노트 70: 레지스트리 연속성의 오류 — 문지기가 아니라 원장을 보호하라
기관이 실패해도 살아남아야 하는 것은 장부입니까, 아니면 문지기입니까?
Note 69는 간단한 질문을 했습니다.
무엇의 안정성?
그 아래에는 또 다른 질문이 숨어 있습니다.
무엇의 연속성?
지역 인터넷 레지스트리는 현재 레지스트리를 운영하는 기관을 보존하기 위한 주장으로 레지스트리 연속성을 제시하는 경우가 많습니다. AFRINIC 분쟁에서 이는 친숙한 주장이 됩니다.
아프리카에서는 번호 등록이 붕괴될 여유가 없기 때문에 AFRINIC를 보호해야 합니다.
첫 번째 부분은 논쟁의 여지가 있습니다.
두 번째 부분은 사실입니다.
아프리카는 번호 등록 연속성이 상실되는 것을 감당할 수 없습니다. 어떤 지역도 그럴 수 없습니다. 고유성은 보존되어야 합니다. 등록 기록은 정확하게 유지되어야 합니다. RDAP, WHOIS, 역방향 DNS 및 RPKI 서비스는 계속되어야 합니다. 실행 중인 네트워크가 불안정해져서는 안 됩니다. 다운스트림 고객이 부수적 피해를 입어서는 안 됩니다. 자원 분쟁을 해결하려면 독립적인 곳이 있어야 합니다.
그러나 이 중 어느 것도 AFRINIC의 현재 이사회, 등록 서비스 계약의 현재 해석, 지역 외 설명 제시, 현재 기관의 자아 이미지 또는 현재 게이트키핑 권한도 보존되어야 한다는 것을 증명하지 못합니다.
이러한 대체는 레지스트리 연속성 오류입니다.
레지스트리 연속성 자체는 오류가 아닙니다.
오류는 기능의 연속성을 위해 현재 해당 기능을 수행하는 기관이 주장하는 모든 권한의 연속성이 필요하다는 주장입니다.
그렇지 않습니다.
참고 69 라우팅된 네트워크와 고객의 연속성 안정성으로부터 제도적 안정성을 구별합니다. Note 70은 한 계층 더 깊은 구별을 취합니다. 즉, 레지스트리 서비스의 연속성은 레지스트리 서비스의 연속성과 분리되어야 합니다. 등록법인의 힘.
기능이 진짜네
는 레지스트리 기능 중요합니다.
인터넷 번호는 고유해야 합니다. 서로 관련이 없는 두 명의 운영자에게 동일한 주소 블록에 대해 동일한 독점 등록 권리를 부여할 수 없습니다. 역사적 기록은 보존되어야 합니다. 통제 변경 사항을 기록해야 합니다. 사기적인 변경을 방지해야 합니다. 공용 디렉토리 서비스는 계속 사용 가능해야 합니다. 보안 주장은 검증 가능한 상태로 유지되어야 합니다.
이것은 정치적인 연극이 아닙니다.
진정한 조화입니다.
AFRINIC는 현재 등록 데이터, RDAP, WHOIS, 역방향 DNS, RPKI 및 관련 라우팅 서비스를 제공하거나 지원합니다. 이러한 서비스에는 운영상의 가치가 있습니다. AFRINIC의 자체 문서에서는 RPKI, 역방향 DNS 및 라우팅 레지스트리를 IP 주소 및 ASN 관리와 함께 필수 서비스로 설명합니다.
실수는 이러한 기능이 완전히 다른 범주의 주장과 함께 묶일 때 시작됩니다.
- AFRINIC는 아프리카를 대표합니다.
- 서비스 지역이 정치적 입지를 제공한다는 것입니다.
- 자원이 운영상 내장된 후 이사회가 RSA의 의미를 확장할 수 있습니다.
- 임대, 상업적 사용 또는 고객 지역을 규제할 수 있습니다.
- 재량권에 도전하는 것은 인터넷을 위협합니다.
- 기술 서비스를 보존하려면 기관을 일반적인 법적 책임으로부터 보호해야 합니다.
이러한 제안 중 어느 것도 등록을 유지해야 할 필요성에서 비롯되지 않습니다.
데이터베이스에는 연속성이 필요합니다.
주권 주장은 그렇지 않습니다.
레지스트리 연속성에 실제로 필요한 것
연속성 요구 사항은 다섯 부분으로 구성됩니다.
숫자 고유성
동일한 번호의 리소스를 호환되지 않는 청구자에게 동시에 등록해서는 안 됩니다.
