NLnet Labs פרסמה את Krill 0.16.2 ואת Routinator 0.16.0 ב־6 בנובמבר 2026. למפעילים מדובר בשתי בדיקות שדרוג שונות: הנפקת תעודות בצד רשות האישורים, ושינויי התנהגות בצד המאמת.
Routinator: בדקו את תצורת ההפעלה
הערות הגרסה של Routinator מציינות שינויי ברירת מחדל שאינם תואמים לאחור: ASPA, BGPsec ואימות מחמיר מופעלים כעת. הדגלים --enable-aspa, --enable-bgpsec ו־--strict מוחלפים ב־--disable-aspa, --disable-bgpsec ו־--relaxed. גם הגדרות רישום שגיאות המאגרים ופלט JSON של /status משתנים; refresh מוגבל לשבוע.
בדקו הגדרות הפעלה: הפעלה והשבתה הן הוראות הפוכות.
ההכרזה מוסיפה גם סינון ASPA והצהרות מקומיות באמצעות SLURM, וכן אימות RSC. רשימות בדיקה חתומות של RPKI קושרות סכומי ביקורת של קבצים למשאבי אינטרנט שבידי החותם. אין בכך קביעה שקובץ אינו מזיק. פרופיל ASPA והרחבת SLURM שלו אינם מסמכי RFC שהושלמו; הטיוטה האחרונה של הרחבת SLURM מסומנת כפגת תוקף וכמאורכבת.
Krill: צמצום הנפקות חוזרות מיותרות
הכרזת Krill מתארת שימוש חוזר של ההורה בתעודת רשות אישורים בת, כאשר בקשתה לא השתנתה ונותר די תוקף. השינוי מטפל בגדילת CRL (רשימת ביטול תעודות) הנגרמת מצאצאים בגרסה 0.15.0 שמבקשים שוב ושוב תעודות. המתחזקים מבקשים שגם מפעילי הצאצאים האלה ישדרגו.
הערות הגרסה קושרות את יתרת התוקף ל־timing_child_certificate_reissue_weeks_before; ההנפקה החוזרת אינה מושבתת בכל מצב. זהו עדכון תפעולי נפרד מסיקור האבטחה הקודם שלנו על Krill 0.16.1.
בדיקות הקבלה המוצעות שלנו
- מאמת: השוו תוצאות בשדרוג מדורג וחקרו הבדלים בלתי צפויים.
- ניטור: ודאו שצרכני הלוגים ונתוני הסטטוס ממשיכים לפעול.
- רשות אישורים: בחנו גרסאות של צאצאים, פעילות חידוש וגודל CRL לאורך זמן. הבדילו בין עצירת מגמת גדילה לבין הקטנה מיידית של CRL קיים.
- אחריות: הגדירו אחראי להבדלי אימות ואחראי לשדרוגי צאצאים; ייתכן שמדובר בצוותים שונים.
אלה בדיקות מוצעות, ולא תוצאות ניסוי בשתי הגרסאות. ההודעות שנבדקו אינן מדווחות על ניצול חולשה או על תקלה בניתוב, והמאמר אינו קובע מהי ההשפעה על כלל הפריסות.