Sumário

  • Uma ROA AS0 é uma desautorização assinada de originação de rota pública. Como o AS 0 é reservado e não deve aparecer como uma origem BGP utilizável, um anúncio do mundo real coberto apenas por essa ROA será classificado como Inválido pela validação de origem.
  • RFC 6491 fornece à IANA uma base de padrões para emitir ROAs AS0 para recursos não alocados e recursos reservados ou de propósito especial que não se destinam a ser roteados globalmente. Também proíbe tais ROAs para espaço reservado ou de propósito especial que se espera que seja roteado.
  • A autoridade dos RIRs é mais restrita e governada regionalmente. Baseia-se na administração atual de espaço não delegado, política comunitária e registros precisos de recursos. APNIC e LACNIC implementaram políticas para cobertura AS0 do espaço de endereço sob sua administração; isso não cria autoridade sobre o pool de outro RIR ou todas as formas de recurso disputado.
  • AS0 é útil como um controle de conservação porque expressa um padrão contra o uso não autorizado antes da existência de uma alocação, e porque uma ROA positiva concorrente pode tornar uma rota autorizada Válida. Não prova que toda rota observada é maliciosa nem elimina a escolha de política local do operador.
  • O maior risco de governança é o erro de classificação na transição. Espaço disponível, reservado, em quarentena, devolvido, recuperado, de propósito especial, atribuído e herdado tem diferentes históricos factuais e legais. Um rótulo derivado de um instantâneo diário do registro não pode resolver por si só um direito contestado.
  • A retirada deve preceder ou ser coordenada com segurança com a delegação. Remover um prefixo do AS0 não está completo até que a publicação atualizada atinja validadores, caches e roteadores. Operadores que descartam caminhos Inválidos também precisam de um método seguro de reavaliação quando a correção chega.
  • Entradas de confiança separadas e uso de monitoramento primeiro podem conter riscos. A APNIC alertou que erros podem interromper o roteamento e recomenda seu material AS0 para uso consultivo ou de alerta, em vez de filtragem automática. Essa separação protege a escolha do operador apenas se a entrada de confiança, o escopo e o padrão forem visíveis.
  • A operação legítima do AS0 requer uma regra de escopo público, evidência de classificação assinada e versionada, verificações de conflito pré-publicação, desafio autenticado rápido, metas mensuráveis de retirada, histórico preservado e observação BGP independente. Uma Number Resource Society pode examinar esses controles como uma organização de membros, pesquisa e defesa sem reivindicar poder para alocar espaço, operar RPKI ou compelir política de roteamento.

Zero é uma desautorização, não um destino

AS0 funciona porque duas ideias de padrões se encontram. A primeira é a ROA: um objeto assinado que declara qual sistema autônomo está autorizado a originar uma rota para um prefixo de endereço, dentro de um comprimento máximo de prefixo especificado. A segunda é a reserva do próprio AS 0. RFC 7607, publicada em 2015, exige que os locutores BGP não originem ou propaguem uma rota contendo AS 0 nos atributos de caminho relevantes e não estabeleçam uma sessão reivindicando AS 0.

Uma ROA AS0, portanto, não autoriza uma rede nula especial a originar um prefixo. Ela seleciona uma origem que não pode aparecer legitimamente no caminho BGP público. RFC 6483 descreve o resultado como uma desautorização: o titular do prefixo declara que o prefixo e qualquer prefixo mais específico não devem ser usados em um contexto de roteamento. Qualquer origem AS pública comum falhará em corresponder a essa autorização AS0.

A lógica de validação tem uma qualificação importante. A validação de origem examina todas as ROAs candidatas que cobrem a rota. Se qualquer ROA válida autorizar a origem observada e o comprimento do prefixo, a rota é Válida mesmo que uma ROA AS0 considerada isoladamente a tornaria Inválida. RFC 6483, portanto, diz que AS0 tem preferência relativa menor do que uma autorização positiva concorrente. AS0 estabelece uma negação padrão; não é um veto absoluto sobre uma ROA positiva correspondente.

Essa propriedade torna o AS0 útil e delicado. Um registro pode marcar um pool não delegado como não destinado ao roteamento sem nomear todas as origens não autorizadas possíveis. Quando depois delegar parte do pool, uma ROA positiva emitida corretamente pode proteger um anúncio enquanto a cobertura AS0 está sendo alterada. No entanto, confiar na sobreposição como uma cura rotineira esconderia um controle de mudanças ruim. O padrão ainda deve ser a remoção ou reemissão do objeto AS0 antes que o novo titular precise anunciar.

O efeito técnico é mais estreito do que algumas linguagens de política sugerem. Uma ROA AS0 causa uma classificação Inválida em partes confiáveis que aceitam a entrada de confiança relevante e recebem o objeto atual. Ela própria não exclui uma rota do BGP. RFC 8481 deixa a ação política para o operador. Algumas redes rejeitam rotas Inválidas, outras as despriorizam ou monitoram, e outras não usam essa entrada de confiança AS0.

O mecanismo é, portanto, uma recomendação assinada apoiada por autoridade criptográfica de recurso e adoção do operador. Chamá-lo de meramente informativo subestima seu efeito. Chamá-lo de proibição global de roteamento exagera. A governança começa exatamente no meio: uma desautorização padrão autoritativa que redes independentes podem transformar em aplicação.

