La fallacia della continuità del registro — proteggere il registro, non il custode
Cosa deve sopravvivere al fallimento di un’istituzione: il registro o il custode?
La nota 69 poneva una semplice domanda:
Stabilità di cosa?
Dietro si nasconde un’altra domanda.
Continuità di cosa?
I registri Internet regionali spesso presentano la continuità del registro come argomento a favore della preservazione dell'istituzione che attualmente gestisce il registro. Nella disputa AFRINIC, questa diventa un'affermazione familiare:
AFRINIC deve essere protetto perché l'Africa non può permettersi il collasso del suo registro dei numeri.
La prima parte è discutibile.
La seconda parte è vera.
L’Africa non può permettersi la perdita della continuità della registrazione del numero. Nessuna regione può farlo. L'unicità deve essere preservata. I registri di registrazione devono rimanere accurati. I servizi RDAP, WHOIS, reverse DNS e RPKI devono continuare. Le reti funzionanti non devono essere destabilizzate. I clienti a valle non devono diventare un danno collaterale. Le controversie sulle risorse devono avere un luogo indipendente dove essere risolte.
Ma nulla di tutto ciò dimostra che l’attuale consiglio di amministrazione di AFRINIC, l’attuale interpretazione del suo Accordo sui servizi di registrazione, l’attuale narrativa fuori regione, l’attuale immagine di sé istituzionale o gli attuali poteri di controllo debbano essere preservati.
Tale sostituzione è l’errore di continuità del registro.
La continuità del registro non è di per sé un errore.
L'errore è l'affermazione che la continuità della funzione richiede la continuità di ogni autorità rivendicata dall'istituzione che attualmente la esercita.
Non è così.
Nota 69 distingueva la stabilità istituzionale dalla stabilità della rete instradata e dalla stabilità della continuità del cliente. La nota 70 approfondisce la distinzione: la continuità dei servizi del registro deve essere separata dalla continuità dei servizi del registro potere della società di registrazione.
La funzione è reale
Il funzione del registro conta.
I numeri Internet devono rimanere univoci. A due operatori non collegati non può essere data la stessa pretesa di registrazione esclusiva sullo stesso blocco di indirizzi. I documenti storici devono essere preservati. I cambiamenti di controllo devono essere registrati. Le alterazioni fraudolente devono essere evitate. I servizi di elenchi pubblici devono rimanere disponibili. Le asserzioni di sicurezza devono rimanere verificabili.
Questo non è teatro politico.
È un vero coordinamento.
AFRINIC attualmente fornisce o supporta dati di registrazione, RDAP, WHOIS, DNS inverso, RPKI e servizi di routing correlati. Tali servizi hanno valore operativo. La documentazione di AFRINIC descrive RPKI, DNS inverso e registri di routing come servizi essenziali insieme alla gestione di indirizzi IP e ASN.
L'errore inizia quando queste funzioni vengono raggruppate insieme con una categoria di affermazioni completamente diversa:
- Quel AFRINIC rappresenta l'Africa.
- Che la sua regione di servizio gli conferisce una posizione politica.
- Che il suo consiglio possa espandere il significato della RSA dopo che le risorse saranno diventate operativamente integrate.
- Che possa regolamentare il leasing, l'uso commerciale o la geografia del cliente.
- Questo mettere in discussione la sua discrezione minaccia Internet.
- Per preservare i servizi tecnici è necessario proteggere l’istituzione dalla responsabilità legale ordinaria.
Nessuna di queste affermazioni deriva dalla necessità di tenere un registro.
Un database ha bisogno di continuità.
Una rivendicazione di sovranità no.
Cosa richiede effettivamente la continuità del registro
Il requisito di continuità è composto da cinque parti.
Unicità del numero
La stessa risorsa numerica non deve essere registrata contemporaneamente per richiedenti incompatibili.
Questa è la giustificazione tecnica originale per il livello del registro. È stretto. È oggettivo. Può essere controllato.
L’unicità non richiede che il registro decida se approva il modello di business di un operatore. Non richiede una teoria della lealtà commerciale regionale. Non è necessario che il registro sia proprietario del valore creato tramite l'uso del numero.
Richiede una risposta accurata a una domanda limitata:
Chi detiene attualmente il diritto di registrazione riconosciuto su questa risorsa?
Precisione della registrazione
Il registro deve preservare informazioni accurate sulle risorse numeriche, sui titolari registrati, sulle modifiche autorizzate, sui trasferimenti, sullo stato di sicurezza e sui metadati delle controversie pertinenti.
La precisione richiede prove, audit trail e aggiornamenti controllati.
Non richiede un giudizio morale discrezionale.
Un registro può correggere un trasferimento contraffatto.
Potrebbe impedire la registrazione duplicata.
Può registrare che un reclamo è contestato.
