RIPE: 37% das definições de ROA não aparecem no BGP

Resumo

Na RIPE 93, a RIPE NCC apresentou duas medidas diferentes: quase 100% das rotas observadas e já cobertas por ROAs eram válidas; cerca de 37% das definições ASN-prefixo nos ROAs não eram vistas no BGP.
Parte das definições silenciosas protege rotas de backup. Outras podem continuar autorizando uma origem depois que o anúncio foi retirado e fazer uma origem falsificada parecer válida para RPKI.

A permissão que fica depois da rota

Uma rota pode sair de cena sem que a autorização saia junto. Criar o ROA acompanha o início de uma operação; retirá-lo depois que o anúncio termina é manutenção sem alarme, sem interrupção imediata e quase sempre sem alguém cobrando.

Na reunião RIPE 93, em 28 de outubro, Tim Bruijnzeels, responsável por RPKI na RIPE NCC, mostrou o problema por dois ângulos. No mundo todo, aproximadamente 73% dos prefixos tinham ROAs, somando IPv4 e IPv6. Entre os prefixos anunciados que já estavam cobertos por um ROA, quase 100% eram válidos para ROV. Operadores corrigem ou filtram rapidamente anúncios Invalid, explicou; as rotas visíveis se ajustam depressa.

Depois veio a outra direção: cerca de 37% das definições ASN-prefixo nos ROAs não eram observadas no BGP. Esse número conta definições de autorização, não rotas, tráfego, espaço de endereços ou objetos ROA. Um ROA pode conter definições para vários prefixos.

A transcrição não informa numerador, composição do denominador, data da amostra, janela de observação ou método de cálculo. Esses dados mostrariam quantas autorizações estão realmente abandonadas e quantas pertencem a rotas quietas que ainda têm uma função.

Uma rota silenciosa pode ser uma reserva legítima. O titular pode autorizar um caminho antes de ativá-lo ou manter outra origem pronta para uma falha. Bruijnzeels citou rotas de backup como uma explicação possível. O painel da RIPE NCC compara os ROAs com anúncios vistos pelos coletores RIS; a documentação da API diz que esses dados são atualizados a cada oito horas. A ausência na tela atual descreve o que os coletores observaram naquele ciclo. Ela não revela sozinha o plano operacional do titular.

Outras definições podem ter ficado esquecidas. Bruijnzeels apontou a assimetria: existe um incentivo forte para criar um ROA quando a rota começa a ser anunciada, e um incentivo bem menor para removê-lo quando o anúncio cessa. O ganho de retirar a autorização é menos imediato do que o ganho de criá-la, então ela pode continuar no repositório.

O resíduo tem consequência técnica. A validação de origem BGP confere se o prefixo e o ASN de origem correspondem a um ROA autorizador. Ela não autentica todo o caminho AS. Se alguém anunciar o prefixo usando uma origem ainda autorizada por um ROA antigo, os validadores podem classificar aquele anúncio como válido. A assinatura que antes descrevia uma rota real pode continuar dando respaldo à origem depois que o motivo operacional acabou.

A resposta mais simples seria exibir um alerta para cada ROA ausente do BGP. A RIPE NCC diz que a informação já aparece na interface, mas é difícil de encontrar; quer torná-la mais clara e ampliar os alertas. Bruijnzeels também sugeriu permitir que o titular marque uma rota de backup intencional e pare de receber avisos repetidos. Esse controle vale tanto quanto o alerta. Apagar toda definição silenciosa pode remover justamente a rota que deveria assumir quando a principal falhar.

O produto útil é uma fila de revisão, não um contador vermelho com botão de exclusão. Cada divergência precisa mostrar prefixo, ASN de origem, hora da última observação e idade dos dados RIS. O titular pode então marcar ativo, planejado, backup ou aposentado. Pode atualizar a rota, manter uma reserva documentada ou remover a permissão que perdeu sua função. “Não observado” vira uma pergunta para quem opera a rede, não uma sentença automática do painel.

O número da RIPE NCC expõe uma falha de manutenção. Uma taxa alta de validade nas rotas observadas pode coexistir com um estoque de permissões sem acompanhamento. A próxima métrica útil não é reduzir os 37% apagando tudo. É saber quantas definições sem anúncio são reservas, estão planejadas, continuam ativas ou foram aposentadas — e quantas aposentadas são realmente removidas.