Полная хронология активного дела AFRINIC.
Управление интернетом / Досье
Досье
Раздел «Досье» отслеживает институты, политические процессы, разработку стандартов, работу регистратур, споры об ответственности и практическое исполнение решений, влияющих на интернет-инфраструктуру. BTW.MEDIA объединяет открытые публикации, аналитику по источникам, институциональный контекст и длительное наблюдение за отдельными делами.
Институциональный кризисПравовой и политический конфликтРиски выборов и смены контроля
Карта рисков для легитимности и непрерывности работы института.
Хронология и анализ рисков по первичным источникам.
Материалы используются при планировании непрерывности и политических рисков.
Последние материалы
Главные материалы: Досье
746 статей
Досье
Пакет был подлинным, а часы — всё равно неверными: NTS и право управлять измерением времени
Два сервера времени отвечают одной машине. Оба ответа проходят проверку Network Time Security, но их смещения различаются на 800 миллисекунд. Криптография сработала. Нерешённым осталось то, чего она не уполномочена решать: какое измерение, если какое-либо, может управлять…
Досье
Маршрут, вернувшийся с собственным ASN
Аналитическая справка о Маршрут, вернувшийся с собственным ASN объясняет событие, доступные открытые подтверждения, участвующие организации, региональный контекст, рыночные риски и возможные последствия для инфраструктуры. В категории Аналитика: Досье этот сигнал связан с работой…
Досье
Идентификатор в DNS изменился, но старое правило всё ещё задерживало почту: полномочия кэша MTA-STS
В 09:00 получатель добавил резервный MX в политику HTTPS и изменил `id` в TXT-записи `_mta-sts`. Один отправитель получил новую версию. Второй не смог обновиться и всё ещё хранил вчерашнюю политику `enforce`, срок которой не истёк. Оба увидели один резервный MX, но использовать…
Досье
Два маршрута — не две равные доли: границы BGP Multipath
Два next hop в таблице пересылки ещё не означают удвоенную ёмкость или деление трафика пополам. После решения BGP управление последовательно переходит к рекурсии, аппаратной группе, хешу и реальному набору потоков.
Досье
В заголовке было «DKIM pass», но не было сказано, кто проверял: граница доверия Authentication-Results
Фильтр увидел две одинаковые строки `Authentication-Results: mx.example; dkim=pass`. Одну отправитель вложил до SMTP-сеанса, вторую получатель создал после проверки подписи. Синтаксис не различал их. Полномочия определялись тем, какую строку удалил пограничный MTA и какой…
Досье
Сертификат тот же, сервис другой: границы полномочий DANE TLSA
На двух портах сервер показал один и тот же сертификат. Первая проверка DANE завершилась успешно, вторая — отказом. Оператор искал рассинхронизацию, хотя система работала правильно: подписанный DNS связывал ключ только с одним именем сервиса.
Досье
LOCAL_PREF: чей приоритет выбирает выход из сети
Маршрут может стать предпочтительным, не став ни короче, ни надежнее. Атрибут BGP LOCAL_PREF превращает намерение оператора во внутренний порядок выбора. Соседняя сеть обычно не видит решающего числа, поэтому доказательства правильного решения приходится искать внутри: от правила…
Досье
Сертификаты не истекли: рубеж Chrome превратил доверие к Entrust в операционную лицензию
Дата окончания внутри TLS-сертификата перестала полностью определять результат. Значение имели момент появления сертификата в журнале прозрачности и готовность браузера по-прежнему доверять его центру сертификации по умолчанию.
