مغالطة استمرارية السجل — احموا السجل لا حارس البوابة
ما الذي يجب أن يبقى بعد فشل المؤسسة: السجل أم حارس البوابة؟
يمكن أن يتغير أمين السجل، لكن السجلات والخدمة يجب أن تستمر. يجادل لو هِنغ بأن الاستمرارية تحتاج إلى تعاقب مخطط له، لا إلى مدير لا يمكن استبداله.
طرحت المذكرة 69 سؤالاً بسيطاً:
استقرار ماذا؟
وهناك سؤال آخر يختبئ تحته.
استمرارية ماذا؟
كثيراً ما تعرض سجلات الإنترنت الإقليمية استمرارية السجل حجةً للحفاظ على المؤسسة التي تدير السجل حالياً. وفي نزاع AFRINIC، يتحول ذلك إلى ادعاء مألوف:
يجب حماية AFRINIC لأن أفريقيا لا تستطيع تحمل انهيار سجل أرقامها.
الجزء الأول قابل للنقاش.
أما الجزء الثاني فصحيح.
لا تستطيع أفريقيا تحمل فقدان استمرارية تسجيل الأرقام. ولا يستطيع أي إقليم ذلك. يجب الحفاظ على التفرد. ويجب أن تظل سجلات التسجيل دقيقة. ويجب أن تستمر خدمات RDAP وWHOIS وDNS العكسي وRPKI. ويجب ألا تُزعزع الشبكات العاملة. ويجب ألا يتحول العملاء اللاحقون إلى أضرار جانبية. ويجب أن تجد نزاعات الموارد جهة مستقلة للفصل فيها.
لكن لا شيء من ذلك يثبت أن مجلس إدارة AFRINIC الحالي، أو تفسيرها الحالي لاتفاقية خدمة التسجيل، أو سرديتها الحالية بشأن المنطقة الواقعة خارج نطاقها، أو صورتها المؤسسية الحالية عن نفسها، أو سلطاتها الحالية بوصفها حارساً للبوابة، يجب أن تُحفظ أيضاً.
ذلك الاستبدال هو مغالطة استمرارية السجل.
استمرارية السجل ليست مغالطة في حد ذاتها.
المغالطة هي الادعاء بأن استمرارية الوظيفة تتطلب استمرارية كل سلطة تدّعيها المؤسسة التي تؤديها حالياً.
وهذا غير صحيح.
ميّزت المذكرة 69 بين الاستقرار المؤسسي واستقرار الشبكة الموجّهة واستمرارية العملاء. أما المذكرة 70 فتعمّق التمييز طبقة أخرى: يجب فصل استمرارية خدمات السجل عن استمرارية سلطة شركة السجل.
الوظيفة حقيقية
وظيفة السجل مهمة.
يجب أن تظل أرقام الإنترنت فريدة. ولا يجوز إسناد مطالبة تسجيل حصرية على كتلة العناوين نفسها إلى مشغّلين غير مرتبطين. ويجب حفظ السجلات التاريخية. ويجب تسجيل تغييرات السيطرة. ويجب منع التعديلات الاحتيالية. ويجب أن تظل خدمات الأدلة العامة متاحة. ويجب أن تظل الإثباتات الأمنية قابلة للتحقق.
هذا ليس مسرحاً سياسياً.
إنه تنسيق حقيقي.
تقدم AFRINIC حالياً بيانات التسجيل أو تدعمها، إلى جانب RDAP وWHOIS وDNS العكسي وRPKI وخدمات التوجيه ذات الصلة. لهذه الخدمات قيمة تشغيلية. وتصف وثائق AFRINIC نفسها RPKI وDNS العكسي وسجلات التوجيه بأنها خدمات أساسية، إلى جانب إدارتها لعناوين IP وASNs.
يبدأ الخطأ عندما تُضم هذه الوظائف إلى فئة مختلفة تماماً من الادعاءات:
- أن AFRINIC تمثل أفريقيا.
- أن منطقتها الخدمية تمنحها مكانة سياسية.
