<div dir="ltr">I think there are two qualities to the problem<div><br></div><div>1) what kind of authentication takes place to admit out-of-region data into a system which demands self-referential integrity and can't be made to do cross-system references</div><div><br></div><div>2) what time limits do we place on the data to require re-validation, so that it doesn't last forever and go stale.</div><div><br></div><div>Designing this demands both sender and receiver agree. The prior art, RPSS and RPS-Auth did not achieve agreement both sides: we didn't all agree to run a single cohesive framework.</div><div><br></div><div>RPKI (noting Sanders concerns it  scares some people) has the huge benefit: all the RIR are doing it, and all the RIR respect each others root/signing trust chains.</div><div><br></div><div>And, as I said before, it has time limits built in: signed objects have a lifetime by definition. Do nothing, and data ages out at some point.</div><div><br></div><div>Thats why I like it: its commonly implemented, and it behaves the ways we need, for this function.</div><div><br></div><div>-G</div></div><div class="gmail_extra"><br><div class="gmail_quote">On 9 November 2014 11:59, Gert Doering <span dir="ltr"><<a href="mailto:gert@space.net" target="_blank">gert@space.net</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Hi,<br>
<span class=""><br>
On Sun, Nov 09, 2014 at 11:48:36AM -0800, Ronald F. Guilmette wrote:<br>
> P.S.  I'm still a bit befuddled by what happened in this case.  Would it<br>
> be a fair characterization to say that what AS201640 has done in this<br>
> case is to exploit a kind of loophole which is uniquely present only<br>
> when the hijacker/squatter AS is registered in one RiR and the IP blocks<br>
> that are being hijacked/squatted are registered in a different RiR?<br>
<br>
</span>Yes.<br>
<span class=""><br>
> Also, could this scenario have been replicated if the origin AS had<br>
> been registered in/by ARIN, APNIC, LACNIC, or AFRINIC, rather than<br>
> RIPE?<br>
<br>
</span>I'm not sure how the access control in other regions' IRR DBs work - but<br>
at least ARIN's database is based on RIPE code, so "it might be".<br>
<span class=""><br>
> If so, then a proper sort of fix will necessarily involve all<br>
> five RiRs, no?<br>
<br>
</span>Correct.  George Michaelson is from APNIC, so "they are aware", and I'm<br>
fairly sure the other RIRs are being informed.<br>
<span class="HOEnZb"><font color="#888888"><br>
Gert Doering<br>
        -- NetMaster<br>
--<br>
have you enabled IPv6 on something today...?<br>
<br>
SpaceNet AG                        Vorstand: Sebastian v. Bomhard<br>
Joseph-Dollinger-Bogen 14          Aufsichtsratsvors.: A. Grundner-Culemann<br>
D-80807 Muenchen                   HRB: 136055 (AG Muenchen)<br>
Tel: <a href="tel:%2B49%20%280%2989%2F32356-444" value="+498932356444">+49 (0)89/32356-444</a>           USt-IdNr.: DE813185279<br>
</font></span></blockquote></div><br></div>