A questão da autoridade tem três respostas diferentes

Quem pode autorizar AS0 depende de qual espaço de endereço está sendo descrito. IANA, um RIR e um titular de recurso comum não derivam autoridade da mesma relação.

RFC 6491 trata dos objetos RPKI da IANA para recursos que permanecem no topo da estrutura de alocação. Diz que a IANA deve emitir ROAs AS0 para recursos não alocados. Para recursos reservados e de propósito especial, o teste é o roteamento público pretendido: a IANA deve emitir AS0 para recursos não destinados a serem roteados globalmente e não deve emitir nenhuma ROA para recursos reservados ou de propósito especial que se espera serem roteados. O uso deliberado de "deve" reconhece que ações de registro e transições técnicas podem exigir remoção ou não emissão antes de uma mudança de status.

A autoridade de um RIR começa depois que os recursos são colocados sob sua administração. Ele pode certificar porções não delegadas de seu próprio pool porque é o atual custodiante e porque a política regional autoriza o ato. A política da APNIC afirma que apenas a APNIC pode criar ROAs AS0 para espaço de endereço da APNIC ainda não delegado a um titular de conta, e que a APNIC removerá o prefixo quando delegar o espaço.

A política adotada da LACNIC limita similarmente AS0 a recursos não alocados, não atribuídos, recuperados ou devolvidos sob administração da LACNIC e exige que as ROAs afetadas sejam invalidadas ou reemitidas quando os recursos são alocados ou atribuídos.

Um titular existente também pode usar AS0 para espaço que controla e não deseja rotear. Sua autoridade segue seu certificado e relação de recurso, não um mandato geral de conservação. Esse uso pode apoiar uma reserva adormecida ou um agregado dentro do qual apenas específicos mais específicos autorizados devem rotear. Não deve ser confundido com um RIR declarando que nenhum titular existe.

Essas distinções evitam o desvio de autoridade. Um RIR não pode inferir poder sobre o pool de outra região porque observa um anúncio. Um projeto de medição não pode assinar AS0 simplesmente porque os dados de registro parecem incompletos. Um corpo de padrões pode definir como o espaço reservado deve ser usado, mas não opera automaticamente a autoridade certificadora relevante. Uma disputa judicial sobre um bloco herdado não pode ser resolvida chamando o bloco de "disponível" em uma lista de conveniência.

A declaração de autoridade adequada identifica o prefixo, cadeia administrativa atual, classificação, base política e período de vigência. Se algum desses elementos for contestado, a publicação AS0 ainda pode ser justificada como proteção provisória, mas a disputa e a rota de desafio devem ser visíveis. A capacidade criptográfica de assinar é evidência necessária de controle; não é por si só prova de que toda classificação subjacente era processualmente sólida.

Conservação é um dever real em um ambiente escasso e propenso a abusos

O caso afirmativo para AS0 não deve se perder na preocupação sobre negação. O espaço de endereço não delegado não é livre para uso oportunista. Os RIRs o mantêm para alocação futura, necessidades especiais, devoluções, quarentena ou fins definidos por política. Anúncios desse espaço podem surgir de engano, configurações privadas vazando para o roteamento público, filtros obsoletos ou abuso deliberado. Uma desautorização legível por máquina pode ajudar os operadores a distinguir esse espaço de prefixos meramente não assinados, mas legitimamente roteados.

Antes do AS0, os operadores comumente confiavam em listas de prefixos "bogon" construídas a partir de registros de alocação. Essas listas exigem atualização regular e interpretação cuidadosa. O RPKI pode vincular o aviso à mesma hierarquia de certificados usada para autorização positiva de origem de rota. Um validador pode então entregar o resultado com outras cargas, e um roteador pode aplicar uma política de validação de origem em vez de uma lista separada não verificada.

A justificativa política da APNIC é explícita: o espaço de endereço marcado como não alocado ou não atribuído sob administração da APNIC não deve ser anunciado publicamente, e AS0 visa restringir a propagação de anúncios que o cobrem. A justificativa da LACNIC similarly vincula a custódia à distribuição sob política e busca reduzir o ônus sobre operadores que mantêm filtros separados. Esses são objetivos legítimos de interesse público.

O benefício de segurança é preventivo. Um ator malicioso não pode tornar uma rota Válida meramente escolhendo um AS de origem porque nenhum AS roteável corresponde a zero. Se os operadores rejeitarem rotas Inválidas, AS0 aumenta a chance de que uma origem incorreta de espaço não utilizado seja interrompida perto de uma fronteira de importação. Também cria um alerta autenticado para operadores que ainda não rejeitam.

Mas conservação não é propriedade no sentido comum, e visibilidade de rota não é evidência definitiva de roubo. Alguns registros são históricos, alguns recursos estão em transição, e alguns usos de endereço são privados ou de propósito especial. Uma rota pública pode revelar um erro na própria classificação do registro em vez de uma origem abusiva. O valor do AS0 está em estabelecer um padrão refutável forte, não uma acusação irrefutável.

A tese limitada é, portanto, pró-conservação. RIRs e IANA devem ser capazes de proteger recursos genuinamente não delegados e não roteados dentro de sua autoridade. Devem fazer isso com a disciplina esperada de um controle cujos erros podem afetar a conectividade: escopo estreito, registros confiáveis, aviso antes da mudança quando possível, retirada rápida, propagação observável e desafio significativo.

