要約

  • RIPE 93の報告によると、リソースを失った一部のCAは検証器に現れない一方、公開サービスにはデータが残っている。
  • RIPE NCCは依存側に余分なダウンロードが生じていると認め、掃除を継続中だ。対象数と転送量は示していない。

画面から消えたものは、ネットワークからも消えたのか。RIPE NCCのRPKIでは答えが「まだ」になる。リソースを持たない一部の認証局は検証器に姿を見せない。しかし公開サービスには残存データがあり、依存側はその分も取りに行く。

10月28日のRIPE 93 Routing Working Groupで、RIPE NCCのTim Bruijnzeelsはこの食い違いを説明した。残存データの整理は進行中だという。検証器で見えないことは、配信元の片付けが終わった証拠にはならない。

Publish in Parentの利用条件は、RIPE NCCのリポジトリを証明書、失効リスト、署名済みRPKIオブジェクトの公開ダウンロード先と定める。ここは検証結果を眺める画面ではなく、ファイルを実際に運ぶ場所だ。使われない認証局の痕跡も、残っていれば転送の仕事を増やす。

同じ説明の中で、9月に機能しない委任CAを35件取り消したことも報告された。その根拠は別の90日規則だ。Bruijnzeelsは、今回のリソースを持たないCAの残存データが、その35件に属すると明言していない。証明書の失効と配信物の削除を一つの完了印にまとめるべきではない。

公開された説明には、残存CAの件数も余分な転送量もない。

対象の棚卸しと整理前後の実測値があれば、負担の大きさを判断できる。

現時点で確かなのは、RIPE NCC自身が余分なダウンロードを認め、作業の未完了を伝えたことだ。