RPKI/ROA maxLength für 188.68.32.0/22 ziemlich... sehr offen

Hey, wusste nicht so richtig wo ich diese Frage platzieren soll, hoffe hier passt es.

Ich wurde von der UConn Secure Interdomain Routing Group darauf aufmerksam gemacht, dass der Prefix für 188.68.32.0/22 / AS197540 bzgl. RPKI / ROA maxLength extrem lax konfiguriert zu sein scheint.

for p in 22 23 24 25 26 27 28; do
  printf "/%s: " "$p"
  curl -s "https://stat.ripe.net/data/rpki-validation/data.json?resource=AS197540&prefix=188.68.32.0/$p" \
    | jq -r '.data.status'
done

--

/22: valid
/23: valid
/24: valid
/25: valid
/26: valid
/27: valid
/28: valid

Laut Cloudflare ist maxLength=32: https://rpki.cloudflare.com/?validateRoute…h=lspec&ta=ripe

Das bedeutet, dass ein Angreifer ein spezifischeres Prefix (z.B. /24) announcen, und dabei den Origin auf AS197540 fälschen kann ("BGP forged-origin subprefix hijacking"). Das würde es dem Angreifer ermöglichen, Traffic dieses (Sub-)Prefixes umzuleiten - und das sähe dann sogar RPKI-valid aus, weil maxLength zu hoch gesetzt ist.