- أن مجلس إدارتها يجوز له توسيع معنى RSA بعد أن أصبحت الموارد مندمجة تشغيلياً.
- أن لها أن تنظم التأجير أو الاستخدام التجاري أو جغرافيا العملاء.
- أن الطعن في سلطتها التقديرية يهدد الإنترنت.
- أن الحفاظ على الخدمات التقنية يتطلب حماية المؤسسة من المساءلة القانونية العادية.
لا يترتب على ضرورة الحفاظ على سجل أيٌّ من هذه الادعاءات.
تحتاج قاعدة البيانات إلى الاستمرارية.
أما ادعاء السيادة فلا يحتاج إليها.
ما الذي تتطلبه استمرارية السجل فعلاً؟
يتكون شرط الاستمرارية من خمسة أجزاء.
تفرد الأرقام
يجب ألا يُسجل مورد الأرقام نفسه لمطالبين متعارضين في الوقت ذاته.
هذا هو التبرير التقني الأصلي لطبقة السجل. وهو ضيق النطاق، وموضوعي، وقابل للتدقيق.
لا يتطلب التفرد أن يقرر السجل ما إذا كان يوافق على نموذج أعمال مشغّل. ولا يتطلب نظرية عن الولاء التجاري الإقليمي. ولا يتطلب أن يمتلك السجل القيمة التي ينشئها استخدام الرقم.
إنه يتطلب إجابة دقيقة عن سؤال محدود:
من يحمل حالياً مطالبة التسجيل المعترف بها على هذا المورد؟
دقة التسجيل
يجب أن يحافظ السجل على معلومات دقيقة عن موارد الأرقام، وحاملي التسجيل، والتغييرات المأذون بها، وعمليات النقل، والحالة الأمنية، وبيانات النزاعات ذات الصلة.
وتتطلب الدقة أدلة، ومسارات تدقيق، وتحديثات مضبوطة.
ولا تتطلب حكماً أخلاقياً تقديرياً.
يجوز للسجل تصحيح عملية نقل مزورة.
ويجوز له منع التسجيل المزدوج.
ويجوز له تسجيل أن مطالبة ما محل نزاع.
لكن لا ينبغي له إعادة كتابة الواقع التشغيلي لمجرد أن مديريه تبنوا تفسيراً سياسياً جديداً لعقد قديم.
يجب حماية دفتر السجل من الفساد.
ويجب أيضاً حمايته من المؤسسة التي تديره.
استمرارية النشر والأمن
يجب أن تظل خدمات RDAP وWHOIS وDNS العكسي ومستودعات RPKI وخدمات النشر ذات الصلة متاحة أثناء الفشل المؤسسي أو التقاضي أو الإعسار أو نزاعات الحوكمة أو الانتقال.
ويستحق RPKI عناية خاصة. فهو ليس مجرد ملف يمكن نسخه إلى خادم آخر. إذ يجب أن تظل الشهادات والمستودعات وملفات البيان والبيانات الخاصة بالإلغاء وROAs وترتيبات التوقيع وثقة الأطراف المعتمدة متسقة. وتشير وثائق AFRINIC نفسها إلى أن أدوات التحقق تستخدم محدد موقع مرساة الثقة الخاص بـ AFRINIC لاسترداد الكائنات من مستودع RPKI لديها.
وهذا يجعل التعاقب المخطط له ضرورياً.
لكنه لا يجعل AFRINIC خالدة.
إن تعقيد نقل خدمة حرجة حجة لبناء آلية انتقال قبل وقوع الفشل، وليس حجة لمنح سلطة دائمة للمشغّل الحالي.
استمرارية الشبكات العاملة والعملاء
يجب ألا تتحول نزاعات السجل إلى اضطراب في التوجيه أو تلويث أمني أو إعادة ترقيم قسرية أو فشل للعملاء.
والالتزام الأساسي بالاستمرارية ليس تجاه مكتب السجل.
بل تجاه الشبكات التي تستخدم الأرقام.
