Garder le registre. Rendre son administrateur remplaçable.

Internet s’est construit sur une discipline d’ingénieur toute simple : le consensus approximatif et le code en fonctionnement. Les normes tiraient leur autorité du fait qu’elles marchaient sur de vrais réseaux, non de la décision d’un comité. Les registres ont emprunté leur légitimité à cette tradition, puis l’ont retournée, en se servant de leurs politiques pour passer outre des réseaux qui fonctionnaient déjà.

Le correctif, je l’appelle la primauté du code en fonctionnement. Chaque règle d’un registre devrait être soumise à une seule question : qu’est-ce qui casse dans l’Internet réel si ce point n’est pas tranché de façon centralisée ? Si la réponse est l’unicité, l’interopérabilité, l’exactitude des enregistrements, la sécurité ou la continuité, la règle peut relever de la couche commune. Si rien ne casse, la règle ne relève pas de la coordination. C’est du pouvoir, et sa place est ailleurs.

Dans la Note 64, j’ai énoncé trois règles de conception pour tout registre partagé de ce type. Spécification initiale minimale : n’inscrire que ce que chaque participant doit partager, sous une forme que chacun peut vérifier. Décision future locale : laisser chaque opérateur décider lui-même des changements ultérieurs. Adoption volontaire : une nouvelle règle devient réalité lorsque les réseaux choisissent de l’appliquer, et choisir de ne pas le faire n’est pas une infraction.

Appliquée aux registres, la couche commune ne conserve que ce dont les réseaux en fonctionnement ont besoin. La location, la localisation des clients, les prix, le financement et les modèles économiques reviennent à l’opérateur, aux contrats et aux marchés et, lorsqu’une contrainte est nécessaire, au droit public et aux tribunaux. Les numéros qui composent une adresse IP fonctionnent partout parce que personne ne les soumet à une licence ; le registre qui garantit leur unicité devrait être tout aussi banal.

Un registre foncier inscrit le propriétaire d’un champ sans se demander si ses projets sont judicieux. Un registre des numéros d’Internet devrait fonctionner de la même façon. Il devrait vérifier que le transfert est authentique, que les numéros ne sont pas enregistrés deux fois et que les données sont exactes, puis l’inscrire dans des délais fixes : dans mon projet pour AFRINIC, dix jours ouvrés pour un transfert ordinaire et vingt entre registres. Il ne devrait refuser que pour des défauts limitativement énumérés, par écrit, avec des motifs, des preuves et une voie de recours.

Le retrait d’adresses devrait être tout aussi encadré : une décision de justice ou une décision indépendante, une fraude prouvée, un doublon impossible à résoudre, un abandon déclaré par écrit, une urgence de sécurité brève et soumise à contrôle, ou un défaut de paiement après mise en demeure. Les données de sécurité qui protègent le routage doivent rester neutres et ne jamais servir de levier contre les membres. Lorsque des titulaires sont en désaccord, le registre devrait signaler le litige et conserver le dernier état vérifié pendant qu’une instance indépendante tranche. Un registre ne devrait jamais être à la fois greffier, partie, juge et bourreau.

L’obligation de rendre des comptes commence avec la possibilité de partir. Vous pouvez changer d’opérateur mobile en gardant votre numéro, et votre opérateur se comporte en conséquence. Un réseau devrait pouvoir transférer l’enregistrement de ses adresses, avec les données, la preuve de contrôle et les informations de sécurité, vers un successeur qualifié, sans renumérotation et sans demander la permission au registre qu’il quitte.

Il ne s’agit pas, pour une entreprise, de passer d’un registre à un autre en tant que membre. Il s’agit de la ressource : un bloc d’adresses donné ne doit pas rester prisonnier de la défaillance, de la capture ou du litige d’une seule institution.

La continuité se conçoit, elle ne se présume pas. L’état du registre devrait être versionné, audité de manière indépendante et copié hors du contrôle de toute organisation unique. Les services d’annuaire ont besoin d’un basculement testé, et le système de sécurité d’une succession planifiée de ses clés et de ses dépôts, car une sauvegarde statique ne suffit pas. Dans leurs propres réflexions sur les plans de secours, les registres admettent déjà qu’un autre opérateur puisse reprendre le service. Ils n’ont pas encore admis que ce choix ne peut pas revenir au même club.

Aujourd’hui, un réseau doit croire le registre sur parole quant au contenu de ses enregistrements. L’aboutissement que je défends est différent : l’état du registre est partagé et vérifiable, de sorte que chaque réseau peut constater par lui-même qui détient quels numéros, et qu’aucune institution n’est à elle seule la source de la validité. Un registre distribué est l’une des manières de le construire. Ce qui compte, c’est la vérification indépendante et la portabilité, pas une technologie, un jeton ou une monnaie en particulier.

Il n’est pas nécessaire d’y parvenir par une rupture. Le chemin passe par des étapes : rendre le système visible, protéger la continuité des réseaux en fonctionnement, coordonner les titulaires exposés, et seulement ensuite passer à une architecture plus légère. Pendant la transition, les registres existants peuvent continuer à tenir les enregistrements et à publier les services, dès lors qu’ils cessent de juger les transactions commerciales. AFRINIC elle-même peut continuer, en opérateur étroit, responsable et remplaçable.

Le travail d’ingénierie est réel : l’authentification, les historiques contradictoires, les clés compromises et la succession sécurisée sont autant de problèmes à résoudre. Je préfère les nommer plutôt que de faire comme s’ils n’existaient pas.

De nouveaux dirigeants. Un meilleur conseil peut améliorer un registre pendant un temps, mais le conseil suivant hérite du même veto. Le but n’est pas d’avoir un souverain plus bienveillant. C’est d’en finir avec la prétention à la souveraineté.

Les gouvernements. Les États peuvent et doivent faire respecter leurs propres lois par leurs propres tribunaux, et c’est là que doivent se prendre les décisions contraignantes. Confier aux gouvernements le système de numérotation lui-même ouvrirait la porte à la censure, à la fragmentation et aux pressions politiques sur le routage, et près de deux cents États ne s’accorderont jamais sur un registre unique.

Une instance mondiale élargie. Donner davantage d’autorité à l’ICANN, à l’organe de coordination des registres ou à un forum des Nations unies reviendrait à construire une version agrandie de la même barrière. Un forum permanent reste un forum.

Une responsabilité accrue, et rien d’autre. Obliger les registres à payer pour les dommages qu’ils causent donnerait un prix à ces dommages, mais la responsabilité n’achète pas le droit de gouverner. Le meilleur remède consiste à supprimer le pouvoir qui les cause.