Досье
Номер тот же, смысл другой: что доказывает область наблюдения IPFIX
Экспортёр восстановил соединение, и коллектор снова увидел номер 256. Старая расстановка полей ещё лежит в памяти. Если применить её к новым байтам, могут получиться вполне убедительные числа — только подписи к ним будут неверными. Для такой ошибки не нужен оборванный график.…
Досье
TXT-запись была верной. Поставщик всё равно не был доменом: ACME DNS-01 и полномочия делегированной проверки
Поставщика удалили из приложения, CI, учётных записей сотрудников и хранилища сертификатов. Но одно полномочие пережило отключение: `_acme-challenge` по-прежнему был делегирован в его зону проверки. Когда ACME-аккаунт поставщика запросил новый wildcard-сертификат, появился…
Досье
Лишний маршрут, потерянная сессия: как управлять BGP maximum-prefix
Ограничение maximum-prefix защищает конечные ресурсы маршрутизатора от неожиданного объёма маршрутов. Но при жёстком действии оно не просто отклоняет излишек: оно закрывает BGP-сессию и лишает источника все ранее полученные через неё маршруты. Поэтому число должно быть связано с…
Досье
Ответ DNS был защищён. Но выбор узла остался вопросом политики: SSHFP и пределы полномочий отпечатка
Оператор ввёл `ssh db`, а полученный из сети поисковый суффикс развернул короткое имя в другой FQDN. Запись SSHFP для этого имени имела статус DNSSEC Secure и совпала с ключом сервера. Все криптографические проверки были корректны — для узла, выбранного клиентом, но не для базы…
Досье
Подпись прошла проверку. Но отправитель всё ещё не был подписантом: DKIM и границы полномочий доменной подписи
В поле From был показан домен `bank.example`, письмо требовало срочно оплатить счёт, а DKIM показывал успешную проверку. Подпись действительно была верной — только для `receipt-alert.example`, домена злоумышленника. Криптографический результат незаметно наделили полномочиями…
Досье
Дайджест совпал, но отправитель остался неизвестен: `Content-Digest` и полномочия контрольной суммы HTTP
Файл политики пришёл без единого повреждённого бита. Он также с самого начала был вредоносным и содержал безупречно рассчитанный `Content-Digest`. Сервис показал «проверено» и применил изменения. Атакующий не взламывал хеш-функцию — он сам выбрал и тело, и дайджест.
Досье
Заголовок назвал клиента, но сетевой сосед этого не подтвердил: HTTP `Forwarded` и полномочия цепочки прокси
По схеме origin был доступен только через два обратных прокси. На деле сохранился прямой маршрут. Запрос пришёл по нему с разрешённым административным адресом в начале `X-Forwarded-For` и прошёл IP-проверку. Парсер верно прочёл корректный адрес. Ошибка состояла в том, что…
Досье
Имя выбрало контекст TLS, но не дало полномочий: граница SNI как подсказки маршрута
Шлюз увидел `tenant-a.example`, выбрал сертификат арендатора A и завершил TLS 1.3. Затем интеграция записала метку выбранного контекста в поле прикладного субъекта. Клиент не предъявлял никаких полномочий: его собственное указание пункта назначения стало его удостоверением.
Досье
Подпись сертификата прошла, а рукопожатие — нет: TLS 1.3 `Finished` и полномочие transcript
Панель уже засчитала защищённую сессию после успешного CertificateVerify. Следующее сообщение, `Finished`, оказалось неверным, и клиент завершил соединение с `decrypt_error`. Ключ сертификата доказал владение. Ошиблась система, превратив этот факт в ещё не наступившее завершение.
Досье
На внешнем участке был HTTP/2, на исходном — HTTP/1.1: полномочия TLS ALPN ограничены соединением
Браузер предложил `h2` и `http/1.1`. Пограничный узел выбрал `h2`, завершил TLS и принял корректные кадры HTTP/2. После этого каталог назвал исходный сервер «нативным HTTP/2». Между фактами потерялось завершение TLS: к исходному серверу прокси открыл другое соединение и отправлял…
Досье
УЦ был в списке, но личность не получила права: граница полномочий TLS `certificate_authorities`
Клиент выбрал сертификат, поскольку имя его издателя присутствовало в запросе сервера. Сервер успешно построил и проверил цепочку. Затем приложение отклонило операцию: субъект не был допущен в нужный контур арендатора. Криптография сработала. Ошибка возникла там, где подсказке…
Досье
Подпись верна, а статус уже отстал: границы доверия к OCSP stapling
Сертификат отозвали в 10:07. В 10:11 сервер всё ещё прикладывал корректно подписанный ответ OCSP со статусом `good` и `nextUpdate` через несколько часов. Подделки не было: подлинное утверждение оставалось в заявленном интервале, но ещё не знало о новом событии. Ошибка появилась…
Доступ для участников
Закрытая аналитика профиля
Войдите, чтобы открыть полные профили и углублённые разделы.
Брифинг Стратегического сообщества
Вступите и войдите, чтобы открыть стратегические обзоры.
Вступить в Стратегическое сообществоОбзор Альянса лидеров
Для проверенных владельцев IP-активов и руководителей. Войдите, чтобы открыть обзоры Альянса.
Вступить в Альянс лидеровКарта раздела
Активные досье
Кризис AFRINIC
Многолетний правовой кризис и кризис управления, влияющий на подотчётность RIR во всём мире.
Открыть досье AFRINIC