Dispositions pour le détournement de ressources

1.0 Introduction 

Les détournements de fonds se produisent presque quotidiennement. Le détournement de ressources se produit principalement mais pas exclusivement via l'utilisation d'eBGP. Dans la suite de ce document, les "détournements" doivent être interprétés comme l'annonce de tout type de ressource (IPv4, IPv6, ASN), sans le consentement du détenteur légitime de la ressource, y compris ceux non attribués / non attribués. 

Les détournements ont des caractéristiques de visibilité différentes. Ils peuvent être à l'échelle mondiale (propagés à tous les réseaux) ou restreints (un ou plusieurs réseaux seulement). Leurs impacts peuvent également varier, et ce ne sont pas seulement les détenteurs de ressources qui sont touchés, mais aussi les réseaux (et les utilisateurs finaux) qui reçoivent des itinéraires illégitimes / détournés et en subissent les conséquences indirectes. 

Il existe déjà des initiatives et des technologies telles que MANRS et RPKI, qui ne sont malheureusement pas suffisantes pour réduire considérablement les détournements. Alors que MANRS et RPKI sont fortement encouragés, la politique devrait remédier au manque de règles communautaires sur le détournement. A travers ce document, la communauté AFRINIC précise que le détournement n'est pas une pratique acceptable.

AFRINIC n'est pas un simple «registre foncier virtuel», car il a également un rôle dans la distribution des ressources et est une organisation composée de membres avec une charte pour soutenir une plus grande communauté d'utilisateurs. Tout détournement persistant peut être compris comme portant atteinte à la crédibilité d'AFRINIC en tant que registre, une politique est donc nécessaire en tant que forme d'autoréglementation de l'industrie.

Cette politique n'essaie pas de résoudre les problèmes causés par des erreurs opérationnelles ou des détournements occasionnels, mais essaie plutôt de créer un moyen pour les victimes de signaler des détournements intentionnels persistants. En rendant plus de ces cas publics et consultables, chaque système autonome disposera d'informations supplémentaires pour éclairer ses décisions concernant l'interconnexion.

2.0 Le détournement de ressources est une violation de stratégie 

Un détournement est généralement compris comme l'annonce d'itinéraires à des tiers sans le consentement du détenteur de la ressource. Ceci est considéré comme une violation de la politique d'AFRINIC.  

Un détournement de ressources de numérotation ou l'annonce d'espace d'adressage IP non attribué ou non attribué ou de numéros de système autonome à des tiers sont également considérés comme une violation de la politique. La victime d'un détournement n'est pas seulement le propriétaire légitime des ressources détournées, mais aussi ceux qui reçoivent des annonces de préfixes détournés. Dans un contexte de vente ou de location, tant le propriétaire légitime que la partie qui paie l'utilisation des ressources sont victimes.  

Seuls les rapports dans lesquels le pirate de l'air suspect est soumis aux politiques AFRINIC peuvent faire l'objet d'une enquête.

3.0 Portée: accidentelle ou délibérée 

Une distinction peut être faite entre les détournements accidentels ou délibérés des jeux de données de routage disponibles, en examinant des paramètres tels que la durée, la récurrence, les objectifs possibles et la taille des blocs détournés. D'autres paramètres pourraient également être envisagés à l'avenir. 

Les événements accidentels émergent généralement de situations où un préfixe détourné ou ASN est très similaire à d'autres ressources détenues par la source du détournement.

4.0 Lignes d'action 

AFRINIC n'est pas en mesure de surveiller la fréquence des détournements de ressources ou d'évaluer s'il s'agit de violations de politique. Il doit donc s'appuyer sur des parties externes, à la fois pour signaler les détournements et pour déterminer s'ils sont délibérés. 

Les rapports envoyés à AFRINIC doivent inclure un ensemble minimal de détails, tels que: «Réseaux concernés», «Délinquant ASN"," Pourquoi est-ce que je signale ce détournement? (Titulaire ou destinataire) "," Préfixes détournés /ASNs "et" Timespan ". Il ne s'agit pas d'une liste définitive et ses coordonnées peuvent également être requises. 

