Conserva il registro. Rendi il portiere sostituibile.

Internet è stata costruita su una semplice disciplina ingegneristica: consenso approssimativo e codice funzionante. Gli standard hanno guadagnato la loro autorità perché hanno funzionato su reti reali, non perché sono stati dichiarati da un comitato. I registri hanno preso in prestito la loro legittimità da quella tradizione e poi l’hanno ribaltata, utilizzando la politica per prevalere sulle reti che erano già in funzione.

Io chiamo il primato del codice di esecuzione della riparazione. Ogni regola di registro dovrebbe affrontare una domanda: quali interruzioni nel funzionamento di Internet se ciò non viene deciso a livello centrale? Se la risposta è unicità, interoperabilità, record accurati, sicurezza o continuità, la regola potrebbe appartenere al livello condiviso. Se non si rompe nulla, la regola non è il coordinamento. È potere e appartiene a qualcos'altro.

Nella nota 64 ho stabilito tre regole di progettazione per qualsiasi record condiviso di questo tipo. Specifica minima iniziale: scrivere solo ciò che ogni partecipante deve condividere, in una forma che ciascuno possa verificare. Decisione futura localizzata: lascia che ogni operatore decida autonomamente le modifiche successive. Adozione volontaria: una nuova regola diventa reale quando le reti scelgono di applicarla, e scegliere di non farlo non è una violazione.

Applicato ai registri, il livello condiviso conserva solo ciò che richiedono le reti in funzione. Il leasing, l’ubicazione dei clienti, i prezzi, i finanziamenti e i modelli di business spettano all’operatore, ai contratti e ai mercati e, dove serve la forza, al diritto pubblico e ai tribunali. I numeri all'interno di un indirizzo IP funzionano ovunque perché nessuno li concede in licenza; il record che li rende unici dovrebbe essere altrettanto insignificante.

Un catasto registra chi possiede un campo senza chiedere se i piani del nuovo proprietario siano saggi. Un registro dei numeri Internet dovrebbe funzionare allo stesso modo. Dovrebbe verificare che un trasferimento sia autentico, che i numeri non siano registrati due volte e che la registrazione sia corretta, per poi registrarlo entro scadenze prestabilite: nella mia bozza per AFRINIC, dieci giorni lavorativi per un trasferimento ordinario e venti tra registri. Dovrebbe rifiutare solo per i difetti elencati, con motivazioni scritte, prove e diritto di ricorso.

La rimozione degli indirizzi dovrebbe essere altrettanto limitata: un'ordinanza del tribunale o una decisione indipendente, una frode accertata, un duplicato che non può essere risolto, un abbandono scritto, un'emergenza di sicurezza breve e rivista o il mancato pagamento dopo il preavviso. I dati di sicurezza che proteggono il routing devono rimanere neutrali, mai esercitare una pressione sui membri. Quando i titolari non sono d'accordo, il registro dovrebbe mostrare la controversia e conservare l'ultimo stato verificato mentre un forum indipendente decide. Un registro non dovrebbe mai essere allo stesso tempo custode, ricorrente, giudice e boia.

La responsabilità inizia con la capacità di andarsene. Puoi cambiare operatore di telefonia mobile e mantenere il tuo numero e il tuo operatore si comporterà di conseguenza. Una rete dovrebbe essere in grado di trasferire la registrazione dei propri indirizzi, con il record, la prova del controllo e le informazioni di sicurezza, a un successore qualificato, senza rinumerazione e senza chiedere il permesso al registro che sta lasciando.

Non si tratta di una società che cambia la propria appartenenza da un registro all'altro. Si tratta della risorsa: un determinato blocco di indirizzi non deve rimanere intrappolato nel fallimento, nella cattura o nella disputa di un’istituzione.

La continuità deve essere progettata, non presupposta. Lo stato del registro dovrebbe essere sottoposto a versione, verificato in modo indipendente e copiato al di fuori del controllo di ogni singola organizzazione. I servizi di directory necessitano di un failover testato e il sistema di sicurezza necessita di una successione pianificata di chiavi e repository, perché un backup statico non è sufficiente. Le discussioni di emergenza dei registri accettano già che un altro operatore possa assumere il servizio. Non hanno ancora accettato che la scelta non possa spettare allo stesso club.

Oggi una rete deve fidarsi della parola del registro per ciò che dice il suo record. Lo stato finale che sostengo è diverso: lo stato del record è condiviso e verificabile, in modo che qualsiasi rete possa verificare da sola chi detiene quali numeri, e nessuna singola istituzione è la fonte della validità. Un registro distribuito è un modo per costruirlo. Ciò che conta è la verifica indipendente e la portabilità, non una particolare tecnologia, token o valuta.

Non deve arrivare per rottura. Il percorso si svolge per tappe: rendere visibile il sistema, proteggere la continuità delle reti funzionanti, coordinare i titolari a rischio e solo successivamente passare a un’architettura più snella. Durante la transizione i registri esistenti potranno continuare a mantenere registri e pubblicare servizi, una volta che non giudicheranno più il commercio. Lo stesso AFRINIC può continuare come operatore ristretto, responsabile e sostituibile.

L'ingegneria è un vero lavoro: l'autenticazione, le storie contrastanti, le chiavi compromesse e la successione sicura devono essere risolti. Preferirei nominare questi problemi piuttosto che far finta che non esistano.

Nuovi manager. Un consiglio migliore può migliorare un registro per un po', ma il consiglio successivo eredita lo stesso veto. L’obiettivo non è un sovrano più gentile. È porre fine alla pretesa di sovranità.

Governi. Gli Stati possono e devono far rispettare le proprie leggi attraverso i propri tribunali, ed è qui che rientrano le decisioni coercitive. Consegnare lo stesso sistema di numerazione ai governi inviterebbe alla censura, alla frammentazione e alla pressione politica sul routing, e quasi duecento stati non riusciranno mai ad accordarsi su un unico registro.

Un organismo globale più grande. Dare a ICANN, all’organismo di coordinamento dei registri o a un forum delle Nazioni Unite maggiore autorità, costruirebbe una versione più grande dello stesso cancello. Un forum permanente è pur sempre un forum.

Solo più responsabilità. Far sì che i registri paghino per il danno che causano significherebbe pagare un prezzo, ma la responsabilità non acquista il diritto di governare. La cura migliore è rimuovere il potere che causa il danno.