Кратко

  • В зафиксированной копии официального публичного дампа WHOIS AFRINIC насчитывается 28 206 объектов mntner; в 1 345 из них есть хотя бы одна метка MD5-PW или CRYPT-PW.
  • В 1 285 объектах присутствуют только устаревшие методы, а 60 совмещают их с BCRYPT-PW, PGP или X.509.
  • Это количество сохранённых меток, а не действующих учётных данных, членов, организаций, успешных обновлений или подтверждённых уязвимостей.
  • По доступным официальным материалам нельзя для каждой операции установить, полностью ли отключены старые методы, оставлены ли они только для миграции или принимаются шире.
  • AFRINIC может проверить границу на собственных контрольных объектах и опубликовать агрегированную запись без имён, хешей, идентификаторов ключей и секретов.

Дамп показывает форму контроля, но не его исполнение

Копия официального файла была получена 5 сентября 2026 года в 17:42 UTC. Размер сжатого дампа составил 10 448 358 байт. После распаковки в нём найдено 28 206 объектов mntner и 28 380 строк auth:. В итоговые материалы вошли только названия классов методов. Имена сопровождающих объектов, контакты, идентификаторы PGP и X.509, хеши паролей и иные данные аутентификации не сохранялись.

В 1 345 объектах, или 4,7685% выборки, встречается MD5-PW либо CRYPT-PW. У 1 285 из них нет ни BCRYPT-PW, ни PGP, ни X.509. Ещё 60 совмещают хотя бы один устаревший и хотя бы один неустаревший метод. Именно 60 — правильная величина смешанной группы. На раннем этапе число 100 было ошибочно подписано как такая группа, хотя включало все сочетания нескольких сильных или неустаревших методов. Оно не должно переходить в выводы.

Распределение большинства не менее важно. По крайней мере один неустаревший метод есть у 26 921 объекта. Только неустаревшие методы содержат 26 861 объект; один BCRYPT-PW — 26 748. PGP или X.509 встречаются в 172 объектах. Поэтому речь идёт не о базе, где господствует MD5, а о далеко продвинувшейся миграции с остатком меньше пяти процентов.

Нельзя приравнивать один mntner к одному члену AFRINIC. Организация может управлять несколькими такими объектами, а один объект — защищать множество записей. Метка не доказывает, что секрет кому-либо известен, что ключ доступен или что обновление когда-либо было принято. Популяция описывает публичные объекты, а не людей и не события входа.

Однако форма записи имеет операционный смысл. mntner объявляет путь авторизации изменений защищённых объектов. Если движок уже изменил этот путь, а метка осталась, публичная запись не отражает границу полномочия. Она может быть историческим остатком, пунктом очереди, выходом для миграции либо действующей альтернативой.

Поддерживается — для какого действия?

Текущая страница AFRINIC о защите данных WHOIS называет CRYPT-PW и MD5-PW устаревшими. В ней сказано, что эти методы нельзя использовать в новых объектах или будущих обновлениях; рекомендуется перейти на BCRYPT-PW. Рядом следует оговорка: существующие объекты, защищённые старыми методами, «пока» могут по-прежнему использовать их для аутентификации. Страница утилит WHOIS повторяет эту формулу.

Формула не называет операцию. Создание mntner, замена его собственного auth: и изменение другого защищённого им объекта могут иметь разные правила. Веб, почта, API и процедура восстановления через поддержку тоже могут различаться. Без действия, канала и версии узкое исключение выглядит как универсальная возможность.

Здесь важна ещё одна норма из документации. Если у mntner несколько строк auth:, для обновления достаточно соответствовать любой из них. Работает логическое ИЛИ. Добавление сильного метода само по себе не удаляет старую ветвь. Для 60 смешанных объектов необходимо знать, исполняется ли она. Для 1 285 объектов без современной альтернативы возникает обратная задача: если ветвь уже отключена, каким способом законный управляющий заменит её?

Официальное сообщение от 2 июля 2021 года звучало определённее. После инцидента с массовым извлечением данных WHOIS AFRINIC сообщила об обновлении движка и о том, что слабые механизмы аутентификации больше не поддерживаются. Нынешнее руководство по IRR перечисляет BCRYPT-PW и PGP в процессе создания маршрутных объектов. Но описание этого процесса нельзя превратить в карту всех операций WHOIS.

Тексты могут быть совместимы, если говорят о разных границах. Сообщение 2021 года могло означать запрет новых слабых секретов. Нынешнее «пока» может относиться только к самозамене. «Будущее обновление» может означать правку самого Maintainer, а не любого объекта под его защитой. Все версии логичны; ни одна не выбрана и не привязана к работающему релизу публично.

Заголовок Last-Modified в HTTP этого не исправляет. Он относится к метаданным полученного ответа, но не удостоверяет дату редакционной проверки каждой фразы и не называет сборку в продакшене. Документ описывает правило; код принимает решение.

Сохранение доступа — наиболее сильная защита перехода

Механическое отключение способно лишить законного владельца возможности исправить запись. Сотрудники уходят, ключи теряются, ролевые ящики закрываются, организации реорганизуются. Если последний путь исчезнет раньше, чем будет подтверждён новый контроль, криптографическая чистота обернётся снижением точности реестра.

