Resumo

  • No resumo oficial de sua atualização RPKI para o RIPE 93, a RIPE NCC diz que a análise inicial encontrou até 10% de ASNs provedores omitidos em objetos ASPA. Esquecimento e vizinhos tratados como pares, embora também atuem como provedores, aparecem entre as causas.
  • O guia de ASPA da RIPE NCC avisa que omitir um provedor pode levar à rejeição das rotas que passam por ele. Hoje o painel RPKI não sugere provedores observados no BGP.

O selo funciona até para a lista errada

É fácil admirar uma assinatura criptográfica e deixar de ler o que ela cobre. Em ASPA, o titular de um AS assina a relação de outros ASNs autorizados a agir como seus provedores upstream. O objeto pode passar pela validação da assinatura enquanto um provedor de verdade fica fora da lista. Nesse caso, o selo fez seu trabalho. O inventário operacional é que falhou.

A RIPE NCC colocou uma medida preliminar nesse desencontro. O resumo da apresentação RPKI no RIPE 93 diz que até 10% de ASNs provedores estão ausentes de objetos ASPA na análise inicial. O denominador é de ASNs provedores, não de organizações ou objetos. Segundo a RIPE NCC, alguns foram simplesmente esquecidos; outros estavam registrados mentalmente como pares, embora desempenhassem também a função de provedor.

Esse segundo caso é uma armadilha de linguagem. “Peering” pode descrever a relação cotidiana, enquanto uma parte do tráfego usa o mesmo vizinho como trânsito. O guia de ASPA da RIPE NCC manda incluir todos os upstreams, os vizinhos de função mista quando exercem papel de provedor e os route servers não transparentes que aparecem nesse papel no caminho. Pares puramente laterais e clientes não entram. Quem monta a lista precisa olhar para a função efetiva, não para o apelido da sessão BGP.

Um nome ausente produz uma resposta presente

O guia explica a diferença entre três resultados. Há ASPA assinado e o ASN está listado: Provider. Há ASPA assinado e o ASN está ausente: Not Provider. O cliente não publicou ASPA: No Attestation. A lista assinada pela metade pode transformar uma relação real em uma afirmação negativa mais forte que a falta de qualquer declaração.

A RIPE NCC diz que isso pode levar à rejeição de rotas enviadas pelo provedor omitido. O efeito depende do caminho, do validador e da política de filtro do receptor. A estimativa divulgada não apresenta quedas de rota medidas. Apresenta uma tarefa: confrontar o ASPA com contratos de trânsito, papéis nas sessões BGP e mudanças nas relações com vizinhos antes de entregar a decisão a um filtro mais estrito.

O painel RPKI atual não mostra sugestões de provedores extraídas do BGP. A atualização anunciada pela RIPE NCC discutirá como melhorar as sugestões ASPA. Uma boa pista precisa mostrar a evidência, a data e o caminho observado; a autorização continua com o titular. Uma adjacência vista no BGP levanta a pergunta, mas não assina o acordo comercial.

Falta a conta por trás da porcentagem

O resumo não traz período, amostra, numerador, denominador nem método de classificação do “até 10%”. Um relatório de medição com esses campos mudaria a leitura da prevalência. Enquanto ele não aparece, o operador pode fazer a conferência que independe da estatística: comparar a lista assinada com os upstreams que sua rede usa hoje.

A assinatura identifica o autor da declaração. É o inventário atualizado que impede um provedor real de virar um “Not Provider” no papel.

Fontes: resumo RPKI do RIPE 93; guia ASPA da RIPE NCC; rascunho IETF de verificação ASPA, versão 29.