Resumo

  • Publicada em 20 de agosto, a proposta individual DOA vincula prefixos, comprimentos, AS de origem, pares opcionais e comunidades BGP a um objeto assinado no RPKI.
  • O resultado ficaria separado de ROV e não acionaria descarte por padrão; não há adoção do IETF, e transporte, segurança, operação e interoperabilidade seguem incompletos.

Uma rota de blackhole pode ser legítima e, ao mesmo tempo, inválida para ROV. Isso acontece porque a solicitação de descarte costuma anunciar um prefixo mais específico para atingir apenas o destino atacado. Se o comprimento ultrapassa o maxLength da ROA, a validação de origem rejeita a combinação, embora o titular dos endereços tenha pedido a medida emergencial.

O draft-spaghetti-grow-rpki-doa-00, publicado em 20 de agosto, propõe tratar essa exceção com uma autorização separada. O Discard Origin Authorization seria um objeto assinado do RPKI. Ele informaria qual AS pode originar a rota, quais blocos e faixas de comprimento estão cobertos, quais comunidades Classic ou Large BGP caracterizam o pedido e quais ASes pares, se houver, podem retransmiti-lo.

O status precisa permanecer visível. O Datatracker classifica o texto como Internet-Draft individual, sem endosso do IETF nem posição formal no processo de padronização. A versão retoma uma proposta de 2022 que apontava para SIDROPS e agora muda o alvo para GROW. Isso não prova adoção pelo grupo de trabalho.

Há, porém, uma mudança de semântica verificável. O texto antigo deixava em aberto se várias comunidades seriam combinadas com AND ou OR. A nova versão escolhe OR lógico: basta uma das comunidades listadas aparecer na rota para satisfazer esse elemento. Se o emissor não indicar outra comunidade, a ferramenta de assinatura pode usar por padrão a comunidade BLACKHOLE bem conhecida da RFC 7999.

O restante da correspondência continua restrito. Para receber Matched, a rota precisa ter o AS de origem indicado, comprimento permitido, chegar do originador ou de um peerAsID autorizado e carregar ao menos uma comunidade listada. Um objeto que cobre o prefixo, mas não cumpre as condições, produz Unmatched; a ausência de objeto validado, NotFound.

DOA não corrigiria nem substituiria o estado ROV. O mesmo anúncio pode ser DOA Matched e ROV Invalid. A proposta recomenda avaliar primeiro a autorização específica e deixar casos sem correspondência seguirem para a política normal, inclusive ROV. Ela também determina que implementações não tomem ação por padrão apenas com base em qualquer um desses estados. Instalar, rejeitar, propagar ou descartar exige política explícita do operador.

Esse limite evita que uma credencial seja tratada como prova completa. O objeto confirma que o titular de recursos autorizou uma combinação limitada. Ele não prova a existência de um ataque, a intenção atual de quem anunciou, a autenticidade de todo o AS path nem a eficácia do descarte. Controles locais e observabilidade continuam necessários.

A exportação permanece contida. A RFC 7999 orienta, em geral, que rotas de blackhole não ultrapassem o AS receptor. O DOA permitiria um repasse quando o AS local aparece expressamente na lista de pares. Trata-se de uma autorização de um salto, condicionada aos demais campos, e não de permissão transitiva.

Separar o objeto também protege o escopo da ROA. Uma alternativa seria aumentar seu maxLength para acomodar a rota emergencial. Isso ampliaria a autorização de origem usada todos os dias, e a RFC 9319 recomenda evitar máximos excessivamente largos. O DOA tenta dar alcance adicional somente ao sinal de descarte.

O formato ainda não forma uma cadeia utilizável. A extensão RPKI-RTR será especificada em outro documento. As seções de considerações operacionais e de segurança ainda não foram redigidas. Os números da IANA não foram atribuídos. Um assinador em Python é listado, mas a própria seção diz que as informações foram fornecidas por colaboradores, não foram verificadas e não significam endosso.

Portanto, a publicação torna mais concreto um modelo de autoridade, não uma função já disponível. Sua utilidade dependerá da retirada rápida de objetos, do comportamento diante de dados vencidos, de resultados iguais entre validadores e da capacidade do operador de auditar cada decisão de política.

Fontes