"Não alocado" e "reservado" não são sinônimos

A política AS0 geralmente começa com uma lista de rótulos: disponível, reservado, não alocado, não atribuído, devolvido, recuperado ou em quarentena. Esses rótulos podem todos apoiar o não roteamento em um determinado ambiente, mas não são intercambiáveis.

Espaço não alocado não foi delegado na cadeia administrativa relevante. O caso padrão é direto: nenhuma rede tem atualmente autoridade para originá-lo publicamente. Espaço não atribuído pode estar dentro de uma alocação maior, mas não foi atribuído a um usuário final ou sub-titular. Se um RIR pode assinar diretamente para ele depende do certificado e da estrutura de política; um titular pai pode reter autoridade relevante.

Espaço reservado é mantido por um motivo. Algumas reservas não são destinadas ao roteamento global, como uso privado ou de documentação. Outras podem ser destinadas a um futuro serviço roteável ou um procedimento de atribuição temporária. RFC 6491 reconhece expressamente recursos reservados e de propósito especial que se espera que sejam roteados globalmente e proíbe a IANA de emitir ROAs para esses casos. "Reservado" não pode, portanto, ser um sinônimo mecânico para "nunca rotear".

Quarentena adiciona tempo e história. Um bloco devolvido ou recuperado pode ser retido antes da reemissão para que registros obsoletos de roteamento, reputação, geolocalização ou abuso possam se estabelecer. O registro pode ter boas razões para desencorajar a originação pública durante a quarentena. Também precisa saber se um ex-titular ainda afirma direitos, se uma transferência está incompleta e se uma rota residual representa uma disputa não resolvida em vez de uso indevido aleatório.

Disponível geralmente significa elegível para alocação sob política. O rótulo pode mudar diariamente à medida que solicitações, reservas e delegações são processadas. Um objeto AS0 derivado de uma lista disponível deve ser vinculado a controles transacionais para que um prefixo não possa ser delegado enquanto ainda acidentalmente coberto sem uma autorização positiva eficaz.

Recursos herdados são a categoria mais difícil. O histórico de registro pode anteceder acordos modernos e serviços de certificado. Um recurso pode parecer mal documentado sem ser não alocado. A classificação deve usar histórico de registro, registros de transferência, contratos, correspondência e roteamento observável, não um campo moderno ausente sozinho. AS0 nunca deve se tornar um atalho para extinguir uma reivindicação inconveniente.

Um serviço de publicação legítimo define cada status incluído e exclusão. Nomeia o conjunto de dados autoritativo, hora de atualização e regras de reconciliação. Realiza verificações de sobreposição contra certificados atuais, atribuições, ROAs positivas, delegações pendentes e disputas conhecidas. Se não puder explicar por que um prefixo está dentro do conjunto, o conjunto não está pronto para influenciar o roteamento.

Estatísticas diárias são evidência, não títulos de propriedade

O formato de intercâmbio de estatísticas RIR fornece um instantâneo público útil de alocações e atribuições. Os registros participantes publicam arquivos em um cronograma regular, com uma estrutura comum de nomenclatura e registro. Formulários estendidos podem incluir status usados por sistemas operacionais. A implementação AS0 da APNIC derivou seu conjunto não delegado de recursos marcados como disponíveis ou reservados em suas estatísticas publicadas.

Este é um ponto de partida forte porque a entrada é pública, legível por máquina e repetível. Um observador pode comparar o conjunto classificado de recursos com as cargas AS0 e identificar diferenças inexplicadas. Versionamento e somas de verificação melhoram a integridade. A automação reduz a chance de que uma lista mantida manualmente se degrade silenciosamente.

O formato também declara seus limites. Ele resume alocações e atribuições atuais e não fornece detalhes transacionais ou históricos. Contagens de registros não equivalem a quantidades de espaço de endereço. Transferências podem criar sobreposição temporária entre arquivos de registro. Algumas atribuições históricas não registradas estão fora dos registros produzidos pelo RIR. Um instantâneo pode relatar um status sem provar como, quando ou sob que autoridade contestada surgiu.

É por isso que as estatísticas diárias não devem ser o único predicado para negação. O serviço AS0 deve reconciliá-las com o sistema de registro ao vivo, inventário de certificados, ROAs positivas, transações de alocação pendentes, bloqueios de transferência e sinalizadores de disputa. Deve rejeitar a publicação quando as fontes entrarem em conflito, em vez de escolher o rótulo mais conveniente. Um caminho de revisão humana é especialmente importante para espaço recuperado, devolvido e herdado.

O público deve ser capaz de reconstruir a decisão sem obter acesso a dados privados de conta. Para cada prefixo incluído, um manifesto assinado ou registro de transparência pode identificar o status de origem, hora de observação, política autorizadora e objeto AS0. Para cada remoção, pode identificar o novo status e hora de retirada. A identidade sensível do cliente pode permanecer protegida até que as regras ordinárias de registro permitam a divulgação.

Observadores externos podem então fazer uma pergunta significativa: o conjunto AS0 correspondia ao conjunto não delegado declarado do registro naquele momento? Eles não precisam aceitar a conclusão legal do registro em toda disputa para verificar a consistência operacional. Se um prefixo aparecer como atribuído enquanto ainda em AS0, a discrepância se torna visível antes que um incidente de roteamento seja descartado como erro do titular.

