Der Kontinuitätsfehlschluss der Registry – Das Register schützen, nicht den Torwächter
Was muss den Ausfall einer Institution überstehen: das Register oder der Torwächter?
Der Verwalter kann wechseln; die Aufzeichnungen und der Dienst müssen fortbestehen. Lu Heng argumentiert, dass Kontinuität eine geplante Nachfolge und keinen unersetzlichen Administrator braucht.
Anmerkung 69 stellte eine einfache Frage:
Stabilität wovon?
Darunter verbirgt sich eine weitere Frage.
Kontinuität wovon?
Regionale Internet-Registries stellen die Kontinuität der Registry oft als Argument dafür dar, die Institution zu bewahren, die die Registry derzeit betreibt. Im AFRINIC-Streit wird daraus eine bekannte Behauptung:
AFRINIC müsse geschützt werden, weil Afrika sich den Zusammenbruch seiner Nummern-Registry nicht leisten könne.
Der erste Teil ist umstritten.
Der zweite Teil ist wahr.
Afrika kann den Verlust der Kontinuität der Nummernregistrierung nicht verkraften. Das kann keine Region. Die Einzigartigkeit muss bewahrt werden. Registrierungsdaten müssen korrekt bleiben. RDAP, WHOIS, Reverse DNS und RPKI-Dienste müssen fortbestehen. Laufende Netze dürfen nicht destabilisiert werden. Nachgelagerte Kunden dürfen nicht zu Kollateralschäden werden. Für Ressourcenkonflikte muss es eine unabhängige Entscheidungsinstanz geben.
Doch nichts davon beweist, dass auch AFRINICs derzeitiger Vorstand, seine derzeitige Auslegung des Registration Service Agreement, seine derzeitige Erzählung über den Einsatz außerhalb der Region, sein derzeitiges institutionelles Selbstbild oder seine derzeitigen Torwächterbefugnisse bewahrt werden müssen.
Diese Ersetzung ist der Kontinuitätsfehlschluss der Registry.
Die Kontinuität der Registry ist an sich kein Fehlschluss.
Der Fehlschluss ist die Behauptung, dass die Kontinuität der Funktion die Kontinuität jeder Autorität erfordert, die von der Institution beansprucht wird, die diese Funktion derzeit ausübt.
Das tut sie nicht.
Anmerkung 69 unterschied zwischen institutioneller Stabilität und der Stabilität gerouteter Netze sowie der Kundenkontinuität. Anmerkung 70 geht eine Ebene tiefer: Die Kontinuität der Registry-Dienste muss von der Kontinuität der Macht der Registry-Körperschaft getrennt werden.
Die Funktion ist real
Die Registry-Funktion ist wichtig.
Internetnummern müssen einzigartig bleiben. Zwei voneinander unabhängigen Betreibern darf nicht gleichzeitig derselbe ausschließliche Registrierungsanspruch über denselben Adressblock zugewiesen werden. Historische Aufzeichnungen müssen bewahrt werden. Kontrollwechsel müssen erfasst werden. Betrügerische Änderungen müssen verhindert werden. Öffentliche Verzeichnisdienste müssen verfügbar bleiben. Sicherheitszusicherungen müssen überprüfbar bleiben.
Das ist kein politisches Theater.
Es ist echte Koordination.
AFRINIC stellt derzeit Registrierungsdaten, RDAP, WHOIS, Reverse DNS, RPKI und damit verbundene Routing-Dienste bereit oder unterstützt sie. Diese Dienste haben operativen Wert. AFRINICs eigene Dokumentation beschreibt RPKI, Reverse DNS und Routing-Registries neben der Verwaltung von IP-Adressen und ASNs als wesentliche Dienste.
Der Fehler beginnt, wenn diese Funktionen mit einer völlig anderen Kategorie von Ansprüchen gebündelt werden:
- Dass AFRINIC Afrika repräsentiert.
- Dass seine Serviceregion ihm politische Stellung verleiht.
- Dass sein Vorstand die Bedeutung des RSA erweitern darf, nachdem Ressourcen operativ eingebettet worden sind.
