Resumo

  • A captura do RIPE RIS às 00:00 UTC lista 91 prefixos IPv4 originados pela AS24940; a página do rpki-client foi gerada às 02:35:34 UTC de 8 de outubro.
  • O cruzamento encontra uma VRP de mesma origem que admite a rota para 63 prefixos; em 49, pelo menos um comprimento máximo supera o da rota observada. A contagem é por rota, não por objeto ROA.
  • Os testes atuais retornam invalid_length para /24 sob os três prefixos restringidos e valid para o /24 de teste dentro de 78.46.0.0/15. Isso não comprova anúncio ativo, tráfego nem filtragem universal por ROV.

A rota é a unidade de auditoria

As capturas são observações de sistemas diferentes, separadas por 2 horas e 35 minutos: RIS às 00:00 UTC e a página do rpki-client às 02:35:34 UTC. Essa página lista 73 entradas VRP IPv4 da AS24940; 53 permitem prefixos mais específicos que o prefixo registrado. Destas, 52 autorizam até /24 e uma entrada /24 permite chegar a /32. Ao cruzar cobertura, origem e comprimento máximo, 63 rotas encontram uma VRP da mesma origem que admite seu comprimento; em 49, o limite máximo ainda é mais amplo que a rota vista pelo RIS. São 49 prefixos de rota, não 49 objetos ROA únicos.

As outras 28 não encontraram uma correspondência AS24940 que admitisse seu comprimento neste cruzamento; sem validação por prefixo em horário alinhado, não podem ser classificadas como unknown, invalid_asn ou invalid_length. Os 50 casos citados por Madory são de outra medição anterior; a diferença não demonstra aumento nem redução.

Uma consulta de validação em 8 de outubro trouxe duas respostas diferentes para a AS24940, da Hetzner Online. A ROA atual de 162.55.0.0/16 limita o comprimento máximo a /16; por isso, o Routinator responde invalid_length para a /24 de teste 162.55.80.0/24. Já 78.46.0.0/15 ainda permite até /24, e a consulta para 78.46.0.0/24 continua valid. O endpoint network-info do RIPEstat também associa atualmente um endereço dessa segunda faixa à rota /15 originada pela AS24940.

A diferença importa porque o primeiro prefixo fez parte do sequestro BGP de agosto contra a Softaculous, empresa por trás do serviço de atualização do Virtualizor. Em um texto convidado no APNIC Blog publicado em 22 de setembro, o analista Doug Madory relatou que a Hetzner reduziu para /16 o comprimento máximo da ROA de 162.55.0.0/16. Também informou que duas outras ROAs — 213.133.96.0/19 e 213.239.192.0/18 — foram alteradas de /24 para /19 e /18, respectivamente.

Os testes atuais do Routinator confirmam esses três ajustes. Uma /24 hipotética dentro de cada prefixo agora retorna invalid_length, com máximos de /16, /19 e /18. São resultados de teste, não evidência de que essas três /24 tenham sido anunciadas. Eles mostram como as ROAs atuais tratariam um anúncio equivalente com a AS24940 como origem.

Essa ressalva define o que o resultado significa para a segurança. A validação de origem do RPKI compara o prefixo anunciado e o ASN de origem com as autorizações publicadas na ROA. Ela não verifica cada salto do AS_PATH nem comprova que a rota seja confiável. Um comprimento máximo amplo pode permitir que uma rota mais específica passe a validação de origem quando apresenta o ASN autorizado. Valid descreve a correspondência com uma ROA; não é um selo de segurança para a rota.

As três alterações são uma mudança de controle relevante: elas mudam quais anúncios o validador aceita para aqueles blocos. Mas corrigir três prefixos não demonstra que todas as rotas ativas tenham autorizações igualmente estreitas. O acompanhamento útil precisa cobrir o conjunto de rotas e ROAs, registrar exceções e horários e ir além da contagem de objetos modificados.

Fontes