Evidência legível por máquina torna possível a revisão de autoridade, mas não converte a publicação de dados em adjudicação. O registro continua responsável pelo procedimento de classificação por trás do registro e por corrigir erros quando a evidência documental altera o resultado.

A transição para fora do AS0 é o momento constitucional

O caso mais fácil de AS0 é um bloco que permanece não utilizado por anos. O caso difícil é a hora em que se torna utilizável. Uma nova alocação transforma um padrão de conservação no direito do titular de autorizar o roteamento. Se os processos do registro não coordenarem essa transição, um controle de segurança pode negar o próprio uso que a alocação deveria permitir.

A política atual de recursos da APNIC diz que, quando delega espaço a um titular de conta, removerá o prefixo da ROA AS0. A política da LACNIC exige que invalide ROAs contendo um recurso que está prestes a ser alocado ou atribuído e emita ROAs de substituição sem esse recurso. A ordenação é importante. A negação deve ser retirada antes ou em uma transação seguramente coordenada com a nova autoridade.

A publicação não é instantânea, no entanto. Remover um prefixo em um sistema de alocação interno não remove imediatamente toda carga validada. O repositório deve publicar um novo estado coerente. As partes confiáveis buscam em seus próprios cronogramas. Sessões de cache para roteador usam comportamento de atualização e repetição. Os roteadores devem receber uma retirada e reavaliar rotas. Diferentes redes podem manter diferentes visões válidas durante a convergência.

Uma análise de impacto de 2019 da RIPE NCC para uma proposta AS0 ilustrou o problema em vez de resolvê-lo. Observou que gatilhos operacionais podem dificultar a revogação antecipada e que o processamento global pode levar tempo. As estimativas exatas em uma análise de proposta não devem ser tratadas como desempenho universal atual, mas a lição institucional permanece: a prontidão de alocação e roteamento precisa de um período de handoff explícito.

Existem três salvaguardas práticas. Primeiro, pré-estágio de remoção onde a decisão de alocação é final o suficiente para fazê-lo com segurança. Segundo, permitir que o novo titular crie uma ROA positiva correspondente antes do anúncio, porque a validação de origem trata uma autorização positiva correspondente como Válida mesmo junto com AS0. Terceiro, verificar de validadores independentes que o estado de carga pretendido se propagou antes de aconselhar o titular a anunciar.

Esses controles exigem uma promessa de serviço. O aviso de alocação deve dizer se AS0 cobriu anteriormente o recurso, quando a remoção foi publicada, onde o titular pode inspecioná-la e quando uma ROA positiva se tornou utilizável. Se o roteamento urgente for esperado, um engenheiro do registro deve confirmar a validação externa em vez de confiar em um status de portal.

A transição é constitucional porque revela cujos direitos têm prioridade e quando. A conservação é legítima enquanto nenhum titular tem autoridade. Uma vez que a autoridade é concedida, a instituição deve renunciar à negação prontamente e visivelmente. Um registro que pode adicionar AS0 automaticamente, mas não pode removê-lo sob um objetivo medido, construiu um poder unidirecional.

Uma classificação AS0 errada tem uma forma de falha distinta

Suponha que um /16 seja classificado como não delegado e coberto por uma ROA AS0, mesmo que um titular legítimo esteja roteando um /24 de dentro dele. Antes do AS0, a rota pode ter sido NotFound e aceita. Depois que os validadores ingerem o objeto, o /24 se torna Inválido porque o prefixo AS0 cobre seus mais específicos e nenhuma ROA positiva corresponde. Redes que rejeitam rotas Inválidas podem retirar a alcançabilidade em momentos diferentes.

O padrão visível pode se assemelhar a uma resposta de sequestro: redes selecionadas param de carregar a rota enquanto outras continuam. O titular pode primeiro culpar o trânsito, o provedor de trânsito pode apontar para seu validador, e o validador pode mostrar corretamente a carga AS0 assinada. Cada ator pode estar tecnicamente correto dentro de seu próprio limite enquanto a classificação subjacente do registro está errada.

O remédio deve começar na camada de autoridade. Uma exceção de operador local pode restaurar um caminho, mas não pode remover o objeto AS0 visto por outras redes. O registro deve autenticar o reclamante, revisar a evidência de recurso, retirar ou restringir o objeto e publicar uma correção fundamentada. Os validadores precisam então processar o estado alterado do repositório, e os roteadores precisam reavaliar.

A falha pode persistir após a retirada se a evidência for fraca. Um validador pode não buscar o novo estado. Um cache pode estar desatualizado. Um roteador pode ter descartado a rota e exigir um mecanismo seguro de recuperação. Alguns operadores podem manter listas bogon separadas derivadas do mesmo status errado. Corrigir o RPKI sozinho pode não remover toda negação.

Essa forma argumenta por um registro de incidente coordenado. Deve identificar a classificação errônea, primeira publicação AS0, prefixos afetados, origens BGP observadas, autorização de correção, retirada do repositório, convergência de validador independente, recuperação de cache e roteador e filtros não RPKI residuais. O registro deve distinguir efeitos confirmados de inferidos.

Compensação e culpa devem seguir a evidência. Um registro que classificou mal registros claros tem um dever mais forte do que aquele que enfrenta uma disputa de título de boa-fé. Um operador que aplicou uma política estrita documentada não criou a classificação, mas pode ser responsável por falta de uma rota de escalada do cliente ou por não processar a correção. Um titular que roteou sem manter contato ou registros de autorização pode ter contribuído para o atraso sem perder toda reivindicação.