- Dass es Vermietung, kommerzielle Nutzung oder die Geografie der Kunden regulieren darf.
- Dass die Anfechtung seines Ermessens das Internet bedroht.
- Dass der Schutz technischer Dienste den Schutz der Institution vor gewöhnlicher rechtlicher Rechenschaftspflicht erfordert.
Keine dieser Aussagen folgt aus der Notwendigkeit, eine Registry aufrechtzuerhalten.
Eine Datenbank braucht Kontinuität.
Ein Souveränitätsanspruch braucht sie nicht.
Was die Kontinuität der Registry tatsächlich erfordert
Die Kontinuitätsanforderung besteht aus fünf Teilen.
Einzigartigkeit der Nummern
Dieselbe Nummernressource darf nicht gleichzeitig auf unvereinbare Anspruchsteller registriert sein.
Das ist die ursprüngliche technische Rechtfertigung für die Registry-Schicht. Sie ist eng begrenzt. Sie ist objektiv. Sie kann geprüft werden.
Einzigartigkeit erfordert weder, dass die Registry das Geschäftsmodell eines Betreibers gutheißt, noch eine Theorie regionaler kommerzieller Loyalität. Sie erfordert auch nicht, dass die Registry den durch die Nutzung der Nummer geschaffenen Wert besitzt.
Sie erfordert eine zutreffende Antwort auf eine begrenzte Frage:
Wer hält derzeit den anerkannten Registrierungsanspruch über diese Ressource?
Richtigkeit der Registrierung
Die Registry muss korrekte Informationen über Nummernressourcen, registrierte Inhaber, autorisierte Änderungen, Übertragungen, Sicherheitsstatus und relevante Konfliktmetadaten bewahren.
Richtigkeit erfordert Belege, Prüfpfade und kontrollierte Aktualisierungen.
Sie erfordert kein moralisches Ermessensurteil.
Eine Registry darf eine gefälschte Übertragung korrigieren.
Sie darf eine doppelte Registrierung verhindern.
Sie darf vermerken, dass ein Anspruch umstritten ist.
Sie sollte die operative Realität nicht einfach deshalb umschreiben, weil ihre Direktoren eine neue politische Auslegung eines alten Vertrags angenommen haben.
Das Register muss vor Korruption geschützt werden.
Es muss auch vor der Institution geschützt werden, die es betreibt.
Kontinuität von Veröffentlichung und Sicherheit
RDAP, WHOIS, Reverse DNS, RPKI-Repositorien und damit verbundene Veröffentlichungsdienste müssen während des institutionellen Versagens, Rechtsstreitigkeiten, Insolvenz, Governance-Konflikten oder eines Übergangs verfügbar bleiben.
RPKI verdient besondere Sorgfalt. Es ist nicht bloß eine Datei, die auf einen anderen Server kopiert werden kann. Zertifikate, Repositorien, Manifeste, Widerrufsinformationen, ROAs, Signaturverfahren und das Vertrauen der Relying Parties müssen kohärent bleiben. AFRINICs eigene Dokumentation weist darauf hin, dass Validatoren den AFRINIC Trust Anchor Locator verwenden, um Objekte aus seinem RPKI-Repository abzurufen.
Das macht eine geplante Nachfolge erforderlich.
Es macht AFRINIC nicht unsterblich.
Die Komplexität des Übergangs eines kritischen Dienstes ist ein Argument dafür, vor einem Ausfall einen Übergangsmechanismus aufzubauen. Sie ist kein Argument dafür, dem derzeitigen Betreiber dauerhafte Autorität zu verleihen.
Kontinuität des Netzbetriebs und der Kundenbeziehungen
Registry-Streitigkeiten dürfen nicht in Routing-Unterbrechungen, Sicherheitsverfälschung, erzwungene Umnummerierung oder Kundenausfälle verwandelt werden.
Die primäre Kontinuitätspflicht gilt nicht dem Registry-Büro.
Sie gilt den Netzen, die die Nummern verwenden.