Поэтому узкий миграционный режим может быть хорошей инженерией. Старый метод разрешает только заменить самого себя. Либо поддержка проводит дополнительную проверку. Либо метка остаётся видимой как элемент очереди, но движок отклоняет её во всех операциях. Наконец, техническая возможность может быть полностью закрыта, а восстановление перенесено в административный процесс.

У каждого варианта есть оправдание: не допустить блокировки, убрать слабую альтернативу, сохранить проверяемость незавершённой работы. Дамп не говорит, какой вариант реализован. Самая доброжелательная интерпретация для AFRINIC — наличие ограниченного перехода, а не наличие 1 345 работающих старых секретов.

Такую защиту следует изложить до претензии. Но она становится контролем лишь после указания границ. Какая операция разрешена? Через какой канал? В каком релизе? С какой дополнительной проверкой? Кто отвечает за миграцию и каково условие завершения? Слово «пока» без этих полей не имеет срока.

Для ответа не нужен перечень объектов. Нужно описание решения, которым управляет сама registry.

У одного числа три несовместимых смысла

Если старые методы полностью инертны, 1 345 — показатель долга по описанию и завершению миграции. Тогда надо безопасно удалить вводящие в заблуждение строки, восстановить контроль там, где нет альтернативы, и показать сокращение агрегата. Называть его количеством уязвимых учётных записей нельзя.

Если методы действуют только для миграции, они образуют шлюз. Следует указать разрешённую самозамену, канал, дополнительную проверку и конечное условие. Ограниченное исключение не должно выглядеть как обычная авторизация остальных изменений.

Если они всё ещё дают более широкие права, правило ИЛИ делает старую ветвь существенной. В 60 смешанных объектах современный метод не отменяет прежний. Для 1 285 объектов только со старыми метками придётся одновременно усилить защиту и не разрушить законный контроль.

Зафиксированные источники не выбирают сценарий. Дамп показывает хранение, страницы — формулировки, но ни то ни другое не является результатом конкретной операции. Считать третий сценарий доказанным — значит выдать перепись методов за тест уязвимости. Объявить доказанным первый — значит заменить работу кода текстом.

Проверка без секретов и пользовательских объектов

AFRINIC может завести собственные контрольные mntner. Для каждого класса метода достаточно раздельно проверить создание Maintainer, замену его аутентификации и изменение другого защищённого объекта. Публичный результат включает принятие или класс отказа, канал, время и версию WHOIS. Секрет, имя тестового объекта и пригодные для атаки детали не публикуются.

Минимальная строка матрицы выглядит так: сохранённое состояние, операция, канал, версия, результат. Если веб, почта или API ведут себя по-разному, различие должно быть явным. После изменения аутентификационного кода матрица повторяется, а прежняя версия помечается как заменённая.

Рядом нужна агрегированная история миграции. Исходная точка этой копии: 1 285 объектов только со старыми методами, 60 смешанных и 26 861 только с неустаревшими. Каждое следующее измерение получает время, хеш дампа и цепочку исправлений. Тогда сокращение остатка остаётся фактом хранения и не выдаётся автоматически за снижение исполняемого риска.

Организационная часть записи называет ответственного, маршрут поддержки, целевое состояние, крайний срок или дату пересмотра. Новая запись прямо заменяет старую. Исправление не стирает прежнее значение, а сохраняет его с причиной. Сообщение 2021 года и нынешняя справка становятся этапами истории, а не двумя одновременными версиями настоящего.

Такая запись намеренно узка. Она не подтверждает права на номерные ресурсы, достоверность контактов или законность отдельного обновления. Она отвечает только на один вопрос: какая операционная возможность сегодня соответствует сохранённому классу метода?

Чего наблюдение не устанавливает

Не установлен ни успешный вход, ни попытка обновления, ни известный пароль, ни доступный ключ, ни эксплуатация. По агрегату нельзя судить о причинах сохранения строки в конкретной организации. Публикация имён, хешей или идентификаторов ключей не усилила бы вывод и создала бы лишний риск.

Это также не общая оценка IRR AFRINIC, маршрутных данных, свежести контактов, управления или институциональной безопасности. Устаревшие route-объекты, рекурсивные множества, зеркала и споры о ресурсах имеют другие механизмы и требуют других доказательств. Объединение под словом «хрупкость» скрыло бы точный контроль, который здесь можно улучшить.

Надёжная граница скромна: публичный объект показывает название метода; официальные тексты описывают его вывод и временное использование; исполняемый код решает судьбу операции. Версионная, агрегированная и приватная запись может связать три слоя без проверки чужой учётной записи.

Источники

  1. AFRINIC, защита данных в базе WHOIS
  2. AFRINIC, утилиты WHOIS
  3. Список объявлений AFRINIC, сообщение об инциденте массового извлечения WHOIS от 2 июля 2021 года
  4. AFRINIC, руководство по Internet Routing Registry
  5. Официальный публичный дамп базы WHOIS AFRINIC