O objetivo não é tornar o AS0 livre de risco. É garantir que o controle tenha um modo de falha reversível e que nenhuma instituição possa apontar para sempre para o próximo elo na cadeia.

Entradas de confiança separadas podem limitar o raio de explosão apenas se os operadores as notarem

As notas públicas da APNIC sobre sua ROA AS0 são excepcionalmente francas. Elas alertam que erros podem causar interrupção não intencional de roteamento dependendo da configuração do roteador, recomendam uso consultivo ou de alerta em vez de filtragem automática e descrevem um Trust Anchor Locator diferente destinado a evitar uso inadvertido. O material cobre apenas o espaço de endereço para o qual a APNIC é autoritativa.

Este design separa a decisão de confiar em material RPKI positivo comum da decisão de consumir uma desautorização ampla gerada pelo registro. Um operador pode validar o conjunto AS0 no monitoramento, compará-lo com evidências BGP e de registro e escolher se e onde aplicar. Um erro não precisa afetar automaticamente toda rede que usa a âncora de confiança padrão da APNIC.

Separação não é mágica. Se o software empacotar a entrada de confiança adicional como um padrão silencioso, a escolha desaparece. Se um validador gerenciado rotular o feed genericamente, um operador de roteador pode não saber que AS0 veio de uma fonte distinta. Se um operador mesclar cargas de vários caches sem procedência, pode ser incapaz de identificar qual entrada de confiança tornou a rota Inválida.

O controle, portanto, precisa de visibilidade de interface. Validadores devem mostrar entradas de confiança AS0 separadamente, listar o número e escopo das cargas sem implicar cobertura universal e marcar procedência em diagnósticos. Operadores devem registrar aprovação explícita, modo pretendido, roteadores cobertos e política. Mudanças na entrada de confiança devem exigir revisão comparável a uma mudança de política de roteamento.

O uso de monitoramento primeiro tem valor substancial. Um operador pode alertar quando um prefixo coberto por AS0 aparecer no BGP, contatar a origem aparente ou upstream e comparar registros independentes antes da rejeição. Isso é especialmente prudente durante a implantação inicial ou onde o histórico de classificação é complexo. Também gera evidência sobre falsos positivos e propagação sem arriscar desconexão imediata.

A fraqueza é que o monitoramento não conserva rotas por si só. Um abusador determinado pode continuar anunciando. Operadores maduros podem razoavelmente passar para a rejeição após demonstrar qualidade de dados e capacidade de correção. O requisito de governança não é cautela permanente, mas escalada deliberada: medir, notificar, testar exceções, publicar uma data e então aplicar sob uma política documentada.

Escolhas regionais diferentes são legítimas quando visíveis. Até a evidência revisada, APNIC e LACNIC implementaram arranjos AS0, com orientação oficial do NRO de 2025 descrevendo âncoras de confiança AS0 separadas e recomendando alerta ou monitoramento em vez de filtragem automática devido ao risco. Isso não deve ser generalizado em uma afirmação de que todo RIR publica ou governa AS0 identicamente.

A política local continua sendo a decisão final de aplicação

Uma ROA AS0 não contorna a RFC 8481. Validadores definem o estado de validação de origem; a configuração do operador decide a política. Isso importa porque as instituições que assinam AS0 e aquelas que suportam o risco de conectividade são diferentes.

Uma rede pode rejeitar toda rota que é Inválida unicamente por causa de uma carga AS0 aceita. Isso dá à conservação um efeito direto e simplifica a política. Também exige confiança de que os procedimentos de classificação, retirada e exceção são fortes. A rede deve saber se o estado Inválido veio de ROAs padrão emitidas pelo titular, um feed AS0 do registro ou asserções locais, mesmo que o mesmo termo de rota-map eventualmente rejeite todos os três.

Outra rede pode alertar sobre AS0 separadamente. Pode contatar um cliente antes de aplicar, rejeitar em sessões de peer e trânsito, mas permitir uma exceção temporária autenticada do cliente, ou aplicar apenas após confirmação independente. Tais distinções podem ser legítimas porque relacionamento e evidência diferem. Não devem se tornar brechas permanentes através das quais os clientes possam anunciar qualquer espaço não delegado.

Despriorização é um compromisso imperfeito. Uma rota Inválida mais específica pode atrair tráfego sobre uma rota Válida menos específica porque o encaminhamento usa o prefixo mais longo antes da preferência BGP entre rotas para o mesmo prefixo. Reter um caminho Inválido apenas para reavaliação rápida é diferente de permiti-lo no encaminhamento. As descrições de política devem distinguir esses estados.

Operadores também precisam de uma resposta quando os dados de validação desaparecem. A expiração do cache pode remover o sinal AS0 ou alterar seu tratamento. Falhar aberto pode permitir a rota indesejada; falhar fechado em todos os dados desconhecidos pode causar danos mais amplos de alcançabilidade. Caches redundantes e política de expiração explícita reduzem, mas não eliminam a escolha.