لقد بنى المشغّلون بنية تحتية حول هذه الموارد. وبنى العملاء أنظمة حول تلك البنية التحتية. وقد تعتمد قواعد الأمن، وقوائم السماح، وواجهات API، وعلاقات الدفع، وعمليات النشر السحابي، والعقود، وأنظمة الامتثال جميعاً على معرّفات شبكية مستقرة.
إن إجراءً من السجل يحافظ على سلطته المؤسسية بتهديد هذه الأنظمة لم يحمِ الاستمرارية.
بل قلبها.
استمرارية الفصل المستقل في النزاعات
ستقع النزاعات.
ستتعارض مطالبات الملكية. وسيُطعن في عمليات النقل. وسيُدّعى وقوع الاحتيال. وستُفسر العقود بطرق مختلفة. وقد تتغير السيطرة على الشركات. وقد يختلف الدائنون والمحاكم والمشغّلون والسجلات.
ولا يمكن أن يكون الحل هو السماح للسجل بأن يعمل في الوقت نفسه بوصفه أمين السجل، والمدعي، والقاضي، والمنفذ.
يحتاج نظام الاستمرارية الحقيقي إلى جهة مستقلة قادرة على الفصل في النزاعات من دون تدمير الأصل محل النزاع.
وأثناء الفصل، ينبغي أن يكون الأصل هو الحفاظ على آخر حالة تشغيلية تم التحقق منها. ويجوز للنظام حظر التعديلات المتعارضة. لكن لا ينبغي له إلغاء الموارد العاملة أو تلويثها أو إعادة توزيعها لمجرد أن السجل انحاز إلى أحد الطرفين.
عزل النزاع جزء من الاستمرارية.
أما لجوء السجل إلى إنفاذ موقفه بنفسه فليس كذلك.
ما الذي لا تتطلبه الاستمرارية؟
لا تحمل أي حزمة اسم مدير في AFRINIC.
ولا تتطلب أي استجابة من RDAP كبرياء AFRINIC المؤسسي.
ولا يعتمد أي تفويض لـ DNS العكسي على سردية سياسية عن منطقة تقع خارج نطاقها.
ولا تتطلب أي ROA نظرية تقول إن أفريقيا كيان سياسي إداري واحد تمثله شركة موريشيوسية.
ولا يتطلب أي ثابت للتفرد تفسيراً موسعاً لـ RSA.
الأشياء التي يجب أن تستمر هي:
- السجلات.
- الخدمات.
- السلسلة الأمنية.
- القدرة على إجراء تحديثات مشروعة.
- تشغيل الشبكات القائمة.
- حماية العملاء اللاحقين.
- إتاحة الفصل المستقل في النزاعات.
أما الأشياء التي يمكن استبدالها فتشمل:
- مجلس الإدارة.
- الغلاف المؤسسي.
- مشغّل الخدمة.
- آلية السياسات.
- هيكل الرسوم.
- الإطار التعاقدي.
- نظرية الإنفاذ.
- الاحتكار الذي تدعيه المؤسسة للشرعية الإقليمية.
هذا التمييز ليس راديكالياً.
إنه المنطق الأساسي للبنية التحتية القادرة على الصمود.
وكلما أصبحت الوظيفة أكثر أهمية، قلّ اعتمادها على بقاء منظمة واحدة أو حسن نيتها أو نظريتها القانونية.
لقد أقر نظام RIR بالنقطة بالفعل
يثبت عمل نظام RIR نفسه في مجال الاستمرارية أن وظائف السجل يمكن فصلها عن المؤسسة التي تؤديها حالياً.
في عام 2020، حدد نقاش حول الواجهة الخلفية للطوارئ في NRO خدمات WHOIS/RDAP وDNS العكسي وRPKI وIRR بوصفها خدمات تحتاج إلى نسخ احتياطية. ونظر في لقطات لآخر حالة سليمة معروفة، وفي إمكانية أن ينشئ RIR آخر الخدمات عندما يدخل أحد RIRs في حالة طوارئ.
