Кратко

  • ARIN выделила Virginia Tech 17 350 долларов на панель операционного здоровья RPKI, основанную на заявленном 14-летнем хранилище из примерно 3,9 млрд наблюдений и 139 ГБ данных Parquet.
  • В описании, предоставленном получателем, соответствие требованиям отзыва составляет от 9% у AFRINIC до более 99% у ARIN с 2023 года; там же говорится о переходе ARIN с 14 на 80 дней в частоте переподписания.
  • Публичная страница не определяет числитель, знаменатель, период и исключения этой метрики. Действующий beta API описывает соседние показатели, но не даёт воспроизводимого пути к двум заголовочным значениям.
  • Каждое сравнение RIR должно включать версионированную квитанцию измерения: вопрос, совокупность, состояние валидации, покрытие, код, исправления и точный набор результата.

Решение о гранте не является результатом рецензирования

В объявлении ARIN названы Virginia Tech, проект и сумма 17 350 долларов. Расширенная страница получателей уточняет, что описания проектов предоставлены самими получателями. Это сохраняет важное разделение: ARIN выбрала финансирование; команда выполнила измерение; анализ пока проходит рассмотрение в IMC 2026.

Команда описывает хранилище объектов всех пяти RIR примерно с 2012 года: около 3,9 млрд наблюдений в 139 ГБ Apache Parquet. Длинный ряд способен показать операционные переломы, которые не видны в одном снимке. Но наблюдение объекта не равно независимой единице. Один и тот же файл, увиденный ежедневно, создаёт много строк; активный CA может получить больший вес только благодаря частоте публикации.

Далее текст сообщает, что окна действительности CRL различаются в семь раз, частота переподписания — в шестнадцать, а «соответствие требованиям отзыва» — от 9% у AFRINIC до более 99% у ARIN с 2023 года. Для ARIN названы переходы с 14 на 80 дней, с десяти лет на 825 дней срока CA-сертификата и с менее 5% на более 99% соответствия.

Эти выводы могут оказаться важными. Однако «на рассмотрении» не означает ни принятия, ни отклонения. Грант не заменяет рецензию, а ARIN не заявляет, что воспроизвела вычисление. Публичная граница доказательства пока заканчивается на атрибутированном результате получателя.

Под одним названием оказались разные часы

Доступный RPKI Warehouse называет себя beta-наблюдателем с ежедневными снимками пяти RIR и предупреждает, что данные и функции меняются. Нельзя считать эту нынешнюю поверхность окончательной поставкой по новому гранту.

Тем не менее схема OpenAPI показывает, почему название метрики недостаточно. Частота подписания там определяется как интервал между последовательными this_update CRL для каждого CA, идентифицированного по AKI. 25 сентября агрегированный ответ ARIN показывал медиану 24 часа.

Это не опровержение 80 дней. Значения могут относиться к разным объектам, эпохам, группам CA или способам агрегации. API может измерять текущий выпуск CRL, а описание — переподписание другого продукта. Достоверный вывод уже: выражение «частота переподписания» не сохраняет идентичность расчёта.

Определение устаревания CRL уже: учитываются живые сейчас CRL, а задержка равна текущему времени минус next_update. Это понятная операционная формула, но не формула соответствия требованиям отзыва. В проверенной публичной схеме не было одноимённого endpoint или достаточных данных для воспроизведения 9% и 99%.

Наличие в репозитории не равно валидности для RP

RFC 6487 задаёт профиль ресурсных сертификатов и CRL. CA выпускает список, охватывающий его сертификаты, а relying party проверяет его при валидации пути. Стандарт описывает объекты и проверки, но не единый сравнительный рейтинг регионов.

RFC 9286 помещает CRL в manifest точки публикации. Manifest перечисляет объекты, содержит thisUpdate и nextUpdate и помогает обнаружить удаление или подмену старой версией. После неудачного получения RP может временно сохранить ранее успешный cache.

Поэтому CRL может присутствовать в снимке и не войти в валидный набор relying party. Она может быть перечислена, но выйти из окна; быть доступной одному сборщику и недоступной другому. Метрика должна сообщать, считает ли она присутствие, актуальность, целостность manifest или итог конкретной RP-реализации.

Единица меняет вес. Подсчёт снимков усиливает часто наблюдаемые CA. Подсчёт по CA уравнивает структуры разного масштаба. Подсчёт событий требует определить момент возникновения обязанности. Правило отнесения размещённых и делегированных CA к RIR тоже влияет на региональную линию.

Знаменатель распределяет ответственность

Соответствие можно понимать как появление заменённого сертификата в следующем CRL. Можно проверять присутствие всех отозванных, но не истёкших сертификатов в текущем списке. Можно измерять выпуск новой CRL в срок после события. Все три теста разумны и дают разные проценты.

Пропуски добавляют выбор. Считать сбой сбора нарушением, неизвестностью или продолжением последнего cache? Когда истёкший сертификат покидает знаменатель? Перезаписывает ли восстановление данных прошлую линию или создаёт новую версию? Новая реализация валидатора способна изменить совокупность без изменения поведения CA.

Разрыв между 9% и более 99% влияет не только на график. Он может направлять доверие, аудит, будущие гранты и репутацию. Читателю нужно отделять эксплуатационное действие от архитектуры CA, покрытия сборщика и правила оценки.

Именно здесь грант может принести наибольшую пользу. Еженедельная общая панель показывает исправление раньше годового отчёта. Но обновление не должно стирать происхождение. Непрерывная линия с незаметно изменившейся совокупностью не измеряет один вопрос.

Квитанция, прикреплённая к баллу

Квитанция начинается с постоянного ID и семантической версии метрики. Она формулирует вопрос, называет объект или событие, профиль RFC, сборщик, снимок и период. Затем указывает единицу, числитель, знаменатель, включения, исключения, дедупликацию и отнесение к RIR.

Она описывает неудачные загрузки, cache, истёкшие объекты, отсутствующие снимки и backfill. Разделяет размещённые и делегированные CA, присутствие и RP-валидность. Версии кода и данных, воспроизводимый запрос, ограничения, журнал исправлений и digest результата замыкают цепь.

Главный экран может остаться простым: «более 99%, RC-2.1, совокупность N, период X» со ссылкой на метод. При неполном сборе лучше показать покрытие, чем выдумать успех или провал.

Версионирование не замораживает beta. Оно позволяет улучшать определение, сохраняя старый смысл. Ценность 14-летнего ряда как раз в способности отличить изменение эксплуатации от смены измерительной линзы.

Источники

  1. ARIN — объявление получателей грантов 2026
  2. ARIN — подробная страница получателей
  3. RPKI Warehouse beta
  4. OpenAPI RPKI Warehouse
  5. Частота подписания ARIN
  6. Устаревание CRL ARIN
  7. Состояние данных RPKI Warehouse
  8. RFC 6487 — профиль ресурсных сертификатов
  9. RFC 9286 — манифесты RPKI