Betreiber haben ihre Infrastruktur um diese Ressourcen herum aufgebaut. Kunden haben ihre Systeme um diese Infrastruktur herum aufgebaut. Sicherheitsregeln, Zulassungslisten, APIs, Zahlungsbeziehungen, Cloud-Bereitstellungen, Verträge und Compliance-Systeme können alle von stabilen Netzkennungen abhängen.
Eine Registry-Maßnahme, die institutionelle Autorität bewahrt, indem sie diese Systeme bedroht, hat die Kontinuität nicht geschützt.
Sie hat sie umgekehrt.
Unabhängige Kontinuität der Streitentscheidung
Streitigkeiten wird es geben.
Eigentumsansprüche werden kollidieren. Übertragungen werden angefochten. Betrug wird behauptet werden. Verträge werden unterschiedlich ausgelegt werden. Die Kontrolle über Unternehmen kann sich ändern. Gläubiger, Gerichte, Betreiber und Registries können unterschiedlicher Meinung sein.
Die Antwort kann nicht darin bestehen, die Registry gleichzeitig als Registerführer, Anspruchsteller, Richter und Vollstrecker handeln zu lassen.
Ein echtes Kontinuitätssystem braucht ein unabhängiges Forum, das Streitigkeiten entscheiden kann, ohne den strittigen Vermögenswert zu zerstören.
Während des Entscheidungsverfahrens sollte die Bewahrung des zuletzt verifizierten operativen Zustands der Standard sein. Das System darf widersprüchliche Änderungen blockieren. Es sollte laufende Ressourcen nicht einfach deshalb entziehen, verfälschen oder neu verteilen, weil die Registry eine Seite eingenommen hat.
Die Isolierung von Streitigkeiten ist Teil der Kontinuität.
Selbsthilfe der Registry ist es nicht.
Was Kontinuität nicht erfordert
Kein Datenpaket trägt den Namen eines AFRINIC-Direktors.
Keine RDAP-Antwort erfordert AFRINICs institutionellen Stolz.
Keine Reverse-DNS-Delegation hängt von einer politischen Erzählung über den Einsatz außerhalb der Region ab.
Kein ROA erfordert die Vorstellung, Afrika sei ein einziges politisches Gemeinwesen, das von einem Unternehmen aus Mauritius vertreten wird.
Keine Invariante der Einzigartigkeit erfordert eine expansive Auslegung des RSA.
Fortbestehen müssen:
- Die Aufzeichnungen.
- Die Dienste.
- Die Sicherheitskette.
- Die Möglichkeit, legitime Aktualisierungen vorzunehmen.
- Der Betrieb bestehender Netze.
- Der Schutz nachgelagerter Kunden.
- Die Verfügbarkeit unabhängiger Streitentscheidung.
Ersetzt werden können:
- Der Vorstand.
- Die gesellschaftsrechtliche Hülle.
- Der Dienstbetreiber.
- Der Policy-Apparat.
- Die Gebührenstruktur.
- Der Vertragsrahmen.
- Die Theorie der Durchsetzung.
- Das von der Institution beanspruchte Monopol auf regionale Legitimität.
Diese Unterscheidung ist nicht radikal.
Sie ist die grundlegende Logik resilienter Infrastruktur.
Je kritischer eine Funktion wird, desto weniger sollte sie vom Überleben, vom guten Willen oder von der Rechtstheorie einer einzigen Organisation abhängen.
Das RIR-System hat den Punkt bereits eingeräumt
Die eigene Kontinuitätsarbeit des RIR-Systems zeigt, dass Registry-Funktionen von der Institution getrennt werden können, die sie derzeit ausübt.
Im Jahr 2020 identifizierte eine Diskussion über ein NRO-Notfall-Backend WHOIS/RDAP, Reverse DNS, RPKI und IRR als Dienste, die eine Sicherung benötigen. Sie erörterte Schnappschüsse des zuletzt bekannten guten Zustands und die Möglichkeit, dass eine andere RIR Dienste bereitstellt, wenn eine RIR in einen Notfallzustand eintritt.