Nenhum registro pode avaliar esses riscos locais para toda rede. Um provedor do setor público que transporta serviços de emergência pode escolher uma exceção escalonada após autenticar um prefixo recém-alocado. Um backbone com observação ampla e escalada madura pode rejeitar imediatamente. Uma pequena empresa pode confiar inteiramente em seu upstream. Legitimidade institucional vem de papéis claros, não configuração idêntica.

A decisão do operador ainda deve ser explicável. Quando uma rota é rejeitada, a rede deve ser capaz de identificar a carga AS0, entrada de confiança, tempo do validador e política correspondida. Quando uma exceção é concedida, deve identificar escopo, evidência, aprovador e expiração. Autonomia local sem registro é indistinguível de tratamento arbitrário para a parte afetada.

Medição externa é parte do caso de segurança

Um publicador AS0 pode verificar seus próprios objetos e ainda perder a discrepância mais importante: um prefixo que chama de não utilizado é visivelmente originado no BGP. A rota pode ser não autorizada, mas também pode ser evidência de que a classificação merece revisão antes da aplicação ampla. A medição externa deve, portanto, ocorrer antes da publicação, durante a operação e após a retirada.

A primeira comparação é entre a cobertura AS0 proposta e as observações BGP atuais. RIPE RIS e RouteViews coletam rotas de redes participantes em vários locais e arquivam tabelas de roteamento e atualizações. Um publicador pode sinalizar todo prefixo proposto ou mais específico que aparece em qualquer coletor selecionado. O resultado é uma fila de revisão, não uma isenção automática. A visibilidade do coletor é parcial, e a não observação não prova que uma rota não existe.

A segunda comparação é entre o status autoritativo do recurso e o conjunto de cargas validadas. Validadores independentes devem derivar as mesmas entradas AS0 pretendidas dos objetos publicados. Diferenças podem revelar atraso no repositório, erros de certificado ou interpretação de software. O relatório deve identificar entradas de confiança e tempos de observação em vez de contar validadores como votos.

A terceira comparação diz respeito ao efeito. Observação controlada pode mostrar se anúncios cobertos por AS0 permanecem visíveis de pontos de observação selecionados, se a visibilidade muda após a adoção do operador e se um prefixo corrigido retorna. Não pode estabelecer uma taxa exata de rejeição global. Coletores BGP amostram pares dispostos, e mudanças de caminho podem ocultar política. Testes ativos exigem salvaguardas éticas e de roteamento e ainda medem apenas caminhos selecionados.

A quarta comparação diz respeito a falsos positivos. Todo desafio autenticado deve ser classificado: erro de dados do registro, delegação pendente, rota obsoleta, erro do titular, reivindicação contestada, uso privado local ou anúncio inexplicado. O tempo para primeira resposta, correção da autoridade, convergência do validador e restauração observada deve ser relatado em distribuições com denominadores claros. Um período de zero desafios não é prova de precisão perfeita se as partes afetadas não puderam encontrar o contato.

Medição pública dá credibilidade à reivindicação de conservação. Mostra se o espaço coberto foi realmente observado no roteamento, se o abuso caiu e se as transições legítimas se recuperaram. Também disciplina a expansão. Um publicador não deve adicionar mais categorias meramente porque a geração é tecnicamente fácil; deve mostrar que o conjunto atual é preciso, reversível e útil.

A evidência mais forte é no nível de evento e reproduzível. Uma reivindicação mensal de que "AS0 protege milhões de endereços" diz pouco sobre valor operacional e pode enganar porque contagens de endereços pesam grandes blocos fortemente. Um registro de anúncios detectados, conflitos revisados, correções e convergência medida diz às instituições o que o controle realmente fez.

Retirada rápida é um direito, não apenas um alvo de engenharia

Quando AS0 está errado, a parte afetada precisa de mais do que um ticket de suporte. A declaração assinada do registro pode influenciar operadores distantes com os quais o titular não tem contrato. Um procedimento de desafio crível é, portanto, parte da autoridade para publicar.

O ponto de entrada deve ser público, continuamente monitorado e capaz de autenticar requerentes urgentes. O solicitante deve fornecer prefixo, autoridade reivindicada, AS de origem, evidência de roteamento e contato. O registro deve retornar imediatamente um identificador de caso e identificar se o prefixo está atualmente em AS0, sob qual política e de qual registro de status.

A triagem deve separar erro administrativo óbvio de direitos contestados. Se um prefixo recém-alocado permaneceu coberto devido a falha no processamento de alteração, a retirada não deve aguardar um comitê de política. Se a reivindicação diz respeito a um bloco devolvido ou herdado com registros conflitantes, o registro pode precisar de revisão legal e documental. Mesmo assim, deve considerar uma medida de risco temporária, explicar a decisão provisória e preservar recurso.

As metas de retirada devem ser definidas em pontos de verificação controlados: aprovação, publicação no repositório e confirmação por validadores independentes especificados. A restauração de rota de ponta a ponta deve ser medida e relatada, mas não garantida universalmente porque os operadores controlam sua própria consulta e política. O registro deve continuar auxiliando até que observações externas representativas mostrem que a correção se propagou ou o obstáculo restante está localizado em outro lugar.

O registro histórico deve sobreviver à correção. Regenerar silenciosamente um agregado grande sem um registro de alteração detalhado dificulta saber que o prefixo foi coberto. Uma entrada de transparência deve registrar escopo antigo e novo, categoria de razão, autorização e carimbos de data/hora. Pode proteger detalhes privados do reclamante enquanto expõe a ação institucional.

