Кратко

  • Текущая страница сертификации ресурсов AFRINIC напрямую ссылается на 48-страничное заявление о практике сертификации RPKI, версию 3.0 от мая 2020 года.
  • Раздел V.8 утверждает, что IANA предоставила AFRINIC исключительные полномочия в отношении IP-адресов и номеров AS в «Азиатско-Тихоокеанском регионе». Страницы AFRINIC и IANA относят ее зону обслуживания к Африке и части Индийского океана.
  • В действующем CPS APNIC есть почти такая же конструкция из трех предложений, где APNIC правильно связана с Азиатско-Тихоокеанским регионом. Сходство не устанавливает направление копирования или автора ошибки.
  • Это дефект публичного контрольного документа, а не доказательство ошибочного сертификата, ROA, распределения, якоря доверия, результата валидатора, маршрута или сбоя услуги.

Действующим документ делает нынешняя ссылка

Дата 2020 года сама по себе могла бы указывать на архив. Однако статус определяется тем, куда организация направляет читателя сейчас. На странице Resource Certification AFRINIC размещает среди политик ссылку Certificate Practice Statement (CPS). Она без отметки об архиве, проекте или отмене ведет на CPS.

Зафиксированный для исследования файл состоит из 48 страниц и занимает 195 830 байт. Его SHA-256 — 2770e175edbd611c798d0036229a05f3e830843dc4ee202e35e5e944db91d5f0. На обложке указаны название AFRINIC Certification Practice Statement for the Resource PKI, версия 3.0 и май 2020 года. В истории документа перечислены версия 1.0 от января 2011-го и версия 2.0 от марта 2015-го.

Несоответствие находится на странице 36, в разделе V.8 CA or RA termination. Первый абзац сообщает, что IANA предоставила AFRINIC исключительные полномочия по управлению распределением адресного пространства и номеров AS в «the Asia-Pacific region». Следующее предложение связывает с этими полномочиями создание AFRINIC своей RPKI. Последнее говорит, что положений о прекращении и передаче функции CA другой организации нет.

Страница была не только извлечена как текст, но и отрисована как изображение и просмотрена. Название региона не возникло из-за OCR, разрыва колонок или поискового индекса. Оно присутствует в обычной верстке рядом с названием AFRINIC.

Место ошибки существенно. V.8 не является подписью или справочным адресом: раздел объясняет институциональное основание CA и публичное положение о ее прекращении. География служит частью утверждения о полномочиях.

Собственные страницы AFRINIC дают правильный ответ

Чтобы установить регион, не нужно анализировать реестр выдач. Страница об AFRINIC называет ее региональным интернет-регистратором для Африки и региона Индийского океана. Страница зоны обслуживания делит ее на Северную, Западную, Центральную, Восточную и Южную Африку, а также Индийский океан.

IANA публикует то же распределение. В справке о пяти RIR AFRINIC соответствует Африке и части Индийского океана, а APNIC — Азии и Тихоокеанскому региону. Отчет IANA о признании AFRINIC в 2005 году перечисляет африканскую и островную зону и документирует переход к пятому RIR.

Таким образом, речь не идет о споре между двумя возможными границами. Доказан более узкий факт: CPS, на который AFRINIC ссылается сегодня, сочетает в V.8 ее название с регионом другого регистратора.

Заголовки HTTP тоже следует трактовать узко. HTML-страница при получении вернула Last-Modified от 20 августа 2026 года, а PDF — от 28 мая 2020-го. Эти даты показывают, что заявили серверы о переданных файлах. Они не доказывают, что в августе редактор перечитал все ссылки и пункты. Общая пересборка сайта или миграция способны обновить дату HTML без повторного утверждения CPS.

APNIC показывает правильную пару, но не происхождение текста

Ближайший контрольный пример — действующий CPS APNIC. Его раздел 5.8 строится почти так же: полномочия IANA над адресами и номерами AS, создание RPKI для своего региона, отсутствие положений о передаче функции CA другой организации.

В версии APNIC название и регион согласованы: APNIC относится к Азиатско-Тихоокеанскому региону. С текстом AFRINIC совпадают не только отдельные слова, но порядок и роль трех предложений.

Это делает унаследованный текст или общую заготовку разумной рабочей гипотезой. Но источники не содержат истории правок, авторских комментариев или журнала согласований. Они не устанавливают, какой документ был первым, в каком направлении переносили текст и кто пропустил замену. Обвинение в копировании выходило бы за пределы доказательств.

Сравнение все равно полезно. Оно дает читателю две проверяемые официальные пары: APNIC — Азия и Тихий океан; AFRINIC — Африка и Индийский океан. Оно же показывает риск массовой замены. Исправить регион и решить судьбу соседнего предложения о переходе CA — два разных решения.