Die später vorgeschlagenen ICP-2-Grundsätze erklärten, eine RIR solle Redundanzen vorhalten und sich an einer Austausch von Registerdaten in einem Umfang beteiligen, der es einer anderen RIR ermöglicht, ihre Dienste zu erbringen. Dasselbe Dokument sah vor, den Betrieb nach einer Aberkennung auf einen Nachfolger oder eine Übergangseinheit zu übertragen.
Diese Vorschläge bleiben zu stark auf den amtierenden RIR-Club konzentriert. Sie setzen voraus, dass die Kontinuität von derselben institutionellen Klasse kontrolliert werden sollte, deren Autorität gerade in Frage steht.
Doch sie räumen die wesentliche Tatsache ein.
Die Hülle ist ersetzbar.
Der Dienst kann übertragen werden.
Die Aufzeichnungen können geteilt werden.
Ein Nachfolger kann die Funktion betreiben.
Sobald dies eingeräumt ist, ist „AFRINIC muss überleben, weil die Registry überleben muss“ keine technische Aussage mehr.
Es ist eine institutionelle Präferenz.
Von der Kontinuität zur Immunität
Der Kontinuitätsfehlschluss der Registry wird gefährlich, wenn er dazu verwendet wird, politische oder rechtliche Abschirmung zu erlangen.
Die Abfolge ist vorhersehbar.
Zuerst erklärt die Institution, ihre Dienste seien unverzichtbar.
Dann behandelt sie sich selbst als untrennbar von diesen Diensten.
Eine Anfechtung des Vorstands wird zu einer Anfechtung der Registry.
Eine Anfechtung einer RSA-Auslegung wird zu einer Bedrohung der Einzigartigkeit.
Eine gerichtliche Anordnung wird zu einer Bedrohung der Internetstabilität.
Eine Forderung nach Portabilität wird zu einem Angriff auf das regionale System.
Eine Forderung nach unabhängiger Streitentscheidung wird zu einer Einmischung in die Community-Governance.
Am Ende bedeutet der Schutz der Kontinuität den Schutz der Institution vor Rechenschaftspflicht.
Das ist Kontinuitätswäsche.
Eine echte technische Anforderung wird dazu benutzt, sachfremde Autoritätsansprüche zu schützen.
Die Institution hält die Funktion wie einen Schild vor sich.
Die unausgesprochene Botschaft ist einfach:
Beschränkt uns nicht, denn etwas Wichtiges hängt von uns ab.
Doch kritische Abhängigkeit sollte zum gegenteiligen Schluss führen.
Je wichtiger die Registry-Funktion ist, desto überprüfbarer, replizierter, portabler, trennbarer und ersetzbarer muss ihr Betreiber werden.
Unverzichtbare Infrastruktur braucht ersetzbare Administratoren.
Alles andere ist Geiselarchitektur.
Eine Kontinuitätsarchitektur
Die Alternative zum institutionellen Schutz ist nicht der Zusammenbruch der Registry.
Sie ist eine ausdrückliche Kontinuitätsarchitektur.
Erstens sollte der autoritative Zustand der Registry versioniert, unabhängig prüfbar und fortlaufend außerhalb der exklusiven Kontrolle eines einzigen Unternehmens repliziert werden. Eine historische Kette autorisierter Änderungen muss Vorstands- und Insolvenzstreitigkeiten, Rechtsstreitigkeiten und technische Ausfälle überstehen.
Zweitens sollten RDAP, WHOIS, Reverse DNS und damit verbundene Verzeichnisdienste über getestete Ausweichlösungen verfügen. Kontinuitätspläne sollten die Daten, Zugangsdaten, Delegationsänderungen und operative Autorität bestimmen, die erforderlich sind, um jeden Dienst zu verlagern.
Drittens muss die RPKI-Nachfolge als eigenständiger Sicherheitsprozess gestaltet werden. Sie erfordert festgelegte Verfahren zur Schlüsselverwahrung, Kontinuität des Repositoriums, Notfallverfahren für Veröffentlichungen und einen glaubwürdigen Migrationspfad für Zertifikate und Autorisierungen. Eine statische Sicherung reicht nicht aus.
