Resumo

  • O índice da ARIN mostrava o par correto delegated-arin-extended-20260829 e .md5, mas também delegated-arin-extended-20231018 e delegated-arin-extended-20231008.md5, com horários de 29 de agosto de 2026.
  • O caminho extra de dados trazia no cabeçalho enddate=20260829. O caminho extra de checksum era idêntico ao manifesto correto e declarava como alvo delegated-arin-extended-20260829.
  • Cinco faixas de 65.536 bytes, distribuídas pelos dois objetos de dados, tiveram SHA-256 iguais em cada par. Isso reforça a hipótese de cópia, sem provar identidade integral nem auditar registros de ASN, IPv4 ou IPv6.
  • Um gate de publicação deve unir caminho, data interna e nome-alvo do manifesto em uma identidade verificável, com histórico de correção.

Um par que nem sequer usava a mesma data antiga

O diretório de estatísticas da ARIN continha tudo o que se esperaria da edição corrente: o arquivo delegated-arin-extended-20260829, o respectivo .md5 e os atalhos persistentes latest. Esses objetos tinham data de modificação em 29 de agosto de 2026.

Havia ainda duas entradas incomuns. O arquivo grande se chamava delegated-arin-extended-20231018; o pequeno, delegated-arin-extended-20231008.md5. Portanto, nem como um suposto par histórico eles se alinhavam: um nome dizia 18 de outubro, o outro dizia 8 de outubro.

O primeiro anunciava 12.774.921 bytes, o mesmo tamanho do arquivo correto. O segundo tinha 67 bytes, como o manifesto 20260829. Abrir os objetos revelou que as datas antigas não descreviam o conteúdo.

No caminho 20231018, a linha inicial era:

2.3|arin|1788008421241|202440|19700101|20260829|-0400

O formato de intercâmbio da ARIN define os campos como versão, registry, serial, número de registros, data inicial, data final e fuso UTC. A data final interna era 29 de agosto de 2026. O nome externo dizia 18 de outubro de 2023.

O manifesto verificava outro nome

O conteúdo completo obtido por delegated-arin-extended-20231008.md5 era:

6e57e7c85222c5ff9c1549d1ff8ea52c delegated-arin-extended-20260829

O arquivo .md5 corretamente nomeado continha exatamente os mesmos 67 bytes. O manifesto servido pelo caminho antigo não declarava como alvo um arquivo 20231008 nem o objeto extra 20231018. Declarava o arquivo corrente com o nome correto.

Esse detalhe evita uma conclusão apressada sobre integridade. Um utilitário de checksum lê o alvo gravado no manifesto. Se delegated-arin-extended-20260829 estiver presente e corresponder ao valor MD5, a validação pode passar. O resultado diz respeito aos bytes desse alvo; não valida a URL de onde o manifesto foi baixado.

A especificação da ARIN exige justamente a relação que faltou. O nome datado segue delegated-<registry>-yyyymmdd, com a data local de produção. O checksum deve ser publicado sob um nome correspondente com .md5. A seção de validação manda conferir o nome contra o conteúdo, além de usar cabeçalho e checksum separado.

Portanto, não basta que cada componente faça algum sentido isoladamente. Caminho, cabeçalho e alvo devem identificar a mesma edição.

O que cinco amostras permitem afirmar

Foram comparadas cinco faixas dos dois caminhos de dados. Cada leitura tinha 65.536 bytes e começou nos offsets 0, 1.048.576, 4.194.304, 8.388.608 e 12.000.000. Todas as duplas produziram o mesmo SHA-256.

As amostras atravessam o início, o meio e uma região próxima do fim do objeto. Somadas ao tamanho igual e ao cabeçalho idêntico, elas sustentam fortemente a leitura de que o arquivo corrente foi copiado ou exposto como alias sob o nome 20231018.

Ainda assim, a comparação não calculou um hash forte dos 12,7 MB completos recebidos em ambos os caminhos. Por isso, não se declara identidade byte a byte dos objetos grandes. A conclusão principal não depende dessa ampliação: a primeira linha já contradiz a data do caminho, e o manifesto completo já aponta para outro nome.

