Кратко

  • RIPE NCC сообщил, что отозвал сертификаты 35 делегированных центров RPKI, которые не восстановили работу после предупреждений и последнего срока на исправление. Условие — длительная невозможность обнаружить и проверить актуальные манифест и список отзыва сертификатов, а не краткий сбой или отзыв маршрута.
  • В сравнительном обзоре NRO за октябрь 2026 года указаны два региональных порога: 90 дней у RIPE NCC и 60 дней у APNIC. Это не единый мировой стандарт RPKI.
  • Операционный журнал должен фиксировать последнюю успешную проверку, начало отказа, доставку уведомлений, ответ оператора и конечный статус сертификата. Центр можно создать заново, но первоначальный статус сертификата нельзя вернуть.

Тридцать пять отзывов превращают правило в операцию

В сообщении рабочей группе RIPE по маршрутизации от 24 сентября RIPE NCC сообщил, что начал отслеживать неработающие делегированные центры 9 июня. Пользователей первой группы предупредили 14 сентября, после чего дали ещё неделю на исправление. Затем организация отозвала 35 центров, которые оставались неработающими. Это число из отчёта самого RIPE NCC о первой партии, а не независимая перепись всех бездействующих центров в регионе.

Для следующих случаев RIPE NCC описал последовательность: уведомления зарегистрированным пользователям на 7-й, 30-й и 60-й день; отзыв сертификата, если центр остаётся неработоспособным после 90 дней. В панели RPKI также появились дополнительные диагностические сведения. Теперь общая норма представлена как даты и действия, которые оператор может проверить.

Что именно измеряют 90 дней

RIPE-847 задаёт узкое условие. Если RIPE NCC не может обнаружить и проверить актуальные манифест и список отзыва сертификатов (CRL) делегированного центра более трёх месяцев, его ресурсный сертификат подлежит отзыву. Правило также требует разумных усилий по поиску новых манифестов и уведомления оператора, когда актуальные данные не удаётся проверить и когда отзыв уже произведён.

Манифест перечисляет подписанные объекты, опубликованные центром; CRL фиксирует отозванные сертификаты. Валидатору нужны актуальные проверяемые данные, чтобы использовать эту ветвь инфраструктуры открытых ключей ресурсов. «Неработающий» здесь не означает, что каждый канал доступа должен быть бесперебойным. В обосновании RIPE различаются постоянно устаревшая или недоступная точка публикации и частичный отказ транспорта, когда актуальный манифест всё ещё можно найти и проверить другим способом.

Поэтому длительный порог — не общий таймер любого сбоя. Это правило очистки одного конкретного состояния делегированного центра. По оценке RIPE, спустя месяцы без актуальных манифеста и CRL объекты уже устарели. В документах не утверждается, что сам отзыв автоматически повышает безопасность маршрутизации или что короткое прерывание сразу делает недействительными все разрешения на маршруты. Рассмотренные материалы не измеряют снижение нагрузки валидаторов и не показывают изменения в принятии маршрутов.

Одно сравнение и два региональных срока

Опубликованный NRO 9 октября обзор политик RIR за третий квартал 2026 года ставит рядом 90 дней у RIPE NCC и 60 у APNIC. В PDF сказано, что это справочный документ, а не общее политическое заявление RIR; более позднее внедрение может сделать его устаревшим. Действующее требование следует проверять по региональным правилам и актуальному статусу услуги.

Предложение APNIC prop-166 тоже относится к длительно неработающим делегированным, или самостоятельно размещённым, центрам, чьи актуальные манифест или CRL нельзя обнаружить и проверить. В анализе последствий выбран срок 60 дней, поскольку календарные месяцы имеют разную длину. Предложение получило консенсус на APNIC 60 и одобрение Исполнительного совета в декабре 2025 года; материалы APNIC 61 позднее отметили завершение технического внедрения. Отдельная политика RIPE NCC устанавливает три месяца, то есть 90 дней на практике.

Это не противоречие. Системы описывают сходное состояние длительного отказа, но региональные процессы выбрали разные сроки. Сравнительная таблица не устанавливает общий порог для всех RIR, размещённых центров или любых отказов публикации. NRO даёт компактную карту, а документы APNIC и RIPE NCC — применимые детали.

Уведомление — часть механизма контроля

Порог полезен только тогда, когда оператор может понять, что именно измерялось. В журнале должны быть последний проверенный манифест и CRL, первое время неудачной проверки актуальных данных, адресаты уведомлений, ответ оператора и конечный статус. Без таких отметок фраза «не работает 90 дней» может скрывать отказ центра, канала обнаружения, старый адрес контакта или неполное наблюдение.

Уведомления оставляют время для вмешательства. Оператор может восстановить публикацию, проверить, что родительский центр снова её обнаруживает, или решить, что делегирование больше не нужно. RIPE NCC говорит, что после отзыва центр можно создать заново обычным способом через панель. Это путь восстановления, но не отмена прежнего отзыва сертификата.

Note 70 Heng Lu здесь служит редакционной оптикой, а не доказательством правил: нужно сохранять непрерывность функции реестра и точно определять полномочия учреждения. В данном случае контроль уже общего институционального тезиса: опубликованное условие, период наблюдения, уведомления и смена статуса сертификата. Доверие к нему зависит от проверяемости каждого шага.

Что следует отслеживать операторам

Оператору делегированного RPKI важно знать срок для родительского RIR и используемую модель. В журнале полезно хранить ответственных и контакты центра, последнюю проверку манифеста и CRL, первый отказ, уведомления и ответы, а также конечное состояние. Получив сообщение, следует выяснить, может ли центр публиковать актуальные проверяемые данные, а не просто отвечает ли веб-страница или один транспорт.

Если публикация прекращена, добровольный отзыв может быть предпочтительнее ожидания действий родительского RIR. Если центр ещё нужен, оператору следует исправить и проверить точку публикации достаточно рано, чтобы мониторинг родителя увидел восстановление. Сроки 60 и 90 дней не разрешают оставлять критическую точку без присмотра; это предельные сроки для устойчивого отказа.

Решение за таймером

Правило распределяет издержки. Бездействующий центр может вызывать повторные запросы и шум от устаревшего состояния. Его удаление избавляет зависимые стороны от постоянного обхода точки публикации, которая не даёт полезных данных. При этом держатель ресурсов зависит от того, что реестр верно обнаружит отказ, найдёт нужные контакты и сохранит путь восстановления.

Поэтому уведомления и доказательства составляют часть самого правила. Порог по времени объективен только тогда, когда дата отражает проверяемое условие. RIR могут снизить неоднозначность, опубликовав метод измерения, отделив сбой публикации от сбоя обнаружения, сохранив уведомления и ответы и различая просроченный объект и административно отозванный сертификат.

Вывод не в том, что всем RIR нужно одно число. Операторы должны знать применимый срок, измеряемое условие и момент смены статуса сертификата. Первые 35 отзывов RIPE NCC показывают, что правило работает; 60 дней APNIC показывают, что сравнение не означает унификацию. Для каждого центра вопросы остаются локальными: какие данные перестали проверяться, когда пошёл срок и какие доказательства ещё могли остановить отзыв?

Источники: сообщение NRO о 2026-Q3; сравнение Q3; сравнение Q2; статус внедрения RIPE NCC; операционное сообщение RIPE NCC от 24 сентября; RIPE-847; APNIC prop-166; отчёт о внедрении APNIC 61; Heng Lu, Note 70.