<div dir="ltr">Hi<div><br><div><div>>But we are trying to solve only one aspect of the problem: by not using<br>>anymore the unauthenticated IRRs we will have removed a whole class of<br>>possibile hijackings.<br></div><div><br></div><div>And also you might invalidate a lot of valid objects causing issues for the networks using the RS in the IX.</div><div><br></div><div>Let me make a few comments.</div><div><br></div><div>I agree with some of the concerns raised here. IMO I do not think that is a good idea to just ignore some of the IRR databases, instead you could use something similar to what we have proposed on the MANRS for Cloud/CDN providers. I think it is a good balance to use a variety of IRR DBs:</div><div><br></div><div>---></div><div><br></div><div>Standard AS-SET expansion process:<br><ol><li style="margin-left:15px">If a peer-AS has downstream customer ASNs (customer cone ASNs), they are to be gathered through the “as-set” object. The “as-set” (or AS-SETs) will be picked up from PeeringDB, “IRR as-set/route-set” field. The syntax of the name should be IRR-NAME::ASX:AS-SET-NAME, where ASX is the ASN of the peer-AS. If no AS-SET is provided, only the ASN of the peer-AS will be used in the following steps.</li><li style="margin-left:15px">All the IRRs mirrored by RADB will be consulted to collect all “route” objects with the “origin:” field matching the ASNs collected in step 1</li><li style="margin-left:15px">If the collection of data results in conflicting objects, the following rules apply in the following order until all conflicts are resolved:</li><li style="margin-left:15px">The primary IRR specified by IRR-NAME has the priority</li><li style="margin-left:15px">AFRINIC, APNIC, ARIN, LACNIC, RIPE have the priority</li><li style="margin-left:15px">The most recently updated object has the priority</li><li style="margin-left:15px">If further tie breaking is needed, could select the object based on lexicographic order of the IRR DB names</li></ol></div><div>Source: <a href="https://manrs.org/cdn-cloud-providers/actions/" target="_blank">https://manrs.org/cdn-cloud-providers/actions/</a></div><div><br></div><div>---></div><div><br></div><div>Also, it is true that this is meant to be applied on European IXs, but as Nick mentioned, regulators et al. might take this as the BOCP for everyone (even no IXs.)  Believe it or not, this document might have a lot of influential power and you should be careful on what you propose, because it might have some unintended repercussions.</div><div><br></div><div>Finally, on a practical note, for organizations that have to maintain a few thousands of IRR objects, doing it manually is not an option, so we need to rely on APIs. The less the better, and the more the same, the better. Unfortunately not all RIRs support API calls to manage IRRs objects, and for the ones that they do I think they are different. So, it is much easier to use RADB or other single DB.</div><div><br></div><div>Regards</div><div>as</div></div></div></div><br><div class="gmail_quote"><div dir="ltr" class="gmail_attr">On Thu, Jun 6, 2024 at 11:54 AM Marco d'Itri <<a href="mailto:md@linux.it">md@linux.it</a>> wrote:<br></div><blockquote class="gmail_quote" style="margin:0px 0px 0px 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex">On Jun 06, "Mullally, Ronan via connect-wg" <<a href="mailto:connect-wg@ripe.net" target="_blank">connect-wg@ripe.net</a>> wrote:<br>
<br>
> But if a bad actor manages to masquerade as somebody else’s ASN, <br>
> either directly or via ‘downstream’ routes then neither of the above <br>
> help.  If anything there is a risk that if we blindly consider a route <br>
> that matches a route object / ROA to be beyond doubt we may be less <br>
> able to identify such actions.<br>
Of course, this is obvious.<br>
But we are trying to solve only one aspect of the problem: by not using <br>
anymore the unauthenticated IRRs we will have removed a whole class of <br>
possibile hijackings.<br>
For the others indeed other technologies will be needed.<br>
<br>
-- <br>
ciao,<br>
Marco<br>
_______________________________________________<br>
connect-wg mailing list<br>
<a href="mailto:connect-wg@ripe.net" target="_blank">connect-wg@ripe.net</a><br>
<a href="https://mailman.ripe.net/" rel="noreferrer" target="_blank">https://mailman.ripe.net/</a><br>
<br>
To unsubscribe from this mailing list, get a password reminder, or change your subscription options, please visit: <a href="https://mailman.ripe.net/" rel="noreferrer" target="_blank">https://mailman.ripe.net/</a><br>
</blockquote></div>