : constater l'annonce, retrouver l'objet précis, vérifier le ROA, puis demander au détenteur de réparer le bon registre.

Sources : étude originale RIPE 93 ; transcription officielle ; guide RPKI de RIPE NCC ; règles des objets route.