Viertens muss die Registry-Verwaltung von der Durchsetzung getrennt werden. Der Betreiber, der den Datensatz pflegt, sollte nicht die einseitige Befugnis besitzen, die zugrunde liegende operative Position wegen einer geschäftlichen oder politischen Meinungsverschiedenheit zu zerstören.
Fünftens sollten Streitigkeiten erfasst werden, ohne andere Abläufe zu kontaminieren. Eine umstrittene Ressource kann Konfliktmetadaten tragen. Widersprüchliche Übertragungen können pausiert werden. Bestehende Routen und gültige Sicherheitsobjekte sollten nicht zerstört werden, sofern eine unabhängige Entscheidung dies nicht ausdrücklich verlangt.
Sechstens muss Portabilität zu einem zwingenden Kontinuitätsrecht werden. Ein Ressourceninhaber sollte in der Lage sein, Registrierungsdienste zu einem qualifizierten Nachfolger zu verlagern, ohne sein Netz neu zu nummerieren und ohne eine Erlaubnis nach Ermessen der Institution zu benötigen, die er verlässt.
Siebtens müssen Kontinuitätsauslöser objektiv und transparent sein. Ausfallsicherung sollte nicht allein vom politischen Urteil des Vorstands einer anderen RIR abhängen. Gerichte, unabhängige technische Verwahrer, Vertreter der Ressourceninhaber und vordefinierte operative Kriterien können dabei jeweils eine Rolle spielen.
Das Ziel besteht nicht darin, einen weiteren Souverän über AFRINIC zu schaffen.
Das Ziel besteht darin sicherzustellen, dass überhaupt kein souveränsähnlicher Torwächter erforderlich ist.
AFRINIC kann fortbestehen
Die Trennung AFRINICs von der Kontinuität der Registry erfordert nicht die Zerstörung AFRINICs.
AFRINIC kann technische Dienste weiter betreiben.
Seine Mitarbeiter können wertvolles operatives Wissen bewahren.
Seine Systeme können weiterhin Teil einer Übergangsarchitektur sein.
Seine gesellschaftsrechtliche Existenz kann fortbestehen, wenn es eine eng begrenzte, rechenschaftspflichtige und ersetzbare Funktion erfüllen kann.
Doch diese Möglichkeiten dürfen nicht mit einem Recht verwechselt werden, jeden Autoritätsanspruch zu bewahren, den AFRINIC erhoben hat.
Technischer Nutzen bestätigt keine institutionelle Überschreitung von Befugnissen.
Operative Erfahrung schafft keinen politischen Anspruch.
Der fortgesetzte Betrieb einer Registry macht den Betreiber weder zum Eigentümer der Region noch der Ressourcen oder der Zukunft.
AFRINIC kann ein Betreiber afrikanischer Nummernregistrierungsfunktionen sein.
Es kann nicht die metaphysische Verkörperung der Kontinuität des afrikanischen Internets sein.
Die richtige Rettungserzählung
Es gibt eine vernünftige Version der Aussage, AFRINIC müsse gerettet werden.
Sie lautet:
Die Kontinuität der Internet-Nummernregistrierung für afrikanische Netze muss geschützt werden.
Das bedeutet, die Einzigartigkeit zu schützen.
Die Richtigkeit der Aufzeichnungen zu schützen.
Den Zugang zu RDAP und WHOIS zu schützen.
Reverse DNS zu schützen.
Die Veröffentlichung und Migration von RPKI zu schützen.
Laufende Netze zu schützen.
Nachgelagerte Kunden zu schützen.
Eine neutrale Streitentscheidung zu schützen.
Es bedeutet nicht:
- Den derzeitigen Vorstand vor Anfechtung zu schützen.
- Weitreichende RSA-Auslegungen zu schützen.
- Politische Erzählungen über den Einsatz außerhalb der Region zu schützen.
- Institutionelles Ansehen zu schützen.
- Torwächterstrukturen mit geringer Haftung und großem Ermessen zu schützen.