AFRINIC fournira un formulaire en ligne (ou des alternatives équivalentes) pour soumettre les rapports. Informations sur les itinéraires détournés /ASNLes rapports signalés seront rendus publics pour limiter le risque de soumission de rapports en double. 

Les parties concernées seront informées dès leur identification. Cela leur permettra de fournir toute information pertinente et d'atténuer le détournement, en évitant d'autres dommages et éventuellement de fausses réclamations. 

AFRINIC définira un pool d'experts mondiaux qui pourront évaluer si les détournements signalés constituent des violations de politique. Des experts de ce pool rendront un jugement concernant chaque cas signalé, au plus tard six semaines après la réception du rapport. Si ce rapport de jugement n'est pas terminé dans les six semaines, l'affaire sera classée. 

Les fournisseurs directs en amont ou en transit d'un pirate de l'air présumé qui facilitent un détournement via leurs réseaux devraient être informés de la publication d'un rapport de jugement. Cela ne doit pas être considéré comme un avertissement formel et aucune réponse n'est requise. Cependant, la notification demandera s'ils peuvent fournir des informations supplémentaires ou identifier quelque chose d'étrange.  

L'enquête d'experts pourrait suggérer d'autres organisations apparentées (telles que plusieurs LIR d'un même groupe d'entreprises), qui pourraient être envisagées par l'AFRINIC dans le cas d'un futur processus de fermeture. Cette possibilité vise à empêcher les pirates de l'air de poursuivre leurs activités à partir du réseau d'un client simulé. L'enquête d'experts pourrait également identifier les relations entre les LIR / les utilisateurs finaux au sein des mêmes groupes commerciaux. 

Si un pirate de l'air présumé peut démontrer que son infrastructure a été mal manipulée par des tiers (par exemple, des routeurs compromis), le détournement ne peut pas être considéré comme intentionnel.

5.0 Expert: définition 

Un expert est une partie externe à AFRINIC, idéalement avec au moins cinq ans d'expérience avec eBGP dans le traitement des configurations liées aux fournisseurs de peering et de transit. Les experts doivent être familiarisés avec les formes courantes d'accords d'interconnexion, tant à l'intérieur qu'à l'extérieur de la région de service AFRINIC.

6.0 Groupe d'experts 

La procédure de sélection du pool d'experts devrait être ouverte et gérée par AFRINIC, éventuellement en collaboration avec d'autres RIRs: 

1. Tous les deux ans, un appel à candidatures sera lancé auprès de la communauté mondiale, notant l'expérience et les connaissances requises. Des appels supplémentaires seront effectués, le pool doit être élargi.
2. Pour rejoindre le pool d'experts, un candidat aura besoin d'un support de déclaration de deux réseaux différents (AS) de deux pays différents au sein de la région de service AFRINIC.
3. Les auteurs de cette proposition, les présidents actifs du PDWG et les membres du conseil d'administration ne sont pas éligibles pour devenir des experts. Si un expert est sélectionné en tant que président ou membre du conseil d'administration du PDWG, il devra quitter ses fonctions d'expert, après avoir terminé sa participation dans les cas en cours.
4. Le même nombre d'experts doit participer à chaque phase (initiale et appel, le cas échéant).
5. Le nombre minimum d'experts par cas et phase sera de trois. Si un plus grand nombre est nécessaire, il doit être étrange et la communauté sera informée des raisons du changement. Les cas impliquant des points d'échange Internet ou des fournisseurs de services de transport en commun avec une importante base de clients accusés de détournement devraient avoir deux experts supplémentaires par ensemble.
6. Les experts pour chaque cas / phase seront choisis au hasard, afin d'assurer un partage équilibré des cas.
7. L'identité des experts choisis pour un cas particulier sera gardée confidentielle afin d'éviter des tentatives de corruption ou des représailles à leur encontre.
8. Avant d'accepter un dossier, les experts doivent signer un document confirmant leur impartialité et indiquant qu'ils n'ont aucun lien direct ou indirect avec les parties impliquées.
9. Les experts doivent signer un accord de non-divulgation avec AFRINIC qui couvre toute information fournie par une partie accusée dans le cadre de son appel.
10. Les dossiers doivent être complétés par les experts qui leur ont été initialement affectés, même s'ils sont remplacés lors d'un processus de sélection alors qu'un dossier est en cours. S'il existe une cause justifiée, un expert (uniquement) peut être remplacé par un autre; cela doit être communiqué à la communauté AFRINIC.
11. Les experts seront remplacés s'ils ne répondent pas à leurs collègues experts sur une affaire ou à AFRINIC. Les experts seront également remplacés s'ils ne respectent pas les délais définis dans trois cas distincts.
12. Une personne ne peut servir d'expert que pendant quatre années consécutives (deux mandats). Ils doivent ensuite se retirer pendant au moins deux ans avant de pouvoir à nouveau postuler.
13. AFRINIC devra fournir une assurance juridique pour tous les experts, couvrant exclusivement les enquêtes / cas où ils ont été impliqués.
14. L'affectation des cas aux experts suivra un processus programmé (un tirage au sort d'un nombre minimum d'experts ne traitant actuellement aucun cas, ou un minimum de cas).
15. Les nouveaux cas ne peuvent faire l'objet d'une enquête tant que le nombre d'experts disponibles n'est pas au moins le double du nombre minimum pouvant être attribué à un seul cas.

