Кратко

  • На RIPE 93 RIPE NCC сообщила: некоторые ЦС без ресурсов не видны валидаторам, однако часть их данных осталась в сервисе публикации.
  • Проверяющие стороны скачивают из-за этих остатков дополнительные данные. Очистка продолжается; число объектов и объём трафика не раскрыты.

Исчезнуть из валидатора ещё не значит покинуть сеть. RIPE NCC описала именно такой разрыв в своей системе RPKI. У некоторых центров сертификации больше нет ресурсов, поэтому валидаторы их не показывают. Часть файлов при этом остаётся в сервисе публикации, откуда их продолжают получать проверяющие стороны.

На сессии Routing рабочей группы RIPE 93 28 октября Tim Bruijnzeels прямо сказал о лишних загрузках и незавершённой очистке. Вывод валидатора отвечает на вопрос, какая цепочка полномочий значима. Репозиторий отвечает на другой: какие файлы он всё ещё доставляет. Пустота на первом экране не убирает работу второго.

Условия Publish in Parent определяют репозиторий RIPE NCC как открытое место загрузки сертификатов, списков отзыва и подписанных объектов RPKI. У этого канала есть расход трафика. Остаток, который уже не влияет на видимый результат проверки, всё равно способен занять место в передаче.

Там же Bruijnzeels сообщил, что в сентябре RIPE NCC отозвала 35 неработающих делегированных ЦС по отдельному правилу 90 дней. Он не связал остатки ЦС без ресурсов с этой группой из 35. Отзыв сломанного сертификата и уборка опубликованных файлов требуют разных актов завершения.

Публично не названы ни число таких остатков, ни объём лишней передачи. Опись репозитория и замеры до и после очистки позволили бы оценить цену. Сам факт дополнительных загрузок RIPE NCC уже подтвердила.