摘要

  • 在一份定时冻结的 AFRINIC 官方 WHOIS 公开转储中，共有 28,206 个 mntner 对象，其中 1,345 个至少带有一个 MD5-PW 或 CRYPT-PW 方法标签。
  • 1,285 个对象只有弃用方法；另有 60 个同时带有弃用方法与 BCRYPT-PW、PGP 或 X.509 中的至少一种。
  • 统计单位是公开数据库对象，不是 1,345 个账户、成员、组织、有效凭证、成功更新或已证实漏洞。
  • 现行官方页面没有按操作和通道明确说明：残留旧方法是完全失效、仅供迁移，还是仍能授权更广泛的更新。
  • AFRINIC 可用自有测试对象发布一份不含身份和秘密的能力矩阵，并以聚合数据证明迁移进度。

先把“存在”拆开

2026 年 9 月 5 日 17:42 UTC，AFRINIC 官方公开转储的一份冻结副本包含 28,206 个 mntner 对象和 28,380 行 auth:。分析只读取了认证方法类别，没有输出对象名称、联系人、PGP 或 X.509 标识、密码哈希，也没有拿任何凭证尝试登录或提交更新。

在这些对象中，1,345 个出现 MD5-PW 或 CRYPT-PW，占 4.7685%。其中 1,285 个没有 BCRYPT-PW、PGP 或 X.509；60 个同时含有旧方法与至少一种非弃用方法。混合组的正确数字是 60。前期探索曾把所有含多种强方法或非弃用方法的组合合并为 100，那不是“旧加新”的统计口径，不能进入成稿。

其余分布也必须同时写出。26,921 个对象至少有一种非弃用方法，26,861 个只含非弃用方法。仅 BCRYPT-PW 一种方法的对象就有 26,748 个；带 PGP 或 X.509 的共有 172 个。也就是说，这不是一个由旧认证主导的数据库，而是一个迁移大体完成、但尾部状态仍有相当规模的系统。

“数据库对象里存在标签”只证明存储状态。它不证明相应秘密仍由谁掌握，不证明更新服务接受过该方法，更不证明某个对象对应一个独立成员。一个组织可能维护多个 mntner，一个 mntner 也可能保护多个对象。把 1,345 直接改写成“受影响账户”或“薄弱密码”都会越过证据。

但标签并非无意义装饰。mntner 用来声明受保护对象的更新授权方式。若标签与实际执行规则已经分离，公开记录就不能独自说明控制面。它可能是历史残留、清理标记、迁移出口，也可能仍是可执行分支。四种情况面对的是不同问题。

一个“认证”动词，缺少三个限定词

AFRINIC 现行 WHOIS 数据保护页面将 CRYPT-PW 与 MD5-PW 称为弃用方法，说明它们不能用于新对象或未来更新，并建议迁移到 BCRYPT-PW。同一段又写道，已经由这两种方法保护的现有对象，“目前”仍可用它们进行认证。WHOIS 工具页面保留了相同表述。

这里缺的不是态度，而是动作边界。用旧方法创建新的 mntner、修改 mntner 自身的 auth:、修改由该 mntner 保护的另一个对象，是三种可以分别决定的操作。网页、邮件、API 或人工协助通道也可能执行不同规则。“仍可认证”若不带操作、通道和版本，就会把有限例外读成普遍能力。

数据保护页还解释了多条 auth: 的逻辑：匹配其中任意一条即可授权更新。它同时建议只保留一种现实可用的最强方法。因此，对 60 个新旧并存的对象而言，新增 BCRYPT-PW 是否真正减少了旧路径，取决于旧分支还会不会被执行。对 1,285 个只有旧标签的对象而言，问题则可能相反：若旧分支已经完全关闭，合法控制者通过什么途径完成更换？

2021 年 7 月 2 日的 AFRINIC 官方公告使用了更确定的过去时。针对一次 WHOIS 批量数据提取事件，公告称 WHOIS 引擎已更新，薄弱认证机制不再受支持。当前 IRR 指南在路由对象流程中列出 BCRYPT-PW 与 PGP。后者是特定流程的说明，不能自动扩展为整个 WHOIS 更新面的能力表。

这些材料未必互相矛盾。2021 年的“不再支持”可能指不再创建旧方法；现行页面的“目前仍可”可能指仅允许把旧方法替换掉；“未来更新”也可能专指编辑认证字段，而不是由旧 mntner 授权其他对象。问题在于，公开材料没有告诉读者究竟是哪一种解释。

网页的 HTTP Last-Modified 也不能替代答案。它是服务器响应的时间元数据，并不保证对应某次文字审校，更不绑定一个已经部署的 WHOIS 版本。文档描述意图，运行中的程序才做决定。