ثم نصت مبادئ ICP-2 المقترحة على أن على RIR أن يحافظ على أوجه التكرار وأن يتيح مشاركة السجلات بما يكفي لتمكين RIR آخر من أداء خدماته. كما تصور المستند نفسه نقل العمليات إلى كيان خلف أو مؤقت بعد سحب الاعتراف.
ولا تزال هذه المقترحات متمحورة أكثر من اللازم حول نادي RIRs القائم. فهي تفترض أن الاستمرارية ينبغي أن تظل خاضعة للفئة المؤسسية نفسها التي سلطتها موضع السؤال.
لكنها تقر بالحقيقة الأساسية.
الغلاف قابل للاستبدال.
يمكن نقل الخدمة.
يمكن مشاركة السجلات.
يمكن لخلف أن يدير الوظيفة.
وبمجرد الإقرار بذلك، فإن عبارة «يجب أن تبقى AFRINIC لأن السجل يجب أن يبقى» لم تعد عبارة تقنية.
إنها تفضيل مؤسسي.
من الاستمرارية إلى الحصانة
تصبح مغالطة استمرارية السجل خطرة عندما تُستخدم للحصول على عزل سياسي أو قانوني.
والتسلسل متوقع.
أولاً، تعلن المؤسسة أن خدماتها لا غنى عنها.
ثم تعامل نفسها على أنها لا تنفصل عن تلك الخدمات.
ويصبح الطعن في مجلس الإدارة طعناً في السجل.
ويصبح الطعن في تفسير RSA تهديداً للتفرد.
ويصبح أمر المحكمة تهديداً لاستقرار الإنترنت.
ويصبح طلب قابلية النقل هجوماً على النظام الإقليمي.
ويصبح طلب الفصل المستقل في النزاعات تدخلاً في حوكمة المجتمع.
وأخيراً، تصبح حماية الاستمرارية حماية للمؤسسة من المساءلة.
هذا هو غسل الاستمرارية.
يُستخدم شرط تقني حقيقي لحماية ادعاءات سلطة لا علاقة لها به.
تتخذ المؤسسة الوظيفة درعاً تحتمي به.
والرسالة الضمنية بسيطة:
لا تفرضوا علينا قيوداً، لأن شيئاً مهماً يعتمد علينا.
لكن الاعتماد الحرج ينبغي أن يؤدي إلى النتيجة المعاكسة.
فكلما ازدادت أهمية وظيفة السجل، وجب أن يصبح مشغّلها أكثر قابلية للتدقيق والتكرار وقابلية النقل والفصل والاستبدال.
البنية التحتية التي لا غنى عنها تحتاج إلى إداريين قابلين للاستبدال.
وما عدا ذلك هو بنية قائمة على احتجاز الرهائن.
بنية للاستمرارية
البديل عن حماية المؤسسة ليس انهيار السجل.
بل هو بنية استمرارية صريحة.
أولاً، ينبغي إدارة حالة السجل المرجعية بإصدارات، وإخضاعها لتدقيق مستقل، وتكرارها باستمرار خارج السيطرة الحصرية لكيان مؤسسي واحد. ويجب أن تبقى سلسلة تاريخية من التغييرات المأذون بها قائمة رغم نزاعات مجلس الإدارة والإعسار والتقاضي والفشل التقني.
ثانياً، ينبغي أن تكون لدى RDAP وWHOIS وDNS العكسي وخدمات الأدلة ذات الصلة ترتيبات تعافٍ عند الفشل خضعت للاختبار. وينبغي أن تحدد خطط الاستمرارية البيانات والاعتمادات وتغييرات التفويض والسلطة التشغيلية اللازمة لنقل كل خدمة.
ثالثاً، يجب تصميم تعاقب RPKI بوصفه عملية أمنية أساسية. فهو يتطلب ترتيبات محددة لحيازة المفاتيح، واستمرارية المستودع، وإجراءات النشر في حالات الطوارئ، ومسار انتقال موثوقاً للشهادات والتفويضات. فالنسخة الاحتياطية الساكنة لا تكفي.