Non dovrebbe riscrivere la realtà operativa semplicemente perché i suoi dirigenti hanno adottato una nuova interpretazione politica di un vecchio contratto.
Il registro deve essere protetto dalla corruzione.
Deve anche essere protetto dall’istituzione che lo gestisce.
Continuità della pubblicazione e della sicurezza
I repository RDAP, WHOIS, reverse DNS, RPKI e i relativi servizi di pubblicazione devono rimanere disponibili durante fallimenti istituzionali, contenziosi, insolvenze, controversie di governance o transizioni.
L'RPKI merita particolare attenzione. Non è semplicemente un file che può essere copiato su un altro server. Certificati, archivi, manifesti, informazioni sulla revoca, ROA, accordi di firma e fiducia delle parti interessate devono rimanere coerenti. La documentazione di AFRINIC rileva che i validatori utilizzano il Trust Anchor Locator AFRINIC per recuperare oggetti dal suo repository RPKI.
Ciò rende necessaria una successione pianificata.
Non rende AFRINIC immortale.
La complessità della transizione di un servizio critico è un argomento a favore della creazione di un meccanismo di transizione prima del fallimento. Non si tratta di un argomento a favore della concessione di autorità permanente all'attuale operatore.
Rete funzionante e continuità del cliente
Le controversie relative al registro non devono trasformarsi in interruzione del routing, inquinamento della sicurezza, rinumerazione forzata o fallimento del cliente.
L’obbligo primario di continuità non spetta all’anagrafe.
È per il reti utilizzando i numeri.
Gli operatori hanno costruito infrastrutture attorno a queste risorse. I clienti hanno costruito sistemi attorno a tale infrastruttura. Regole di sicurezza, liste consentite, API, rapporti di pagamento, implementazioni cloud, contratti e sistemi di conformità possono dipendere tutti da identificatori di rete stabili.
Un’azione di registro che preservi l’autorità istituzionale minacciando quei sistemi non ha protetto la continuità.
Lo ha invertito.
Continuità giudicativa indipendente
Ci saranno controversie.
Le rivendicazioni di proprietà saranno in conflitto. I trasferimenti saranno contestati. Si accuserà di frode. I contratti verranno interpretati diversamente. Il controllo societario potrebbe cambiare. Creditori, tribunali, operatori e registri potrebbero non essere d'accordo.
La risposta non può essere quella di lasciare che il registro agisca contemporaneamente come conservatore dei registri, ricorrente, giudice ed esecutore.
Un vero sistema di continuità necessita di un foro indipendente in grado di decidere le controversie senza distruggere il bene contestato.
Durante l'aggiudicazione, l'impostazione predefinita dovrebbe essere la conservazione dell'ultimo stato operativo verificato. Il sistema potrebbe bloccare modifiche contrastanti. Non dovrebbe revocare, inquinare o ridistribuire le risorse vive semplicemente perché il registro si è schierato da una parte.
L’isolamento delle controversie è parte della continuità.
L'autoaiuto del registro non lo è.
Ciò che la continuità non richiede
Nessun pacchetto porta il nome di un regista AFRINIC.
Nessuna risposta RDAP richiede l’orgoglio istituzionale di AFRINIC.
Nessuna delega DNS inversa dipende da una narrazione politica fuori regione.
Nessuna ROA richiede una teoria secondo cui l’Africa è un unico sistema amministrativo rappresentato da una società mauriziana.
Nessun invariante di unicità richiede un'interpretazione espansiva della RSA.
Le cose che devono continuare sono:
- I record.
- I servizi.
- La catena della sicurezza.
- La possibilità di effettuare aggiornamenti legittimi.
- Il funzionamento delle reti esistenti.
- La tutela dei clienti a valle.
- La disponibilità di un giudizio indipendente.
Le cose che possono essere sostituite includono:
- Il consiglio.
- L'involucro aziendale.
- L'operatore del servizio.
- La macchina politica.
- La struttura tariffaria.
- Il quadro contrattuale.
- La teoria dell'esecuzione.
- Il preteso monopolio dell’istituzione sulla legittimità regionale.
Questa distinzione non è radicale.
È la logica di base delle infrastrutture resilienti.
Quanto più una funzione diventa critica, tanto meno dovrebbe dipendere dalla sopravvivenza, dalla buona volontà o dalla teoria giuridica di un’organizzazione.
Il sistema RIR ha già ammesso questo punto
Il lavoro di continuità del sistema RIR dimostra che le funzioni del registro possono essere separate dall’istituzione che le svolge attualmente.
Nel 2020, una discussione sul backend di emergenza dell'NRO ha identificato WHOIS/RDAP, reverse DNS, RPKI e IRR come servizi che richiedono backup. Ha considerato gli ultimi snapshot noti e validi e la possibilità che un altro RIR potesse istanziare i servizi quando un RIR entrava in contingenza.
