Resumo

  • O documento técnico publicado pela APNIC em 24 de outubro de 2025 examinou o espelho principalmente como fonte para uma relying party ainda sem cache durante uma interrupção do repositório. Com certificados válidos por sete dias e reemitidos dois dias após a emissão, a cópia teria aproximadamente cinco dias úteis; o benefício foi considerado “very marginal”.
  • O memorando APNIC–NNIX assinado em 15 de maio de 2026 propõe outro teste: um espelho de repositório em Hangzhou para reduzir latência. O anúncio da APNIC cita velocidade de validação, disponibilidade dos dados e latência de rede como dimensões do piloto.
  • Os registros não precisam se contradizer. Um pergunta por quanto tempo uma cópia parada ajuda quando a origem some; o outro quer saber se a proximidade melhora o acesso cotidiano. Cinco dias de validade restante não medem milissegundos, e milissegundos melhores não prolongam certificados.
  • O material público consultado não comprova operação, arquitetura de serviço, definições de métricas, linha de base, metas, pontos de observação, resultados nem o acordo separado exigido pelo memorando. A conclusão responsável é que há intenção de piloto, não evidência pública suficiente sobre execução ou êxito.

A mesma peça de infraestrutura entrou em duas experiências

O termo “espelho RPKI” cria uma continuidade visual entre os documentos de 2025 e 2026. A continuidade analítica, porém, só existe se também coincidirem o cenário, o beneficiário, a arquitetura e a medida. No primeiro texto, a APNIC constrói um exercício de disponibilidade: o repositório fica inacessível e a pergunta é o que acontece com validadores que já têm dados e com aqueles que começam do zero. No segundo, APNIC e NNIX descrevem a intenção de instalar ou testar um ponto local e medir desempenho.

Isso impede duas leituras fáceis. A APNIC não declarou em 2025 que qualquer espelho, em qualquer condição, seria inútil. Também não demonstrou em 2026 que a avaliação anterior estava errada. “Muito marginal” é uma conclusão condicional. “Fortalecer o RPKI” é linguagem de objetivo, não resultado de experimento.

O vínculo entre os textos pode ser produtivo. O estudo mais antigo fixa uma limitação que o piloto não pode apagar: uma cópia não suspende o relógio criptográfico. O piloto mais novo abre uma pergunta que o estudo não respondeu: uma cópia próxima pode reduzir o custo de acesso enquanto a cadeia continua válida e atualizada?

Os cinco dias vieram do ciclo do certificado

“RPKI availability concerns”, de Tom Harrison, aparece na lista atual de documentos técnicos da APNIC com data de 24 de outubro de 2025. Seu cenário é uma perda de acesso ao repositório da APNIC. Relying parties com dados em cache podem continuar usando o que já buscaram. Uma instância ainda não inicializada não consegue obter os objetos da APNIC. O texto também observa que rotas com estado desconhecido normalmente não recebem o mesmo tratamento de uma rota RPKI inválida.

O documento descreve a distribuição então existente: RRDP via Cloudflare, presença em 62 pontos e rsync servido a partir de Brisbane. Em seguida, avalia um espelho econômico, diretamente controlado pela APNIC, ao qual os clientes poderiam ser encaminhados por DNS ou BGP. Nada nessa hipótese cria uma segunda autoridade certificadora; é outra localização para os mesmos objetos.

O limite aproximado de cinco dias é derivado de uma suposição explícita. Se o certificado vale sete dias e é reemitido dois dias depois de criado, uma cópia capturada no momento favorável preserva algo próximo de cinco dias de validade. Sem novos objetos da origem, o tempo continua correndo. A cópia não renova assinatura nem certificado por conta própria.

Foi nesse recorte — pane longa, validador sem cache, tempo criptográfico restante — que a APNIC classificou a vantagem adicional como “very marginal” e não recomendou as mudanças examinadas. Cinco dias não são um SLA, tampouco uma validade universal de espelhos. O instante da falha, a última atualização e o ciclo de reemissão alteram o valor concreto.

O piloto de Hangzhou aponta a régua para a proximidade

Em 15 de maio de 2026, APNIC e NNIX assinaram em Hangzhou um memorando voltado a RPKI e IPv6. Entre as atividades pretendidas está testar um espelho de repositório RPKI para reduzir a latência de rede e elaborar conjuntamente métricas de latência do tráfego. O blog da APNIC, publicado no mesmo dia, acrescenta velocidade de validação, disponibilidade de dados e latência de rede, com possibilidade de estudar expansão a outros locais se o piloto for bem-sucedido.

A mudança de unidade é relevante. O beneficiário implícito deixa de ser apenas a relying party que nasce no pior momento de uma pane prolongada. Passa a incluir validadores e redes observados no piloto, em condições ordinárias ou controladas, para saber se um caminho mais curto torna a obtenção mais rápida ou estável.