رابعاً، يجب فصل إدارة السجل عن الإنفاذ. فلا ينبغي للمشغّل الذي يحافظ على السجل أن يمتلك سلطة أحادية لتدمير الوضع التشغيلي الأساسي بسبب خلاف تجاري أو سياسي.
خامساً، ينبغي تسجيل النزاعات من دون تلويث العمليات غير المرتبطة بها. فقد يحمل المورد المتنازع عليه بيانات وصفية للنزاع. وقد تُوقف عمليات النقل المتعارضة. لكن لا ينبغي تدمير المسارات القائمة والكائنات الأمنية الصحيحة إلا إذا تطلب ذلك قرار مستقل على وجه التحديد.
سادساً، يجب أن تصبح قابلية النقل حقاً ثابتاً من حقوق الاستمرارية. وينبغي أن يكون حائز المورد قادراً على نقل خدمات التسجيل إلى خلف مؤهل من دون إعادة ترقيم شبكته، ومن دون طلب إذن تقديري من المؤسسة التي يغادرها.
سابعاً، يجب أن تكون محفزات الاستمرارية موضوعية وشفافة. ولا ينبغي أن يعتمد التعافي عند الفشل حصراً على الحكم السياسي لمجلس إدارة RIR آخر. فقد يكون للمحاكم، وأمناء الحفظ التقنيين المستقلين، وممثلي حائزي الموارد، والمعايير التشغيلية المحددة مسبقاً، أدوار جميعاً.
الهدف ليس إنشاء سيادة أخرى فوق AFRINIC.
بل ضمان عدم الحاجة إلى حارس بوابة ذي طبيعة سيادية أصلاً.
يمكن أن تستمر AFRINIC
إن فصل AFRINIC عن استمرارية السجل لا يتطلب تدمير AFRINIC.
قد تواصل AFRINIC تشغيل الخدمات التقنية.
وقد يحافظ موظفوها على معرفة تشغيلية قيّمة.
وقد تظل أنظمتها جزءاً من بنية انتقالية.
وقد يستمر وجودها المؤسسي إذا استطاعت أداء وظيفة ضيقة وخاضعة للمساءلة وقابلة للاستبدال.
لكن يجب ألا يُخلط بين هذه الاحتمالات وبين حق في الحفاظ على كل ادعاء من ادعاءات السلطة التي طرحتها AFRINIC.
فالمنفعة التقنية لا تصحح التجاوز المؤسسي.
والخبرة التشغيلية لا تنشئ سنداً سياسياً.
ومواصلة تشغيل سجل لا تجعل المشغّل مالكاً للإقليم أو للموارد أو للمستقبل.
قد تكون AFRINIC مشغّلاً واحداً لوظائف تسجيل أرقام أفريقيا.
لكنها لا يمكن أن تكون التجسيد الميتافيزيقي لاستمرارية الإنترنت الأفريقي.
السردية الصحيحة للإنقاذ
هناك صيغة عقلانية للقول إن AFRINIC تحتاج إلى الإنقاذ.
وهي:
يجب حماية استمرارية تسجيل أرقام الإنترنت للشبكات الأفريقية.
وهذا يعني حماية التفرد.
وحماية السجلات الدقيقة.
وحماية الوصول إلى RDAP وWHOIS.
وحماية DNS العكسي.
وحماية نشر RPKI وترحيله.
وحماية الشبكات العاملة.
وحماية العملاء اللاحقين.
وحماية الفصل المحايد في النزاعات.
ولا يعني:
- حماية مجلس الإدارة الحالي من الطعن.
- حماية التفسيرات الموسعة لـ RSA.
- حماية السرديات السياسية الواقعة خارج نطاق المنطقة.
- حماية الهيبة المؤسسية.
- حماية حراسة البوابة ذات المسؤولية المحدودة والسلطة التقديرية الواسعة.
