Кратко

  • Снимок RIPE RIS на 8 октября, 00:00 UTC, содержит 91 IPv4-префикс с origin AS24940; страница rpki-client создана в тот же день в 02:35:34 UTC.
  • Сопоставление нашло допускающий маршрут VRP того же origin для 63 префиксов; в 49 случаях хотя бы одна максимальная длина превышает длину наблюдаемого маршрута. Это счёт маршрутов, а не уникальных объектов ROA.
  • Routinator по-прежнему возвращает invalid_length для тестовых /24 в трёх суженных префиксах и valid для тестового /24 внутри 78.46.0.0/15. Это не доказывает реальное объявление, передачу трафика или универсальную фильтрацию ROV.

Маршрут — единица аудита

Снимки получены из разных систем с разницей в 2 часа 35 минут: RIS на 00:00 UTC и страница rpki-client, созданная в 02:35:34 UTC. В ней указано 73 IPv4 VRP-префикса AS24940; 53 разрешают префиксы точнее указанного, включая 52 записи с пределом /24 и одну запись /24, допускающую /32. Сопоставление покрытия, origin и максимальной длины показывает, что для 63 из 91 маршрута есть VRP того же origin, допускающий длину маршрута; в 49 случаях максимальная длина шире маршрута, увиденного RIS. Эти 49 — маршрутные префиксы, а не 49 уникальных объектов ROA.

Для оставшихся 28 маршрутов такое сопоставление не нашло разрешение AS24940, допускающее их длину; без проверки каждого префикса в выровненный момент нельзя определить, имеют ли они статус unknown, invalid_asn или invalid_length. Число 50 у Madory относится к более раннему измерению с другой методикой; разница не доказывает ни рост, ни сокращение.

Проверка маршрутов 8 октября дала для AS24940 компании Hetzner Online два разных результата. Текущая ROA 162.55.0.0/16 ограничена длиной /16, поэтому Routinator помечает тестовый 162.55.80.0/24 как invalid_length. Отдельная ROA 78.46.0.0/15 всё ещё допускает длину /24, и тестовый 78.46.0.0/24 остаётся valid. Интерфейс network-info RIPEstat также сейчас связывает адрес из второго диапазона с маршрутом /15, исходящим от AS24940.

Первый префикс был частью августовского BGP-захвата, нацеленного на Softaculous — компанию, стоящую за сервисом обновления Virtualizor. В гостевом материале APNIC Blog от 22 сентября интернет-аналитик Doug Madory сообщил, что Hetzner ограничила максимальную длину ROA для 162.55.0.0/16 значением /16. Он также указал на два других изменения: для 213.133.96.0/19 и 213.239.192.0/18 максимальную длину сократили с /24 до соответствующих /19 и /18.

Текущие тесты Routinator согласуются с этими тремя изменениями. Гипотетический /24 внутри каждого из указанных префиксов получает invalid_length, поскольку максимальная длина теперь равна /16, /19 и /18. Это результаты проверки, а не утверждение, что такие /24 действительно объявлялись. Они показывают, как нынешние ROA обработали бы соответствующее объявление с AS24940 в качестве origin.

Эта граница определяет вывод о безопасности. Проверка RPKI origin validation сопоставляет объявленный префикс и ASN происхождения с опубликованными ROA. Она не удостоверяет каждый переход в AS_PATH и не подтверждает доброкачественность маршрута. Большая максимальная длина может позволить более специфичному маршруту пройти проверку origin, если он предъявляет разрешённый ASN. Поэтому valid означает соответствие ROA, а не доверие к маршруту.

Три изменения всё же являются существенной мерой контроля: они меняют то, какие объявления валидатор принимает для этих блоков. Но исправление трёх префиксов не доказывает, что все активные маршруты имеют столь же узкие разрешения. Проверять следует полное соответствие маршрутов и ROA с указанием исключений и времени, а не только количество видимых исправлений.

Источники