Esse teste pode ter valor mesmo se o estudo de 2025 continuar correto. Um espelho local pode reduzir tempo de ida e volta, acelerar uma sincronização ou diminuir falhas de busca sem acrescentar um único segundo ao prazo de validade dos objetos. E um resultado positivo de latência não prova resiliência por muitos dias: a dependência da origem para material novo permanece.

Por isso, as métricas não podem ficar apenas nos rótulos. “Velocidade de validação” pode significar duração da sincronização, processamento local ou tempo entre inicialização e produção de payloads validados. “Disponibilidade” pode ser uptime do endpoint, taxa de objetos recuperados ou frescor. Cada definição produz uma experiência diferente.

Assinar um memorando não ativa um serviço

O memorando assinado limita deliberadamente o alcance do compromisso. Ele é não vinculante e indicativo; não há transferência de recursos financeiros nem obrigação de alocar recursos. A seção 9.1 condiciona as atividades a um acordo escrito separado entre as partes. Assim, a assinatura comprova intenção institucional e uma moldura de cooperação, mas não comprova instalação, tráfego real ou conclusão.

As atas do Conselho Executivo da APNIC de 13 e 14 de maio de 2026 registram uma atualização e dizem que o Conselho a anotou. Não aparece uma resolução aprovando entrada em produção ou certificando resultados. A página atual de Memberships and Partnerships usa linguagem voltada ao futuro e remete ao memorando.

No conjunto público verificado, não foram encontrados data de ativação, estado operacional, endereço do serviço, janela de observação, linha de base, meta ou relatório final. A Certification Practice Statement vigente enumera os papéis e endpoints conhecidos do repositório; nas passagens consultadas, não identifica um endpoint em Hangzhou nem um novo trust anchor.

Ausência em documentos públicos não prova ausência interna. A formulação precisa é mais estreita: os registros consultados ainda não permitem verificar se o piloto foi implementado, como serve dados, quem controla cada ação nem o que mediu.

Um espelho distribui objetos; não herda a autoridade

Colocar uma cópia mais perto muda o caminho de distribuição. Não muda automaticamente a raiz de confiança, o emissor dos certificados nem as datas de validade. Nada nas fontes consultadas apresenta a NNIX como nova autoridade certificadora ou transfere a ela a capacidade de emitir objetos da APNIC.

Também é inadequado tratar espelho de repositório como sinônimo de cache RTR público. A relying party busca e valida objetos no repositório; depois, o resultado validado pode chegar aos roteadores por outra camada. Alterar a origem dos objetos não é necessariamente alterar o validador ao qual um roteador se conecta. Se o piloto juntar essas funções, isso precisa ser declarado, não presumido.

A divisão operacional importa. Quem define o intervalo de atualização? Quem controla o direcionamento por DNS ou BGP? Quem compara o frescor da cópia com a origem, interrompe o serviço em caso de divergência, guarda logs e comunica incidentes? Responder a essas perguntas preserva a distinção entre distribuição delegada e autoridade retida.

Uma ficha de hipótese ligaria os dois trabalhos

Um quadro publicado antes dos resultados evitaria que a régua fosse escolhida depois da medição:

Campo Avaliação de disponibilidade de 2025 Piloto NNIX de 2026
Pergunta O que ajuda quando o repositório da APNIC está inacessível? Um espelho local melhora medidas definidas de acesso e desempenho?
Beneficiário principal Relying party sem cache durante a interrupção Redes e validadores no conjunto de observação de Hangzhou
Arquitetura pública Espelho por economia sob controle direto da APNIC, com DNS ou BGP possíveis Espelho com APNIC e NNIX; desenho detalhado de serviço e controle não está no registro consultado
Medida pública Cerca de cinco dias conforme validade e reemissão dos certificados Velocidade de validação, disponibilidade e latência; definições e metas ainda não públicas
Estado da decisão Análise que não recomendou as mudanças avaliadas Piloto indicativo, não vinculante e sujeito a acordo separado

O lado de 2026 deve ganhar uma linha de base, uma meta, o denominador, os pontos de observação, a janela, um teste de frescor, o estado inicial e final, o resultado e sua incerteza. O encerramento precisa dizer se o achado mantém, restringe, substitui ou simplesmente não testa a conclusão de 2025.

Essa ficha não é burocracia posterior. É um controle contra a seleção oportunista da métrica. Se a latência cair, a APNIC poderá mostrar qual etapa ficou mais rápida e o que não mudou. Se não cair, será possível separar um resultado negativo válido de instalação defeituosa, ponto de observação inadequado ou conceito mal definido.

Fontes