Summary

  • 8月12日のJimmersonの告知はRPKIの不具合調査と新規ROA申請の保留を伝えた。翌日の更新ではHSM更新後の符号化エラーと修正を説明している。
  • ARINの8月26日の検証報告によれば、公開は12日12時21分、修正は13日11時36分。RIPE ValidatorとRoutinatorは通過し、rpki-clientとFortはリポジトリを拒否した。

公開前の検査で緑が二つ並んだ。それでも利用者側で読めるとは限らない。ARINは2020年8月12日12時21分にRPKIシステムの新版を出した。12時46分、rpki-clientがリポジトリを検証できないとの連絡が入る。検査に使ったRIPE ValidatorとRoutinatorは異常を示していなかった。Fortもrpki-clientと同じ側に立った。同じ成果物を読むソフトが、二対二に割れたのである。

最高執行責任者のJimmersonがまず動かせたのは、ARIN自身の発行手順だった。調査と修復が済むまで新規のRoute Origin Authorization申請をキューに置く、と公表した。ROAはどの自律システムがIPプレフィックスを起点として広告できるかを示す。受け手の一部が既にリポジトリを拒む状況で、新しい成果物を増やす判断には慎重さが要る。保留の告知は申請者に現在の扱いを伝えた。

翌日、Jimmersonは原因を具体的に記した。署名対象と証明書にあるアルゴリズム識別子のパラメータが、一方はNULL、もう一方は空になっていた。HSM更新に伴う新しいソフトウェアがこの不一致を生んだ。修正は完了し、その間に作られた一部のROAは後日整理するという。最初に知らせたJob Snijdersと、調査に協力したOpenBSDの開発者たちにも謝意を示した。

後に最高技術責任者Mark Kostersは詳しい時刻を公表し、今後はOpenSSL系の検証器も試験対象に加えると約束した。緑の表示が嘘をついたわけではない。試験の相手が少なすぎた。Jimmersonの保留は、その差を埋めるまでの運用上の判断だった。