Резюме

  • Резолюция 202201.673 ратифицировала AFPUB-2019-GEN-006-DRAFT03 в январе 2022 года, приняв мандат на то, чтобы собственные системы AFRINIC создавали и публиковали ROA AS0 для адресного пространства, которое относится к нераспределённым и неназначенным категориям, указанным в предложении.
  • «AS0» выражает негативное намерение в отношении источника маршрута, но институциональное действие является утвердительным: отобрать префиксы из авторитетного состояния реестра, разрешить подписание, опубликовать проверяемые объекты, отозвать их до распределения или назначения и исправить ошибки.
  • Валидатор может классифицировать конфликтующий обычный источник как RPKI Invalid, но это технический результат, а не юридическая недействительность. Каждая сеть по-прежнему сама решает, отслеживать ли сигнал, понижать его приоритет, отклонять или игнорировать.
  • Самый сильный довод в пользу сервиса прост: адресное пространство, зафиксированное как неиспользуемое, может привлекать несанкционированные анонсы, и подписанное заявление о том, что обычный источник не ожидается, может уменьшить такую возможность. Его достоверность зависит от точности, узкого охвата, быстрого отзыва и публичной проверяемости.
  • Зафиксированная историческая запись доказывает текст предложения и ратификацию советом директоров. Она не доказывает делегирование, код, использование ключей, публикацию какого-либо производственного объекта, наблюдение валидатора, отклонение маршрута, сбой, потери, ложное срабатывание или измеренный выигрыш в безопасности.
  • Легитимная реализация должна создавать как минимум квитанцию о публикации, связывающую версию политики, снимок реестра, правило вывода, авторизацию подписанта, набор объектов, расположение репозитория, исключения, условие отзыва, срок исправления, историю преемников и явное уведомление о свободе усмотрения оператора.

Действие внутри резолюции

Важный глагол в резолюции 202201.673 — не просторатифицировать. Этоопубликовать. Совет директоров AFRINIC ратифицировал AFPUB-2019-GEN-006-DRAFT03 в январе 2022 года. Названное предложение предписывало AFRINIC создать и опубликовать ROA AS0 RPKI, покрывающие нераспределённое и неназначенное адресное пространство IPv4 и IPv6, администратором которого на тот момент являлся AFRINIC. В операционном смысле совет принял задачу для собственного реестра, ключей сертификации и систем публикации организации.

Эта задача начинается с таблицы, а не с маршрута. AFRINIC должен был бы взять авторитетный снимок реестра, отделить состояния ресурсов, подпадающие под политику, от тех, которые не подпадают, вывести набор покрывающих префиксов, разрешить операцию подписания, создать объекты и поместить их в репозиторий, который могли бы проверять валидаторы. Когда ресурс должен был быть распределён или назначен, покрывающий объект сначала нужно было отозвать и удалить. Если бы реестр или выведенный набор оказались неверными, публикацию нужно было бы исправить.

Слово «негативный» может скрывать суть произошедшего. ROA AS0 сообщает негативное намерение относительно источника: ни одна обычная автономная система не должна анонсировать покрываемое адресное пространство. Однако создание такого заявления является утвердительным действием частного технического сервиса. Кто-то отбирает данные, применяет правило вывода, использует контролируемые ключи, создаёт подписанные объекты и публикует их. Подписанное утверждение затем может распространиться далеко за пределы создавшей его организации. Именно поэтому происхождение и обратимость — не административные дополнения.

Они являются основой доверия к утверждению.

Что сигнал может — и чего не может

Авторизация происхождения маршрута (Route Origin Authorisation) — это подписанная информация, связывающая адресный префикс с ожидаемым поведением источника. Валидатор сравнивает анонс маршрута с соответствующим подписанным материалом, который он может извлечь. Если обычный источник конфликтует с покрывающим ROA AS0, проверка происхождения маршрута может классифицировать такой анонс как RPKI Invalid. Заглавная буква важна, потому что она называет техническое состояние валидации. Она не означает, что маршрут, оператор, держатель или использование являются незаконными.

Публикация также не настраивает маршрутизатор. Сеть, наблюдающая это состояние, может зафиксировать его, расследовать, понизить приоритет маршрута, отклонить его или оставить обработку без изменений. Руководство RFC сохраняет такое локальное политическое решение. Резолюция 202201.673 не вторгалась в независимые сети, и решение сети не действовать на основании сигнала не является нарушением. Последовательность остаётся такой: AFRINIC публикует; валидатор наблюдает и вычисляет; оператор решает.