Um recurso deve estar disponível quando o registro se recusar a retirar. O órgão de revisão precisa de acesso a evidências de registro e política, deve ser independente o suficiente para questionar a classificação da equipe e deve publicar um resultado fundamentado com as edições necessárias. Direitos judiciais e remédios contratuais permanecem onde aplicáveis; a revisão técnica não deve pretender resolver toda questão de título legal.

Retirada rápida é um direito porque a reversibilidade justifica o poder preventivo. A instituição pede que os operadores confiem em uma classificação antes que o dano ocorra. Em troca, deve oferecer à parte mal classificada uma rota rápida e baseada em evidências. Sem essa simetria, a conservação se torna negação preemptiva sem devido processo.

Poder preventivo requer controle de mudanças mais forte do que listas comuns

Uma lista bogon estática pode estar errada, mas um objeto RPKI AS0 carrega autoridade criptográfica e pode entrar na política automatizada do roteador. Seu controle de mudanças deve refletir essa alavancagem maior.

A geração deve ser determinística a partir de entradas declaradas, mas não cega. O conjunto candidato pode ser calculado a partir do status do recurso e depois verificado em relação a certificados mantidos, ROAs positivas, alocações pendentes, registros de transferência, sinalizadores de disputa e BGP observado. Toda exclusão e conflito deve ser registrado. Uma segunda pessoa ou controle independente deve aprovar adições de alto risco, como faixas devolvidas, recuperadas ou herdadas.

Os objetos devem ser escopados para reduzir destino compartilhado. RFC 9455 adverte mais geralmente que ROAs contendo múltiplos prefixos compartilham validade como um objeto assinado. Para operações AS0, agrupamento excessivamente amplo pode tornar a investigação e correção mais difíceis mesmo quando a semântica de validação de rota permanece específica do prefixo. Objetos menores e logicamente agrupados podem apoiar registros de alteração mais claros, desde que a escala operacional e o desempenho do repositório sejam respeitados.

Simulação pré-publicação deve calcular quais anúncios BGP observados mudariam de NotFound ou Válido para Inválido em validadores independentes. A revisão deve incluir mais específicos porque AS0 pretende cobri-los. Um conflito de autorização positiva deve ser explicado, não ignorado. A saída se torna um artefato de aprovação e uma linha de base para observação pós-publicação.

A implantação deve ser em estágios. Publique em uma entrada de confiança de monitoramento, convide revisão do operador, compare observações, corrija classificações e depois considere orientação de aplicação. Um registro ainda pode responder rapidamente a abuso óbvio; a adoção em estágios diz respeito à confiança das partes confiáveis, não a um atraso na assinatura de todo objeto.

A remoção merece engenharia igual. Sistemas de alocação devem ser incapazes de completar uma delegação sem criar um evento de remoção AS0 vinculado. O serviço deve verificar a publicação no repositório e visões de validador independente. A remoção falha deve acionar uma equipe responsável em vez de esperar que o destinatário descubra uma rota Inválida.

Finalmente, órgãos de governança devem revisar mudanças de escopo publicamente. Adicionar espaço "em quarentena" ou "recuperado" pode alterar direitos e não deve ser um lançamento de software despercebido. A política deve definir inclusão, transição e recurso. A equipe técnica deve publicar análise de impacto com conflitos e limitações. A aprovação da comunidade não pode garantir precisão, mas torna o mandato de conservação afirmado contestável antes que se torne código.

O caso para AS0 é mais forte quando seus limites são explícitos

A defesa mais forte do AS0 não reivindica registros perfeitos, implantação universal ou eliminação automática de abuso. Diz algo mais modesto e mais durável: instituições que atualmente administram espaço de endereço têm o dever de prevenir uso não autorizado antes da delegação, e o RPKI oferece uma maneira autenticada de expressar esse padrão a operadores dispostos.

A defesa tem condições. A instituição deve deter autoridade administrativa atual para o prefixo exato. O status do recurso deve significar que a originação pública não é pretendida. Recursos de propósito especial que se espera rotear devem ser excluídos. Titulares existentes, delegações pendentes, ROAs positivas e anúncios visíveis devem ser verificados. A política regional deve autorizar o ato onde a regra de padrões de topo da IANA não o governa diretamente.

O efeito também deve ser declarado honestamente. AS0 produz um resultado de validação de origem; os operadores escolhem a aplicação. Uma rota classificada como Inválida pode refletir uso malicioso, erro operacional ou classificação ruim. Uma ROA positiva correspondente pode tornar uma rota Válida. Diferentes entradas de confiança podem levar redes a visões diferentes. Observações BGP são amostradas, não universais.

Mais importante, o controle deve ser reversível. O publicador precisa de retirada medida, um serviço de desafio, histórico preservado e confirmação independente. Novos titulares precisam de evidência de transição antes de anunciar. Operadores precisam de procedência e reavaliação segura. Um controle que pode adicionar negação em minutos, mas leva dias para corrigir um erro óbvio, carece de equilíbrio institucional mesmo que sua criptografia seja impecável.

Esses limites não enfraquecem a conservação. Eles tornam a adoção pelo operador mais defensável. Redes são mais propensas a aplicar um sinal quando sabem como foi produzido e como os erros são reparados. Titulares são mais propensos a aceitar cobertura preventiva quando a alocação a remove de forma confiável. Pesquisadores podem medir efeito quando o escopo e o histórico são públicos.

