Кратко

  • Подпись PKCS#10 доказывает владение ключом запроса; BPKI аутентифицирует представителя и связывает запрос с записью участника AFRINIC.
  • Сертификат выдается только для набора, входящего в зарегистрированные ресурсы участника, но публично не удостоверяет организацию или человека.
  • Действительный ROA разрешает ASN объявлять префиксы; он не доказывает текущее объявление, достижимость, безопасность пути или принятие маршрута сетью.
  • Квитанция происхождения могла бы сохранять версии, хеши, решения и время без публикации удостоверений, частных контактов и учетных данных.

Непонятное имя может быть правильным

Certification Practice Statement AFRINIC допускает имя субъекта, созданное издателем и не имеющее понятного человеку смысла. Сертификаты предназначены для авторизации в интересах безопасности маршрутизации, а не для идентификации. За исключением реестров, они не удостоверяют организационную личность держателя ресурсов и не удостоверяют физическое лицо.

Страница Resource Certification проводит ту же границу: сертификаты ресурсов не являются сертификатами личности. Они позволяют специальным приложениям проверять право использования IP-адресов и номеров AS. Полагающейся стороне нужна связь ключа с ресурсами, а не документы из обслуживания участника.

Семь разных утверждений за словом «действителен»

Первое — владение ключом. Запрос PKCS#10 подписывается соответствующим закрытым ключом. Это не назначает представителя и не дает ресурсов.

Второе — аутентификация представителя. Запросить RPKI-сертификат может только обладатель сертификата BPKI AFRINIC. Третье — связь BPKI с базой участников, где AFRINIC хранит сведения о распределении ресурсов.

Четвертое — сравнение множеств: запрос удовлетворяется, только если ресурсы входят в зарегистрированный набор. Пятое — действительность цепочки. RFC 6487 требует расширения IP или AS и охвата ресурсов дочернего сертификата ресурсами издателя.

Шестое — ROA. RFC 9582 определяет разрешение одному ASN быть источником маршрутов к префиксам с заданной максимальной длиной. Седьмое — наблюдение. RFC 6811 выводит origin ASN из принятого BGP-маршрута и сравнивает с проверенными данными ROA.

Этапы не заменяют друг друга. Владение ключом не доказывает роль. BPKI не расширяет ресурсы. Сертификат не выбирает ASN. ROA ничего не объявляет. Статус Valid не подтверждает весь AS_PATH и не заставляет оператора принять маршрут.

BPKI соединяет публичный объект с закрытой записью

Отсутствие названия компании не доказывает отсутствие проверок. CPS помещает представителя и запрос в BPKI, ресурсы — в запись участника, а границу полномочий — в проверку подмножества. Публичный RPKI-сертификат сообщает только результат, нужный валидатору.

RFC 6480 говорит, что RPKI предоставляет авторизацию, а не аутентификацию, и не использует DN как описательное утверждение личности. Для издателя имя может оставаться ссылкой на внутреннюю запись.

Сама запись — операционный учет AFRINIC. Она поддерживает решение о выдаче, но не превращается в судебное решение, корпоративную доверенность или юридический титул собственности.

ROA разрешает, BGP фиксирует событие

RFC 9582 подчеркивает: PKI для проверки ROA предоставляет авторизацию, но не аутентификацию и не неотказуемость. Действительный ROA разрешает отношение ASN–префикс. Факт объявления требует BGP-наблюдения с источником и временем.

Valid, Invalid и NotFound — результаты сравнения маршрута с VRP и вход для локальной политики. Они не проверяют весь путь. TAL AFRINIC задает вход к якорю доверия, но воспроизводимость также требует состояния репозитория, манифеста, CRL, ROA и образца BGP.

Квитанция авторизации без раскрытия личности

Редакционное предложение — типизированная квитанция. Со стороны реестра: время запроса, отпечаток ключа, несекретная ссылка BPKI или роль, итог аутентификации, версия или хеш записи участника, снимок ресурсов, запрос, результат подмножества, серийный номер, SKI, расширения и срок сертификата.

Со стороны проверки: точка публикации, манифест, CRL, TAL и время. Для ROA — EE-сертификат, ASN, префиксы, maxLength, хеш и результат. Для происхождения — источник BGP, время, точка наблюдения, префикс, увиденный ASN и сравнение.

Полная версия остается у участника; публично достаточно ссылок и хешей. Аудитору не нужны сканы документов, частные контакты или секреты. Исправление ссылается на замененную версию. Квитанция прямо говорит о границах: не титул, не доказательство текущего объявления, не гарантия пути и не глобальная видимость.

Источники