先承认迁移不能制造失联

保留一个受限旧入口，可能是负责任的连续性安排。组织会更名、合并，管理员会离职，角色邮箱会失效，旧密钥也可能丢失。若注册系统在建立替代控制证明前就删除最后一条路径，合法持有人可能无法修改自己的记录。安全清理反而会制造准确性问题。

因此，旧方法可以被设计成只允许“更换自己”，而不能授权路由对象、联系人或其他资源记录。支持团队也可以在额外核验后帮助重建控制。另一种设计是标签继续留在对象里以便统计，但引擎已经一律拒绝。还有一种是完全关闭技术路径，把恢复转交给行政核验。

这些安排分别权衡防失联、减少弱分支和保留审计线索。公开转储无法判断 AFRINIC 采用哪一种。最有利于 AFRINIC 的解释，不是“旧密码一定还能用”，而是它在维护一个有边界的迁移过程，避免把真实持有人锁在门外。

这个解释值得先讲，因为它比凭标签推断漏洞更公平。它也提出更准确的问责要求：边界是什么、由哪个版本执行、在哪个通道适用、恢复需要什么额外证明、由谁负责、何时结束。没有这些字段，“目前”就不是一个阶段，而是一段没有截止条件的文字。

1,345 可以对应三种完全不同的现实

第一种现实是完全失效。引擎对所有更新操作都拒绝 MD5-PW 与 CRYPT-PW，标签仅是兼容或清理状态。此时 1,345 衡量的是记录表达和迁移收尾欠账，不是安全暴露。任务是安全删除误导标签、协助没有新方法的对象恢复，并公开总量下降。

第二种现实是仅供迁移。旧方法只能进入一个狭窄出口，比如修改自身认证，或在人工核验下完成替换。这样的设计可以成立，但必须说清允许哪项动作、走哪个通道、有哪些附加控制，以及何时退出。

第三种现实是仍能授权更广泛的更新。此时任一方法匹配即通过的 OR 规则会放大旧标签的重要性。60 个混合对象说明，新方法存在不代表旧方法已经退出；1,285 个只有旧方法的对象则同时涉及保护强度与退出时的控制恢复。

现有证据不支持选择其中任何一种。把第三种当成已经证实，会把标签普查夸大成漏洞测试；把第一种当成事实，则会让文档声明替代运行证据。可靠结论只有一条：差异具有操作意义，而公开材料没有提供可核验的当前映射。

不碰成员数据，也能验证能力

AFRINIC 可以建立由自身控制的 mntner 测试对象，不含真实成员凭证。对每种方法，至少分别测试创建 mntner、修改其认证字段、修改由它保护的另一个对象。结果只需发布“接受”或拒绝类别，并注明通道、时间与部署版本，不必公开测试秘密或对象名称。

这是一张能力矩阵，不是一份渗透报告。它的基本行是“存储状态—操作—通道—版本—结果”。若网页更新与邮件更新执行不同规则，差异本身就是需要记录的事实。每次认证代码发布后重跑受控测试，便能使帮助页面不再漂浮在版本之外。

矩阵旁边需要迁移序列。本文冻结点的三个分区是：只有弃用方法 1,285 个；新旧混合 60 个；只有非弃用方法 26,861 个。后续每个点都应带时间、转储摘要和修正谱系。这样，数量变化只代表存储状态移动，不会被自动宣传成运行风险同比下降。

最后还要有制度字段：迁移负责人、支持入口、目标状态、截止或复核日期。新版本上线时，新的能力记录明确取代旧版本；统计出错时保留原值和修正原因。2021 年公告与 2026 年页面由此成为一条有先后的记录，而不是两个同时有效的“现在”。

这份凭据越薄越好。它不证明地址资源归属，不披露工单内容，也不替对象中的陈述背书。它只证明一个很小但重要的事实：今天的执行系统把什么能力交给了哪一种方法类别。

证据不能承担什么

这项分析没有发现入侵、成功登录、未经授权更新或被破解的密码。它没有说明任何密钥仍可用，也没有按对象点名迁移迟缓。公开个体名称、哈希、证书标识或联系人，既不能回答能力问题，还会增加攻击面。

本文也不是对 AFRINIC IRR、路由真实性、联系人新鲜度、资源权利或机构整体安全的评估。陈旧路由对象、递归集合、镜像差异和治理争议各有自己的证据链。用一个“脆弱性”标签把它们合并，只会让控制措施失去对象。

能够确认的边界很窄：公开记录显示方法标签；官方文字描述退出与暂时使用；运行代码决定具体操作。把三者连接起来，需要的是一份版本化、聚合化、保护隐私的凭据，而不是一次针对成员对象的测试。

来源

  1. AFRINIC：WHOIS 数据库中的数据保护
  2. AFRINIC：WHOIS 工具
  3. AFRINIC 公告列表：2021 年 7 月 2 日 WHOIS 批量提取事件更新
  4. AFRINIC：Internet Routing Registry 指南
  5. AFRINIC 官方 WHOIS 公开数据库转储