Resumo

  • Em 3 de novembro de 2026, o endpoint RFC 8181 da RIPE NCC recusou publicações entre 20h07 e 22h50 UTC porque Krill iniciou antes de receber a configuração dos publicadores registrados.
  • Os objetos existentes no repositório não foram alterados. Depois da correção feita por um engenheiro de plantão, as CAs delegadas que haviam falhado retomaram automaticamente a publicação.

Um serviço acordado antes de saber quem era o cliente

O relato da RIPE NCC descreve uma ordem de inicialização invertida. Durante manutenção regular, o sistema reiniciou. Uma lentidão no armazenamento atrasou a configuração de Krill, mas o processo que recebe pedidos já estava ativo. Sem reconhecer os publicadores das autoridades certificadoras delegadas, respondia “Unknown publisher” a cada solicitação. A janela terminou 2 horas e 43 minutos depois.

No modelo de CA delegada, o operador pode manter a autoridade e suas chaves privadas enquanto usa o serviço de publicação da RIPE NCC. A CA assina ROAs, manifestos e listas de revogação; o serviço recebe os arquivos e o repositório os oferece para consulta. Esse arranjo separa quem decide o conteúdo de quem mantém a prateleira. O incidente deixou a prateleira intacta e fechou a entrada de novas versões.

Por isso, o fato de o repositório continuar disponível não encerra a análise. Um objeto antigo podia ser lido, mas a mudança que o titular queria publicar ficava retida. A RIPE NCC informa que as CAs afetadas publicaram novamente de forma automática após a reparação. O registro não dá o número de CAs nem uma relação de objetos tentados; para saber o atraso de uma atualização específica, o operador precisa confrontar a resposta da sua CA com o arquivo efetivamente servido.

O relógio do chamado não mede o caminho inteiro

Na página de manutenção do painel RPKI, a tarefa aparece concluída às 21h06 CET, equivalentes a 20h06 UTC. O incidente do serviço de publicação começa às 20h07 UTC. São entradas diferentes, e o relatório de falha não atribui expressamente a causa àquela tarefa do painel. A justaposição mostra o limite de um carimbo de “concluído”: o processo pode responder e o trabalho programado pode terminar antes de uma CA registrada conseguir publicar.

Houve ainda um atraso na descoberta institucional. Um membro comunicou o problema, segundo a RIPE NCC, e então o engenheiro de plantão disponibilizou a configuração correta. A organização anuncia duas mudanças: garantir a configuração antes de iniciar Krill e ampliar o monitoramento da parte RFC 8181. Uma corrige a dependência de arranque; a outra deve denunciar o erro mesmo quando a página de status parece tranquila. A prova decisiva é uma publicação de teste com um publicador válido, seguida da leitura do objeto no repositório.

Os termos do serviço colocam esse endpoint e o repositório sob a responsabilidade da RIPE NCC. O titular mantém a chave. Para que essa autonomia funcione, a infraestrutura do registro tem de reconhecer sua próxima assinatura no momento certo. O incidente mostrou como uma configuração atrasada suspende uma responsabilidade sem apagar um único arquivo antigo.