Resumo

  • Na RIPE 93, a RIPE NCC disse que algumas CAs sem recursos não aparecem nos validadores, embora parte de seu conteúdo ainda esteja publicada.
  • Esse conteúdo gera downloads adicionais para as operadores de validadores. A limpeza está em andamento, sem contagem de objetos ou volume de dados divulgado.

Existe uma diferença entre sair da lista e sair do depósito. A RIPE NCC acaba de mostrar como ela aparece no RPKI: certas autoridades certificadoras não têm mais recursos e, por isso, somem dos validadores. Mesmo assim, sobram arquivos no serviço que publica o material. Quem valida rotas ainda baixa dados extras.

Tim Bruijnzeels descreveu a situação em 28 de outubro, no grupo de roteamento da RIPE 93. A equipe continua a limpeza. O validador mostra o que participa da decisão; o repositório decide o que será entregue pela rede. A primeira lista pode estar limpa enquanto a segunda ainda cobra tráfego.

Os termos do Publish in Parent definem o repositório da RIPE NCC como local público para baixar certificados, listas de revogação e objetos RPKI assinados. Arquivo residual ali não é apenas uma linha esquecida em um painel. Ele exige recuperação pelas partes que consultam a publicação.

No mesmo relato, Bruijnzeels informou que 35 CAs delegadas sem funcionamento foram revogadas em setembro sob uma política de 90 dias. Ele não atribuiu os restos das CAs sem recursos a essas 35. Revogar o certificado de uma CA defeituosa e retirar sobras da publicação são tarefas distintas; cada uma precisa de sua própria prova de conclusão.

A RIPE NCC não informou quantas CAs sem recursos deixaram restos, nem quantos bytes extras trafegam por causa deles. Um inventário e medições antes e depois da limpeza dariam escala à despesa. A existência dos downloads adicionais já consta da fala da própria instituição.