7.0 Procédure 

La procédure doit intégrer au moins les éléments suivants: 

1. AFRINIC vérifiera qu'un rapport contient suffisamment d'informations avant de le confier à un groupe d'experts. Si ce n'est pas le cas, le rapport sera rejeté.
2. Si un rapport est accepté, le pirate de l'air présumé sera avisé et aura la possibilité de répondre, en fournissant des preuves comme bon lui semble.
3. Les experts affectés à un cas vérifieront les informations rapportées concernant les données historiques de BGP et examineront toutes les preuves fournies par le pirate de l'air présumé.
4. Le groupe d'experts affecté à une affaire publiera un rapport conjoint avec ses conclusions.
5. Les experts rejetteront tout cas manifestement accidentel, bien qu'ils doivent l'indiquer dans leur rapport. AFRINIC peut partager ce rapport avec la partie responsable pour éviter de futures réapparitions.
6. Pour qu'un événement soit identifié comme un détournement intentionnel, il doit y avoir unanimité entre tous les experts en la matière.
7. Les experts ne peuvent pas ajouter de parties accusées à une affaire.
8. Un pirate de l'air présumé doit avoir la possibilité de faire appel d'un rapport. Dans ce cas, un autre groupe d'experts examinera le cas. Encore une fois, il doit y avoir unanimité entre tous les experts, sinon l'affaire sera classée.
9. Personnel AFRINIC (ou personnel d'autres RIRs) ne peuvent pas faire partie d'un groupe d'experts, bien qu'ils puissent fournir une assistance administrative. Cela n'inclut pas de contacter les personnes qui ont initialement déposé un rapport pour demander plus d'informations ou de fournir des informations d'adhésion AFRINIC non publiques.
10. Ni AFRINIC ni le (s) demandeur (s) ne peuvent faire appel des décisions des experts.

8.0 Rétroactivité

Seuls les événements de piratage qui se produisent après la mise en œuvre de cette politique sont éligibles pour être pris en compte.

9.0 Admissibilité aux rapports et aux preuves

Seuls les réseaux directement affectés par un détournement peuvent déposer un rapport.

Un rapport ne peut être déposé:

1. Si la victime est le détenteur légitime d'un préfixe d'adresse IP détourné ou d'un système autonome;
2. Si la victime a reçu un préfixe d'adresse IP détourné via BGP ou une route avec un AS-PATH qui inclut un système autonome détourné.

Un rapport n'est pas admissible si la personne qui l'a signalé n'a pas été affectée de quelque façon que ce soit par le détournement.

Les preuves datant de plus de six mois, comptées à partir du moment où un rapport est soumis, ne peuvent être prises en compte ou incluses dans aucun rapport d'expert.