I principi ICP-2 proposti successivamente stabilirono che un RIR dovrebbe mantenere ridondanze e partecipare alla condivisione dei record sufficienti per consentire a un altro RIR di eseguire i propri servizi. Lo stesso documento prevedeva il trasferimento delle attività ad un successore o ad un'entità provvisoria dopo l'eliminazione contabile.
Queste proposte rimangono troppo incentrate sul club RIR in carica. Presumono che la continuità debba essere controllata dalla stessa classe istituzionale la cui autorità è in questione.
Ma ammettono il fatto essenziale.
Il guscio è sostituibile.
Il servizio può essere trasferito.
I record possono essere condivisi.
Un successore può gestire la funzione.
Una volta ammesso ciò, “AFRINIC deve sopravvivere perché il registro deve sopravvivere” non è più una dichiarazione tecnica.
È una preferenza istituzionale.
Dalla continuità all'immunità
La fallacia della continuità anagrafica diventa pericolosa quando viene utilizzata per ottenere isolamento politico o giuridico.
La sequenza è prevedibile.
In primo luogo, l'istituzione dichiara che i suoi servizi sono indispensabili.
Quindi si considera indistinguibile da quei servizi.
Una sfida al consiglio diventa una sfida al registro.
Una sfida all’interpretazione RSA diventa una minaccia all’unicità.
Un'ordinanza del tribunale diventa una minaccia per la stabilità di Internet.
Una richiesta di portabilità diventa un attacco al sistema regionale.
Una richiesta di giudizio indipendente diventa un’interferenza con la governance della comunità.
Infine, proteggere la continuità significa proteggere l’istituzione dalla responsabilità.
Questo è riciclaggio di continuità.
Un vero e proprio requisito tecnico viene utilizzato per proteggere le pretese dell'autorità non correlate.
L'istituzione tiene di fronte a sé la funzione come uno scudo.
Il messaggio implicito è semplice:
Non vincolarci, perché da noi dipende qualcosa di importante.
Ma la dipendenza critica dovrebbe portare alla conclusione opposta.
Quanto più importante è la funzione del registro, tanto più la sua amministrazione deve essere verificabile, replicabile, portabile, separabile e sostituibile.
L’infrastruttura indispensabile richiede amministratori sostituibili.
Tutto il resto è architettura ostaggio.
Un'architettura di continuità
L’alternativa alla tutela istituzionale non è il collasso dei registri.
È un'architettura di continuità esplicita.
In primo luogo, lo stato autorevole del registro dovrebbe essere dotato di versione, verificabile in modo indipendente e replicato continuamente al di fuori del controllo esclusivo di un’entità aziendale. Una catena storica di modifiche autorizzate deve sopravvivere a controversie interne, insolvenze, contenziosi e guasti tecnici.
In secondo luogo, RDAP, WHOIS, reverse DNS e i relativi servizi di directory dovrebbero aver testato le modalità di failover. I piani di continuità dovrebbero identificare i dati, le credenziali, le modifiche alle deleghe e l’autorità operativa necessarie per spostare ciascun servizio.
In terzo luogo, la successione RPKI deve essere concepita come un processo di sicurezza di prima classe. Richiede accordi definiti in materia di custodia delle chiavi, continuità dell’archivio, procedure di pubblicazione di emergenza e un percorso di migrazione credibile per certificati e autorizzazioni. Un backup statico non è sufficiente.
In quarto luogo, l’amministrazione del registro deve essere separata dall’applicazione delle norme. L'operatore che conserva il registro non dovrebbe possedere l'autorità unilaterale di distruggere la posizione operativa sottostante a causa di un disaccordo commerciale o politico.
In quinto luogo, le controversie dovrebbero essere registrate senza contaminare operazioni non correlate. Una risorsa contestata può contenere metadati in conflitto. I trasferimenti in conflitto potrebbero essere sospesi. Le rotte esistenti e gli oggetti di sicurezza validi non dovrebbero essere distrutti a meno che una decisione indipendente non lo richieda specificamente.
Sesto, la portabilità deve diventare un diritto di continuità duratura. Un detentore di risorse dovrebbe essere in grado di trasferire i servizi di registrazione a un successore qualificato senza rinumerare la propria rete e senza richiedere il permesso discrezionale da parte dell’istituzione che sta lasciando.
Settimo, i fattori di continuità devono essere oggettivi e trasparenti. Il failover non dovrebbe dipendere esclusivamente dal giudizio politico di un'altra scheda RIR. I tribunali, i custodi tecnici indipendenti, i rappresentanti dei detentori delle risorse e i criteri operativi predefiniti possono tutti avere ruoli.
L'obiettivo non è creare un altro sovrano sopra AFRINIC.
L’obiettivo è garantire che non sia necessario alcun guardiano di tipo sovrano.
