Summary

  • В объявлении от 12 августа Richard Jimmerson сообщил о расследовании ошибки RPKI и очереди для новых заявок на ROA. Обновление от 13 августа связало сбой с ошибкой кодирования после обновления HSM и сообщило об исправлении.
  • Разбор ARIN от 26 августа указывает время выпуска — 12 августа, 12:21 — и исправления — 13 августа, 11:36. RIPE Validator и Routinator не видели ошибки; rpki-client и Fort отвергали репозиторий.

В 12:21 12 августа 2020 года ARIN выпустила новую версию системы RPKI. В 12:46 поступил сигнал: rpki-client не может проверить её репозиторий. Испытания с RIPE Validator и Routinator прошли спокойно, зато Fort встал на сторону rpki-client. Одни и те же криптографические объекты получили два несовместимых вердикта.

Jimmerson, главный операционный директор ARIN, объявил решение, которое организация могла выполнить сразу. Новые запросы на Route Origin Authorization будут ждать завершения расследования и ремонта. ROA указывает, какой автономной системе разрешено объявлять IP-префикс. Выпускать дополнительные объекты, пока часть программ отвергает репозиторий, значило бы увеличить объём последующей разборки. Очередь дала заявителям понятный ответ о состоянии услуги.

На следующий день Jimmerson описал поломку точно: два идентификатора алгоритма в подписанном объекте должны совпадать, но один содержал пустой параметр, другой — NULL. Ошибку внесло новое программное обеспечение при обновлении HSM. Исправление уже внесли, хотя некоторые ROA, созданные в промежутке, ещё требовали очистки. Jimmerson назвал Job Snijders, сообщившего о проблеме, и разработчиков OpenBSD, помогавших установить причину.

Позже технический директор Mark Kosters опубликовал хронологию и пообещал испытывать будущие выпуски также с валидаторами на базе OpenSSL. Два успешных теста были настоящими, но охватывали лишь часть читателей репозитория. Решение Jimmerson сдержало новые заявки до того, как ARIN смогла объяснить расхождение и расширить проверку.