- Jeden Autoritätsanspruch zu schützen, nur weil er von der amtierenden Registry erhoben wurde.
Das sind unterschiedliche Ziele.
Das RIR-Lager ist darauf angewiesen, sie als eines zu behandeln.
Das Register schützen
Der abschließende Test ist einfach.
Wenn jemand sagt, AFRINIC müsse zum Schutz der Kontinuität der Registry geschützt werden, frage, was genau fortbestehen muss.
Die Aufzeichnungen?
Bewahre sie.
Die Verzeichnisdienste?
Repliziere sie.
Die Reverse-Zonen?
Stelle Ausfallsicherung bereit.
Das RPKI-System?
Baue einen sicheren Nachfolgepfad.
Laufende Netze?
Verbiete zerstörerische einseitige Maßnahmen.
Streitigkeiten?
Verweise sie an ein unabhängiges Forum.
Doch wenn die Antwort lautet, AFRINICs Vorstand, Policy-Autorität, territoriale Erzählung und Ermessensbefugnisse bei der Durchsetzung müssten allesamt jeder Anfechtung entzogen bleiben, dann geht es in dem Argument nicht mehr um Kontinuität.
Es geht um Kontrolle.
Schütze das Register, nicht den Torwächter.
Schütze die Verwahrungskette, nicht die Befehlskette.
Schütze die Kontinuität afrikanischer Netze, nicht die kontinentale Vormundschaft.
Die Registry muss in der Lage sein, die Institution zu überleben.
Dem Internet darf nie wieder gesagt werden, dass der Erhalt einer Datenbank den Erhalt eines privaten Souveränitätsanspruchs erfordert.
Die Kontinuität der Registry ist notwendig.
Institutionelle Unsterblichkeit ist es nicht.
Welche Kontinuität unterstützt du?
Das RIR-System sagt, es verteidige die Kontinuität.
Doch die Kontinuität, die es am konsequentesten verteidigt, ist nicht die Kontinuität des laufenden Netzes.
Es ist die Kontinuität seiner eigenen Macht über laufende Infrastruktur und Netzbetreiber: die Macht, den Weiterbetrieb eines Netzes zu genehmigen, auszusetzen, das Netz zu deregistrieren, die dafür geltenden Bedingungen neu auszulegen und den Betrieb letztlich zu beenden, unter denen ein Netz seinen Betrieb fortsetzen kann.
Das ist keine Netzwerkkontinuität.
Es ist die Kontinuität der Kontrolle.
Meine Position ist das Gegenteil.
Ich schütze die Kontinuität des laufenden Netzes: seiner Routen, Kunden, Dienste, Sicherheitsobjekte, dem Vertrauen auf bestehende Verträge und operativen Existenz.
Registry-Institutionen dürfen nur insoweit fortbestehen, wie sie dieser Kontinuität dienen. Sie erwerben kein übergeordnetes Kontinuitätsinteresse, nur weil sie die Datenbank halten.
Die schwierige Frage richtet sich also nicht an AFRINIC, die NRO oder die RIR-Vorstände.
Sie richtet sich an jeden Netzbetreiber:
Welche Kontinuität unterstützt du?
Die Kontinuität deines laufenden Netzes?
Oder die Kontinuität der Macht einer Institution, die Kontinuität deines Netzes zu beenden?
Es gibt keine neutrale Antwort.
Wenn du die erste unterstützt, dann sind Portabilität, unabhängige Streitentscheidung, nicht destruktive Streitbeilegung, die Trennung von Registry und Durchsetzung sowie betreiberorientierte Ausfallsicherung keine optionalen Reformen.
Sie sind die minimale Architektur der Kontinuität.
Wenn du die zweite unterstützt, dann sage offen, was geschützt wird:
Nicht die Registry.
Nicht das Internet.
Nicht Afrika.
Sondern die fortbestehende Macht des Torwächters über laufende Infrastruktur.
Sie schützen die Kontinuität der Macht über laufende Infrastruktur und Netzbetreiber.
Ich schütze die Kontinuität des laufenden Netzes.