Também não se verifica o conteúdo registral. Nenhum registro de ASN, IPv4 ou IPv6 foi declarado correto ou incorreto. Não há evidência de transferência alterada, titular trocado, rota afetada, ROA inválida ou serial danificado. O par correto permaneceu disponível, e nenhum impacto a consumidores foi demonstrado.

O objeto desta notícia é a identidade da publicação, não a semântica dos recursos.

Quando o nome vira chave de banco de dados

Arquivos diários são feitos para automação. Um coletor calcula a data, monta a URL, baixa o par e usa yyyymmdd como chave temporal. Um espelho guarda cada nome encontrado. Uma pesquisa longitudinal pode ordenar as observações pela data do arquivo sem reler o cabeçalho em todas as etapas.

Com os caminhos observados, uma execução comum pode arquivar dados de agosto de 2026 em outubro de 2023. Se o verificador seguir o alvo interno do manifesto, ele valida o arquivo 20260829 correto e ainda deixa o catálogo externo associado ao caminho 20231008. O sinal verde de integridade não elimina a classificação errada.

Não foi identificado um coletor que tenha feito isso. O risco é estrutural e limitado: a interface pública permitia duas interpretações de tempo. Um hash identifica bytes; o nome datado coloca esses bytes em uma edição. Reprodutibilidade precisa dos dois.

O mesmo raciocínio impede tratar MD5 como assinatura moderna ou prova de verdade. Este artigo reporta o controle que a ARIN publicou. Um recibo novo deveria registrar também um digest forte contemporâneo. Mesmo a melhor assinatura, porém, não decide sozinha qual data deve constar do caminho.

A explicação benigna é suficiente

Não há motivo para converter o achado em acusação de comprometimento. A edição correta e os atalhos latest estavam acessíveis. As amostras combinavam. Os manifestos apontavam para o objeto corrente. É plausível que os nomes extras fossem aliases acidentais ou resíduos temporários de uma rotina.

O arquivo de 2023 mantém entradas históricas compactadas em separado. Esta análise não inspeciona seus dados e não diz que um arquivo antigo foi apagado ou substituído. Tampouco identifica programa, operador ou implantação responsável pelos caminhos extras.

A ARIN conserva um aviso de 2013 sobre a retirada de estatísticas então corrompidas e incompletas e a retomada com dados corretos. O caso atual não apresenta essa evidência. O precedente útil é apenas o da transparência corretiva: arquivos podem ser retirados e a mudança pode ser explicada.

Aqui, a correção proporcional é menor. Se os caminhos não forem intencionais, removê-los. Se forem aliases deliberados, declarar sua relação com a edição canônica. Se espelhos puderem tê-los copiado, publicar uma nota curta. Não é necessário retirar o par correto ou insinuar um incidente de roteamento.

Um recibo para a edição, não para cada interpretação

O gate mínimo reúne a URL canônica, aliases autorizados, campos do cabeçalho, tamanho, digest forte, URL do checksum ou assinatura, algoritmo, nome-alvo interno e resultado da verificação. Três igualdades são decisivas: data do caminho igual a enddate; nome do manifesto derivado do nome dos dados; alvo do manifesto igual ao arquivo canônico.

Aliases com outra data só devem passar quando forem explicitamente ligados ao recibo canônico. Um nome silencioso que pareça outra edição deve ser bloqueado ou colocado em quarentena antes de chegar ao diretório público.

Correções posteriores podem acrescentar um novo recibo com hash do estado anterior, hora, categoria de motivo e resultado. Não é preciso revelar topologia, credenciais ou detalhes sensíveis do sistema de publicação.

Esse controle respeita a separação de papéis. A ARIN garante a identidade do registro que publica. Pesquisadores escolhem seus métodos. Operadores controlam suas redes. O ponto comum é pequeno: um arquivo de 29 de agosto não deve se apresentar como duas datas de 2023.

Fontes