Ошибка в CPS не превращается в состояние маршрута

Документы RPKI расположены рядом с операционной инфраструктурой доверия, но не являются ее объектами. RFC 6484 описывает связь между политикой сертификатов RPKI и заявлением о практике каждой CA. CPS рассказывает, как удостоверяющий центр намерен реализовывать политику. Это значимое свидетельство для управления, подписчиков и полагающихся сторон. Но это не сертификат ресурсов, не ROA, не манифест, не CRL, не TAL и не вывод валидатора.

В замороженных источниках нет сертификата AFRINIC с меткой Азиатско-Тихоокеанского региона. Нет данных, что адрес или ASN были выделены туда из-за V.8 либо что APNIC утратила или разделила полномочия. Ничто не показывает замену ключа якоря доверия, отказ объекта репозитория или изменение набора валидированных payload.

Отсутствуют и измерения, связывающие абзац с переходом префикса в Invalid, NotFound или недоступное состояние. Нет доказанного отклонения анонса, компрометации ключа или учетной записи, а также отключения сервиса.

Последнее предложение требует такого же ограничения. Публичный CPS говорит об отсутствии положений для прекращения и перехода функции CA к другой организации. Из этого не следует отсутствие внутреннего плана непрерывности, аварийного восстановления или законных полномочий на чрезвычайный случай. Для этих выводов нужны другие записи.

Ограниченный вывод не делает ошибку безвредной. Именно CPS предлагается как описание практики CA. Если в связке «организация — полномочия — регион» есть явный сбой, внешняя сторона не знает, унаследовано ли одно слово, не проверен ли весь абзац или нарушен более широкий контроль версий. Соразмерный ответ — доказуемая правка, а не вымышленная маршрутная авария и не молчание.

Исправлению нужна квитанция, а не перезапись

AFRINIC может заменить Asia-Pacific на Africa and the Indian Ocean и загрузить PDF по прежнему адресу. Видимая ошибка исчезнет. Вместе с ней исчезнут ответы на вопросы: какая версия внесла изменение, кто его санкционировал, когда оно было одобрено и стало действовать, какие байты заменены и пересмотрено ли соседнее предложение.

Публичная квитанция об исправлении не требует раскрывать ключи или внутренние схемы. В ней должны быть постоянный идентификатор документа, новый номер версии и пункт V.8; старый и новый тексты; SHA-256 прежнего и замещающего PDF. Каждое изменение следует классифицировать как редакционное исправление, уточнение или изменение практики.

Нужны роль утвердившего лица и основание его полномочий, а также отдельные отметки времени согласования, публикации и вступления в силу. Для предложения о переходе CA должен быть указан исход: сохранено, переработано, заменено или регулируется другим публично связанным актом.

Версия 3.0 должна остаться по неизменяемому историческому URL. Долгоживущая ссылка на текущий CPS должна выдавать именно заявленные новые байты. Уведомление или журнал изменений должен соединить оба файла. Независимая повторная проверка затем сопоставит HTTP-статус, перенаправления, ETag, длину, SHA-256, обложку и V.8.

Если сертификаты, ключи, объекты репозитория и сервисы не менялись, уместна граница document correction only. Она точнее общей фразы «RPKI не затронута», поскольку показывает, какие поверхности действительно проверили.

Что нельзя узнать из года и сходства

Дата 2020 года не указывает, когда неверный регион появился впервые. Для ответа нужно получить и аутентифицировать версии 1.0 и 2.0. Внутренняя проверка могла обнаружить проблему, а более новый документ — существовать без обновления публичной ссылки. Зафиксировано только нынешнее публичное направление к версии 3.0.

Источники не называют автора отдельной фразы. Подготовка CPS, юридическое согласование, эксплуатация CA и веб-публикация могут принадлежать разным подразделениям. Должность в структуре не доказывает авторство. Новая запись должна назвать роль, отвечающую за исправление сейчас, а не назначать виновного задним числом.

Корректность названия APNIC также не делает ее положение о переходе CA образцом политики для AFRINIC. Это текстовое сопоставление, а не оценка преемственности. Материальное изменение такой практики будет отдельным событием управления со своим основанием и датой.

Закрытие, которое можно воспроизвести

Итоговая проверка должна быть доступна любому читателю: открыть текущую ссылку, определить версию, сверить хеш, прочитать исправленный регион, увидеть решение по переходному предложению и получить замененный файл.

Так AFRINIC может признать дефект документа, не приписывая себе недоказанный операционный сбой. Полагающиеся стороны получат публичное подтверждение без доступа к закрытым операционным материалам. Историческая версия сохранит ответ на вопрос, какой текст был опубликован до исправления.

Стабильный URL создает ощущение актуальности, даже когда байты стареют. Устойчивое решение поэтому узкое: исправить регион, отдельно решить остальную часть V.8, сохранить версию 3.0 и опубликовать полномочия, время и эффект замены.

Источники