Um regime AS0 deve, portanto, publicar uma declaração de garantia compacta: autoridade, status incluídos, exclusões, fontes de dados, cronograma de atualização, entrada de confiança, orientação de adoção, verificações de conflito, contato de desafio, objetivos de retirada, validadores externos e limites de medição. Essa declaração transforma uma ampla asserção negativa em um serviço responsável.

Uma Number Resource Society pode auditar sem se tornar um alocador

Uma Number Resource Society tem um papel útil precisamente porque o AS0 atravessa fronteiras institucionais. O registro controla classificação e assinatura. Operadores controlam política de roteamento. Titulares suportam as consequências. Pesquisadores observam apenas partes do sistema de roteamento. Nenhum ator singular monta naturalmente todo o caso de segurança.

A Sociedade pode manter um registro comparativo de políticas AS0: qual instituição publica, sob qual entrada de confiança, para quais status, com qual ordem de transição, canal de desafio e registro de transparência. Pode testar se o escopo publicado corresponde aos dados de recurso declarados e se validadores independentes convergem. Pode encomendar estudos de eventos em torno de adições, retiradas e prefixos recém-delegados.

Também pode representar titulares menores na correção. Um formulário de evidência comum e um diretório de escalada reduziriam o tempo gasto provando que uma rota Inválida está relacionada ao AS0. A Sociedade poderia rastrear resposta e restauração sem exigir divulgação de material de conta protegido. Falhas repetidas poderiam ser levantadas nos processos comunitários do RIR com evidência concreta, em vez de suspeita generalizada.

O limite é essencial. A Sociedade não deve emitir ROAs AS0 para espaço de endereço que não administra, decidir título de recurso contestado, compelir um RIR a alocar ou ordenar que redes carreguem rotas. Não deve mesclar toda política regional em um feed universal. Esses atos reproduziriam a concentração que a revisão independente visa verificar.

Sua autoridade seria reputacional e processual. Métodos publicados, comparações reproduzíveis, filiação equilibrada e conflitos declarados podem tornar suas descobertas úteis. Um RIR poderia rejeitar uma recomendação, mas precisaria explicar por quê. Um operador poderia escolher política mais estrita ou mais flexível, mas poderia comparar a evidência por trás de cada entrada de confiança.

A Sociedade deve classificar controles, não instituições no abstrato. O conjunto AS0 tem uma base de autoridade clara? Uma nova delegação pode sair com segurança? Os conflitos observados são revisados? A retirada é visível em validadores independentes? Um titular afetado pode obter uma razão? As mudanças políticas e técnicas são públicas? Essas perguntas produzem melhoria acionável.

Tal papel apoia uma agenda positiva da Number Resource Society: conservação sem confisco, segurança de roteamento sem comando central oculto e autonomia regional com evidência comum. Transforma legitimidade de uma reivindicação sobre propósito benevolente em um teste de poder reversível.

Conservação e negação são separadas por procedimento

ROAs AS0 são tanto ferramentas de conservação quanto negações preemptivas. As duas descrições não são mutuamente exclusivas. O mecanismo nega a originação pública antes que um titular legítimo seja esperado rotear. Essa negação conserva recursos apenas quando autoridade, classificação e transição são sólidas.

Os padrões fornecem uma base limitada. AS 0 é inutilizável como origem BGP pública. RFC 6483 define a desautorização e permite que ROAs positivas correspondentes prevaleçam. RFC 6491 autoriza o tratamento pela IANA de espaço não alocado e espaço reservado ou de propósito especial não roteado, protegendo o espaço destinado a rotear. RFC 8481 mantém a ação final na política do operador.

Políticas regionais adicionam uma segunda base. APNIC e LACNIC vincularam AS0 ao espaço de endereço sob sua própria administração e descreveram remoção quando os recursos são delegados. Suas escolhas demonstram que a política comunitária, não apenas a capacidade técnica, deve definir o escopo do RIR. A entrada de confiança separada da APNIC e a cautela sobre filtragem automática também reconhecem o custo do erro.

O trabalho restante é institucional. Todo prefixo incluído deve ter uma autoridade visível e base de status. Toda transição deve coordenar remoção, autorização positiva e validação externa. Todo desafio deve receber uma resposta autenticada e correção mensurável. Todo efeito reivindicado deve identificar seus pontos de observação BGP e limitações. Todo operador deve saber que ele, não o registro, finalmente escolhe se Inválido significa rejeitar.

Com esses controles, AS0 é um instrumento legítimo de conservação: forte o suficiente para desencorajar roteamento incorreto, estreito o suficiente para respeitar a autoridade do titular e reversível quando os fatos mudam. Sem eles, o mesmo zero assinado pode se tornar uma negação opaca imposta antes que a parte afetada tenha qualquer audiência eficaz.

O teste de governança é, portanto, prático em vez de retórico. Pergunte quem assinou, que status exato justificou a assinatura, quem verificou o uso existente, quando a negação será removida, como um reclamante pode contestá-la, quais validadores confirmam a mudança e quais rotas amostradas mostram depois. Se essas perguntas tiverem boas respostas, zero pode proteger um recurso comum. Se não, a validade criptográfica apenas prova que a declaração errada institucionalmente não apoiada foi assinada corretamente.

Fontes