Hello, C'est un excellent post-mortem en effet.
Et effectivement, il existe des cas ou l'existence d'un ROA empêche le bon fonctionnement de certains setups particuliers, je pense notamment aux peerings régionalisés avec certains FAI, qui font du more-specific qui n'est pas censé être visible dans la DFZ. La solution n'est pas simple (dans mon cas, j'ai pris le parti de ne pas faire de validation RPKI sur ces sessions en particulier, même si je n'aime pas trop ça). Ou eventuellement des annonces temporaires de more-specific à certains providers anti-ddos lorsqu'on se prend une attaque... Vivement que la validation ASPA soit généralisée en effet ! Clément Cavadore On Thu, 2026-09-03 at 07:54 +0000, ROTA, Nicolas via frnog wrote: > Bonjour > > Nous savons depuis le début que jouer avec le maxlength affaiblis > l'efficacité de ROV. Après, il y a la réalité du quotidien où la > pénurie d'IP et/ou la complexité d'un ré-adressage, a conduit à faire > "au mieux". Certains services (pas forcément visibles dans la GRT), > combinant du TE et exigeant un ROA valide, peuvent contraindre à > signer au /24 ... > > Certains ont aussi pris le parti de volontairement fragmenter leurs > annonces en espérant limiter l'impact lors d'une telle situation. > > Plus qu'à engager la phase 2 avec ASPA ! > > Nicolas > > > > ----Message d'origine----- > De : [email protected] <[email protected]> De la part de > Stephane Bortzmeyer via frnog > Envoyé : mercredi 2 septembre 2026 18:03 > À : [email protected] > Objet : [FRnOG] [TECH] L'attaque BGP contre Softaculous > > Attention : Ce message provient de l'extérieur de l'entreprise. Ne > cliquez sur aucun lien et n'ouvrez aucune pièce jointe sans avoir > vérifié l'expéditeur. > > Deux bonnes lectures (dont un post-mortem par la victime) : > > https://www.kentik.com/blog/latest-bgp-hijack-targets-hosting-software-vendor/ > > https://www.virtualizor.com/blog/security-incident-bgp-hijacking/ > > Résumé : le maxLength dans les ROA est dangereux car il autorise des > annonces plus spécifiques. > > > --------------------------- > Liste de diffusion du FRnOG > http://www.frnog.org/ > > > --------------------------- > Liste de diffusion du FRnOG > http://www.frnog.org/ --------------------------- Liste de diffusion du FRnOG http://www.frnog.org/