Благоприятный сценарий безопасности следует излагать без эвфемизмов. Адресное пространство, зафиксированное как нераспределённое или неназначенное, может быть привлекательным для сторон, делающих несанкционированные анонсы. Подписанный объект AS0 может дать сетям проверяемое указание на то, что для покрываемого пространства не ожидается обычный источник. Это может снизить неопределённость и сократить расследования. Это также может сделать некоторые несанкционированные анонсы менее полезными там, где операторы выбирают политику, реагирующую на сигнал.

Но тот же механизм даёт ошибке реестра криптографический усилитель. Если пространство изменило состояние, а покрывающий объект остался, легитимный обычный источник может выглядеть для валидаторов как Invalid. Операторы, а не AFRINIC, понесли бы большую часть непосредственных затрат на проверку и непрерывность. Рассматриваемая запись резолюции не доказывает ни одного такого ложного срабатывания, как не доказывает и выигрыша в безопасности. Суть структурная: потенциальная выгода и потенциальная ошибка возникают из одного и того же пути подписанной публикации.

Узкая институциональная лицензия

AFRINIC — частный технический регистратор и координатор, основанный на членстве. Он может вести информацию реестра и эксплуатировать ограниченные сервисы сертификации. Его совет директоров может обязать эти внутренние системы соблюдать надлежащим образом ограниченное правило публикации. Ничто в ратификации не превращает AFRINIC в законодателя, регулятора, полицию или суд Африки. Консенсус сообщества может рекомендовать техническую практику; он не переносит суверенитет или право собственности. Криптографическая сила не является публичной властью.

Эта граница скорее проясняет, чем ослабляет резолюцию. AFRINIC не нуждался в суверенной власти, чтобы опубликовать заявление о безопасности в отношении реестра, содержащегося в его административных записях. Ему нужны были точные записи, легитимная внутренняя авторизация, дисциплинированное использование ключей, узкое правило и путь исправления. Объект был бы убедительным в той мере, в какой независимые стороны могли бы проверить его происхождение и добровольно решить, как его использовать.

Поэтому исторические состояния необходимо разделять. Предложение было написано. Консенсус предшествовал ратификации. Совет ратифицировал предложение. Делегирование, отбор реестра, вывод, подписание, публикация в репозитории, наблюдение валидатора и реакция маршрутизации — каждое из них было бы более поздним и отдельно доказуемым состоянием. Официальные записи совета и политик устанавливают ратификацию и направление предложения. Они не устанавливают, что какой-либо производственный объект AS0 был позже создан или применён.

Минимальные меры контроля

Мандат на публикацию можно защитить только если слово «неиспользуемое» рассматривается как сокращение, а не как произвольная категория. Операционным входом должны быть точные состояния нераспределённого и неназначенного адресного пространства, определённые политикой, с учётом исключений, резервирований, отложенных изменений и объектов, созданных держателями. Вывод префиксов должен быть детерминированным: два компетентных рецензента, получив одну и ту же версионированную выгрузку реестра и правила, должны получить один и тот же набор.

Авторизацию и подписание следует разделить. Отзыв должен предшествовать распределению или назначению, а не следовать за ними после льготного периода, который оставляет действительного держателя под устаревшим заявлением о негативном источнике. Возвращённые ресурсы должны попадать в набор только после окончательного завершения возврата. Для исправлений нужен срок, ответственный сервис и история преемников, позволяющая наблюдателям видеть, какие объекты заменили какие. Независимое измерение должно отличать публикацию от наблюдения, а наблюдение — от реакции маршрутизации.

Подходящим конечным результатом является квитанция о публикации. Для каждого набора объектов она должна связывать ратифицированную версию политики, снимок реестра, правила вывода, авторизацию подписанта, полученный набор объектов, расположение репозитория, исключения, условие отзыва, срок исправления, историю преемников и уведомление о свободе усмотрения оператора. Такая квитанция позволила бы члену, оператору валидатора или сетевому инженеру проверить, что именно утверждает AFRINIC и почему. Это сохранило бы полезную функцию безопасности, не принимая частного регистратора за суверена, а подписанный сигнал — за наказание.

Источники