- حماية كل ادعاء من ادعاءات السلطة لمجرد أن السجل القائم هو من طرحه.
هذه أهداف مختلفة.
ويعتمد معسكر RIR على معاملتها كأنها هدف واحد.
احموا دفتر السجل
الاختبار النهائي بسيط.
عندما يقول أحد إن AFRINIC يجب حمايتها من أجل استمرارية السجل، فاسألوا: ما الذي يجب أن يستمر تحديداً؟
السجلات؟
احفظوها.
خدمات الأدلة؟
كرروها.
المناطق العكسية؟
وفروا لها التعافي عند الفشل.
نظام RPKI؟
ابنوا مسار تعاقب آمناً.
الشبكات العاملة؟
احظروا الفعل الأحادي التدميري.
النزاعات؟
أحيلوها إلى جهة مستقلة.
لكن إذا كانت الإجابة هي أن مجلس إدارة AFRINIC وسلطتها في وضع السياسات وسرديتها الإقليمية وصلاحياتها التقديرية في الإنفاذ يجب أن تظل جميعاً بمنأى عن الطعن، فلم تعد الحجة تتعلق بالاستمرارية.
إنها تتعلق بالسيطرة.
احموا دفتر السجل، لا حارس البوابة.
احموا سلسلة الحيازة، لا سلسلة القيادة.
احموا استمرارية الشبكات الأفريقية، لا الوصاية القارية.
يجب أن يكون السجل قادراً على البقاء بعد المؤسسة.
ويجب ألا يُقال للإنترنت مرة أخرى إن الحفاظ على قاعدة بيانات يتطلب الحفاظ على ادعاء سيادة خاصة.
استمرارية السجل ضرورية.
أما خلود المؤسسة فليس ضرورياً.
أي استمرارية تؤيدون؟
يقول نظام RIR إنه يدافع عن الاستمرارية.
لكن لكن الاستمرارية التي يدافع عنها أكثر من غيرها ليست استمرارية الشبكة العاملة.
بل استمرارية سلطته هو على البنية التحتية العاملة ومشغّلي الشبكات: سلطة الموافقة والتعليق وإلغاء التسجيل وإعادة التفسير، وفي النهاية إنهاء الشروط التي يمكن للشبكة في ظلها أن تواصل العمل.
تلك ليست استمرارية الشبكة.
إنها استمرارية السيطرة.
موقفي هو العكس.
أنا أحمي استمرارية الشبكة العاملة: مساراتها، وعملاءها، وخدماتها، وكائناتها الأمنية، واعتمادها التعاقدي، ووجودها التشغيلي.
ولا يجوز لمؤسسات السجل أن تستمر إلا بقدر خدمتها لتلك الاستمرارية. فهي لا تكتسب مصلحة أسمى في الاستمرارية لمجرد أنها تحمل قاعدة البيانات.
لذلك فالسؤال الصعب ليس موجهاً إلى AFRINIC أو NRO أو مجالس إدارة RIR.
بل إلى كل مشغّل شبكة:
أي استمرارية تؤيدون؟
استمرارية شبكتكم العاملة؟
أم استمرارية سلطة مؤسسة على إنهاء استمرارية شبكتكم؟
لا توجد إجابة محايدة.
فإذا كنتم تؤيدون الأولى، فإن قابلية النقل، والفصل المستقل في النزاعات، والتعامل غير التدميري مع النزاعات، وفصل السجل عن الإنفاذ، والتعافي عند الفشل الذي يضع المشغّل أولاً، ليست إصلاحات اختيارية.
بل هي الحد الأدنى لبنية الاستمرارية.
أما إذا كنتم تؤيدون الثانية، فقولوا بوضوح ما الذي تجري حمايته:
ليس السجل.
وليس الإنترنت.
وليست أفريقيا.
بل استمرار سلطة حارس البوابة على البنية التحتية العاملة.
إنهم يحمون استمرارية السلطة على البنية التحتية العاملة ومشغّلي الشبكات.
وأنا أحمي استمرارية الشبكة العاملة.