Resumo

  • O Internet-Draft individual apresentado em setembro imagina um registro separado para delegações protegidas de IPv4/IPv6; aceitar seus filtros continua sendo escolha de cada consumidor.
  • Se a VRP RPKI existente for filtrada antes da autorização protegida chegar a estado confirmado e final, a rota pode aparecer como NotFound nesse consumidor apesar de uma ROA ainda válida. Trata-se de risco descrito no texto, não de falha observada.

Uma transição de autoridade pode parecer uma simples soma de dados. Aqui, não é. Joseph Gersch submeteu em 18 de setembro um projeto de registro hierárquico no qual uma delegação protegida resistiria à retomada e a emissões concorrentes por um nível superior. O pano de fundo é que controlar a chave de uma CA subordinada não elimina o poder do emissor pai sobre o certificado. Mas o ponto novo para a operação não é a custódia da chave: é o momento em que o relying party deixa de distribuir uma autorização de origem que antes aceitava.

O projeto conserva a validação de origem convencional nos roteadores e não transforma o registro separado em título jurídico ou substituto universal do RPKI. A irreversibilidade da delegação exigiria estado final, confirmação do detentor e fim do intervalo provisório. Antes disso, deve constar uma política de recuperação escolhida pelo próprio detentor. Informações importadas de RIR, RDAP e RPKI começam como afirmações a verificar. Apenas estado confirmado e final pode alimentar as autorizações exportadas. Assim, a presença recente de uma operação no registro não é, por si, autorização para apagar a visão anterior.

A RFC 8416 já define exceções locais SLURM, inclusive acréscimos e filtros. O texto novo explicita o custo de confundir essas ferramentas. Somar uma VRP do registro protegido preserva a VRP RPKI atual; carregar um filtro pode suprimi-la. A seção 10.6 alerta que um filtro incorreto pode negar autoridade legítima anterior e deixa sua carga à política local do consumidor. A seção 10.5 mostra que nem o recorte por prefixo é trivial: uma ROA de prefixo menos específico com maxLength amplo pode alcançar o espaço protegido. Para suprimir apenas uma parte, seria preciso uma substituição limitada ao escopo correto ou um mecanismo de expressão mais rico.

Existe ainda o intervalo sem substituto. Se o consumidor exclui as VRPs anteriores antes de obter autorização do detentor confirmada e final, a rota pode passar a NotFound para ele, embora a ROA incumbente continue válida. Isso não é Invalid, tampouco prova queda de tráfego; a política do operador determina o efeito no encaminhamento. Um consumidor que recebe somente VRPs exportadas também depende do exportador, pois a exportação proposta não carrega assinatura do detentor.

O autor relata uma prova de conceito numa cadeia permissionada, mas aponta implementações independentes, parâmetros de finalização em produção, medições em escala de Internet e experiência de recuperação como trabalho em aberto. Um participante da lista SIDROPS levantou dúvida sobre o enquadramento no grupo; o autor remeteu a decisão aos coordenadores. Não há decisão do grupo nesse diálogo. O Datatracker registra um Internet-Draft individual, sem chancela de padrão. O fato relevante, portanto, é a possibilidade de uma exclusão local difícil de perceber, não a adoção de um novo regime.

Fontes