AFRINIC potrebbe continuare
La separazione di AFRINIC dalla continuità del registro non richiede la distruzione di AFRINIC.
AFRINIC può continuare a gestire servizi tecnici.
I suoi dipendenti possono preservare preziose conoscenze operative.
I suoi sistemi potrebbero rimanere parte di un’architettura di transizione.
La sua esistenza aziendale può continuare se riesce a svolgere una funzione ristretta, responsabile e sostituibile.
Ma queste possibilità non devono essere confuse con il diritto di preservare ogni rivendicazione di autorità avanzata da AFRINIC.
L’utilità tecnica non convalida il superamento istituzionale.
L’esperienza operativa non crea titolo politico.
Continuare a gestire un registro non rende l'operatore proprietario della regione, delle risorse o del futuro.
AFRINIC potrebbe essere un operatore delle funzioni di registrazione dei numeri africani.
Non può essere l’incarnazione metafisica della continuità africana di Internet.
La narrazione corretta del salvataggio
Esiste una versione razionale dell'affermazione secondo cui AFRINIC deve essere salvato.
È questo:
Occorre tutelare la continuità della registrazione dei numeri Internet per le reti africane.
Ciò significa tutelare l’unicità.
Proteggere registrazioni accurate.
Protezione dell'accesso RDAP e WHOIS.
Protezione inversa DNS.
Protezione della pubblicazione e della migrazione RPKI.
Protezione delle reti attive.
Tutela dei clienti a valle.
Protezione della risoluzione neutrale delle controversie.
Ciò non significa:
- Proteggere il consiglio attuale dalle sfide.
- Protezione di interpretazioni RSA espansive.
- Proteggere le narrazioni politiche fuori regione.
- Tutela del prestigio istituzionale.
- Protezione del gatekeeping a bassa responsabilità e ad alta discrezione.
- Proteggere ogni pretesa dell'autorità semplicemente perché avanzata dall'anagrafe in carica.
Si tratta di obiettivi diversi.
Il campo RIR dipende dal trattarli come uno solo.
Proteggi il registro
Il test finale è semplice.
Quando qualcuno dice che AFRINIC deve essere protetto per motivi di continuità del registro, chiedi cosa deve continuare nello specifico.
I record?
Preservali.
I servizi di directory?
Replicarli.
Le zone inverse?
Fornire il failover.
Il sistema RPKI?
Costruisci un percorso di successione sicuro.
Reti attive?
Proibire azioni unilaterali distruttive.
Controversie?
Mandali a un forum indipendente.
Ma se la risposta è che il consiglio di amministrazione di AFRINIC, l’autorità politica, la narrazione territoriale e i poteri discrezionali di applicazione devono rimanere tutti fuori discussione, allora la questione non riguarda più la continuità.
Si tratta di controllo.
Proteggi il registro, non il custode.
Proteggi la catena di custodia, non la catena di comando.
Proteggere la continuità della rete africana, non la custodia continentale.
Il registro deve essere in grado di sopravvivere all'istituzione.
A Internet non si deve mai più dire che preservare un database significa preservare una rivendicazione di sovranità privata.
È necessaria la continuità del registro.
L’immortalità istituzionale no.
Quale continuità sostieni?
Il sistema RIR afferma di difendere la continuità.
Ma la continuità che difende con maggiore coerenza non è la continuità della rete live.
È la continuità del proprio potere sulle infrastrutture attive e sugli operatori di rete: il potere di approvare, sospendere, cancellare la registrazione, reinterpretare e infine porre fine alle condizioni alle quali una rete può continuare a funzionare.
Questa non è continuità di rete.
È continuità di controllo.
La mia posizione è opposta.
Proteggo la continuità della rete attiva: i suoi percorsi, i clienti, i servizi, gli oggetti di sicurezza, l'affidamento contrattuale e l'esistenza operativa.
Le istituzioni del registro possono continuare solo nella misura in cui servono tale continuità. Non acquisiscono un interesse di continuità superiore semplicemente perché detengono il database.
Quindi la domanda difficile non riguarda le schede AFRINIC, NRO o RIR.
Spetta ad ogni operatore di rete:
Quale continuità sostieni?
La continuità della tua rete live?
O la continuità del potere di un’istituzione di porre fine alla continuità della tua rete?
Non esiste una risposta neutrale.
Se sostenete la prima, allora la portabilità, la decisione indipendente, la gestione non distruttiva delle controversie, la separazione del registro/applicazione e il failover basato sull'operatore non sono riforme opzionali.
Sono l’architettura minima di continuità.
Se sostenete la seconda, dite chiaramente cosa viene protetto:
Non il registro.
Non Internet.
Non l'Africa.
Ma il potere continuo del custode sulle infrastrutture attive.
Il sistema RIR protegge il suo potere continuo sulle infrastrutture attive e sugli operatori di rete.
Proteggo la continuità della rete attiva.