Summary

  • Nathalie Trenamanは2021年3月18日のRouting Working Group宛てメールで、LIR Portalなどを載せるAS3333に無効経路の拒否を導入する是非を問うた。誤ったROAを出した会員が、その修正画面にも届かなくなるためだ。
  • RIPE NCCは4月19日に拒否を有効化した。対象組織への連絡と画面上の警告を先に行い、ポータルの裏口も職員によるROAの代行修正も設けなかった。

間違いを直す場所が、間違いで遠くなる

ROAは、どのASがどのプレフィックスを広告できるかを示す。番号や最大長の入力ミスでも、正当な経路はRPKI上「無効」になる。受け取る側のフィルターは、単純な誤記と経路ハイジャックを見分けられない。RIPE NCCでは、その判定を行うAS3333に会員向けの管理画面が載っていた。

Trenamanの問いかけは、すでに不揃いだった上流の運用を背景にしている。一部は無効経路を拒否し、一部は通していた。ROAを誤った会員は前者を通れず、乗っ取られた会員が後者を経由してRIPE NCCのサイトに届かなかった事例も報告された。2月10日の分析では、影響し得る会員やエンドユーザーの広告が511件あった。

4月13日の本人記事によれば、4月7日時点の無効経路は215組織から697件。RIPE NCCは組織に連絡し、観測されたBGPと合わないROAを公開しようとする人に警告を出すようにした。RIPE 82の5月資料には、導入前の別の確認として同じ215組織に結び付く597経路が載る。数字の差は別時点の記録であり、被害件数ではない。

戻り道は別の有効または「未知」の経路を持つネットワークからアクセスすることだった。RIPE NCCはmy.ripe.netの秘密の通路を作らず、会員のROAを代わりに書き換えなかった。サービス告知の予定どおり4月19日に稼働し、5月の報告では質問は少数で、主にROAの作り方に関するものだった。K-RootのAS25152はAS3333とは別である。

境界を守る技術は、その境界で間違えた人の帰り道まで説明して初めて運用になる。

出典：3月のメール、本人記事、サービス告知、RIPE 82資料。