10.0 Sources d'information pour les experts:

Exemples Ce qui suit n'est qu'une référence, pas une liste exhaustive: 

• API stat.ripe.net et stat.ripe.net
• bgpmon.net et bgpstream.com
• irrexplorer.nlnog.net
• routeviews
• caïda openBMP
• www.team-cymru.com/bogon-reference.html
• rapport cidr  
  • www.potaroo.net/cgi-bin/as-report?as=asn>
  • www.potaroo.net/cgi-bin/per-prefix?prefix=
• bgp.he.net
• ixpdb.euro-ix.net/fr/ixpdb/asns/
• atlas.ripe.net
• traceroute.org 

11.0 Lignes directrices pour les experts

Toutes les informations non privées divulguées par les accusés lorsqu'ils s'opposent à un rapport spécifique doivent être incluses dans le rapport d'expert (au moins en annexe). 

Les registres des sociétés (www.ebr.org et similaires) peuvent être utiles pour déterminer si différentes sociétés peuvent être associées au même acteur. 

Une attention particulière doit être accordée aux situations où un préfixe détourné est très similaire à un préfixe légitimement détenu par une partie accusée. Dans ces cas, vérifier si le préfixe légitime a été annoncé dans le même délai peut éclairer l'affaire.  

Les fuites et l'accroupissement sortent du cadre de cette politique. Tout cas strictement lié à des fuites ou accroupissement doit être rejeté.

12.0 Objections possibles

Un rapport contenant un jugement d'expert sur l'affaire sera envoyé au pirate de l'air présumé. Cette partie disposera alors d'un maximum de quatre semaines pour s'opposer aux conclusions contenues dans le rapport. Les objections sont ensuite évaluées et jugées recevables / non recevables par les experts, pendant une période d'examen maximale de deux semaines. Suite à cela, le rapport est finalisé et publié.

13.0 Appels 

Après la publication du rapport final de l'expert, le pirate de l'air présumé dispose d'un maximum de deux semaines pour déposer un recours. Si un appel est déposé, un autre groupe d'experts (un minimum de trois) examinera le rapport pendant un maximum de quatre semaines. Afin de maintenir une décision de «détournement intentionnel», tous les experts impliqués dans l'examen doivent convenir que cela s'est produit. Les résultats de cet examen sont définitifs et ne peuvent plus faire l'objet d'un appel.

14.0 Ratifications 

Une fois le rapport publié, toute violation de politique devra être ratifiée par tous les experts impliqués dans l'affaire, après une consultation publique de deux semaines sur le rapport. Si la ratification n'est pas déclarée à l'unanimité, le rapport sera rejeté. La ratification sera retardée en cas d'appel, jusqu'à ce que le deuxième groupe d'experts ait publié son examen. Les experts peuvent refuser de ratifier un rapport sur la base de sources d'informations non divulguées ou des contributions de la consultation publique.

15.0 Période de transition 

Dès que la mise en œuvre de la politique sera terminée, une période de transition de six mois sera établie. Cela permettra aux organisations qui annoncent un espace d'adressage non attribué ou des numéros de système autonome (en raison d'erreurs opérationnelles ou d'autres raisons non malveillantes) de ne recevoir qu'un avertissement. Les «bogons» existants au moment de la mise en œuvre de la politique devraient être traités comme des exclusions et les cas où ils sont référencés devraient être rejetés avant d'attribuer une affaire à des experts.

16.0 Détenteurs de ressources héritées 

Si une partie accusée est un détenteur de ressources héritées (avec une relation directe ou indirecte avec AFRINIC), l'enregistrement de leurs ressources héritées ne sera pas affecté, car les politiques ne s'appliquent pas à ces ressources. Cependant, si une violation de politique est ratifiée, ce qui est décrit dans la section 17.0 s'appliquera, auquel cas d'autres services AFRINIC tels que le DNS inversé ou la certification des ressources (RPKI) pourraient être refusés à l'accusé.

17.0 Violations continues concernant le détournement de ressources de la même partie 

Dans les cas où un détenteur de ressources a régulièrement et à plusieurs reprises détourné des ressources réseau, non allouées ou autorisées pour leur utilisation, une politique ou des procédures d'adhésion pertinentes pour la fermeture des membres / la récupération des ressources seront lancées. Cette politique n'approuve pas le lancement d'une procédure de fermeture de compte de membre sur la base d'une seule violation de politique.

Titre

Dispositions pour le détournement de ressources

Proposition UR

https://afrinic.net/policy/proposals/provisions-for-resource-hijacking#proposal

évaluée

21 Juillet 2019