이는 레지스트리 계층에 대한 원래의 기술적 정당성입니다. 좁습니다. 객관적입니다. 감사될 수 있습니다.
고유성은 등록 기관이 운영자의 비즈니스 모델 승인 여부를 결정할 것을 요구하지 않습니다. 지역적 상업적 충성도 이론은 필요하지 않습니다. 번호를 사용하여 생성된 값을 레지스트리가 소유할 필요는 없습니다.
제한된 질문에 대한 정확한 답변이 필요합니다.
현재 이 자원에 대해 인정된 등록 청구권을 보유한 사람은 누구입니까?
등록 정확도
등록소는 번호 자원, 등록 보유자, 승인된 변경, 이전, 보안 상태 및 관련 분쟁 메타데이터에 대한 정확한 정보를 보존해야 합니다.
정확성을 위해서는 증거, 감사 추적 및 통제된 업데이트가 필요합니다.
그것은 임의적인 도덕적 판단을 요구하지 않습니다.
레지스트리는 위조된 이체를 정정할 수 있습니다.
중복등록을 방지할 수 있습니다.
청구에 이의가 있음이 기록될 수 있습니다.
단지 이사들이 기존 계약에 대한 새로운 정치적 해석을 채택했다는 이유만으로 운영 현실을 다시 작성해서는 안 됩니다.
원장은 부패로부터 보호되어야 합니다.
또한 이를 운영하는 기관으로부터 보호되어야 합니다.
출판 및 보안 연속성
RDAP, WHOIS, 역방향 DNS, RPKI 리포지토리 및 관련 출판 서비스는 기관 실패, 소송, 지급 불능, 거버넌스 분쟁 또는 전환 중에도 계속 사용할 수 있어야 합니다.
RPKI는 특별한 관리를 받을 가치가 있습니다. 단순히 다른 서버에 복사할 수 있는 파일이 아닙니다. 인증서, 저장소, 매니페스트, 해지 정보, ROA, 서명 계약 및 신뢰 당사자 신뢰는 일관성을 유지해야 합니다. AFRINIC의 자체 문서에는 유효성 검사기가 AFRINIC Trust Anchor Locator를 사용하여 RPKI 저장소에서 개체를 검색한다고 나와 있습니다.
따라서 계획된 승계가 필요합니다.
AFRINIC를 불멸로 만들지는 않습니다.
중요한 서비스 전환의 복잡성은 실패 전에 전환 메커니즘을 구축해야 한다는 주장입니다. 현재 운영자에게 영구적인 권한을 부여하자는 주장은 아닙니다.
운영 네트워크 및 고객 연속성
레지스트리 분쟁이 라우팅 중단, 보안 오염, 강제 번호 재지정 또는 고객 실패로 전환되어서는 안 됩니다.
주요 연속성 의무는 등록 사무소에 대한 것이 아닙니다.
그것은 숫자를 이용한 네트워크.
운영자는 이러한 리소스를 중심으로 인프라를 구축했습니다. 고객은 해당 인프라를 중심으로 시스템을 구축했습니다. 보안 규칙, 허용 목록, API, 결제 관계, 클라우드 배포, 계약 및 규정 준수 시스템은 모두 안정적인 네트워크 식별자에 따라 달라질 수 있습니다.
해당 시스템을 위협하여 제도적 권위를 보존하는 등록 조치는 연속성을 보호하지 못했습니다.
그것을 반전시켰습니다.
독립적인 판단 연속성
분쟁이 일어날 것입니다.
소유권 주장이 충돌합니다. 전송에 문제가 발생합니다. 사기 혐의를 받게 됩니다. 계약은 다르게 해석됩니다. 기업 통제가 변경될 수 있습니다. 채권자, 법원, 운영자 및 등록 기관은 동의하지 않을 수 있습니다.
대답은 등기소가 기록 보관인, 청구인, 판사 및 집행자 역할을 동시에 수행하도록 하는 것이 될 수 없습니다.
진정한 연속성 시스템에는 분쟁 중인 자산을 파괴하지 않고 분쟁을 결정할 수 있는 독립적인 포럼이 필요합니다.
판정 중 기본값은 마지막으로 검증된 작동 상태를 보존하는 것입니다. 시스템은 충돌하는 변경을 차단할 수 있습니다. 단지 등록 기관이 한쪽 편을 들었다는 이유로 실제 자원을 취소하거나 오염시키거나 재배포해서는 안 됩니다.
분쟁 격리는 연속성의 일부입니다.
레지스트리 자체 지원은 그렇지 않습니다.
연속성이 필요하지 않은 것
AFRINIC 디렉터의 이름을 포함하는 패킷은 없습니다.
RDAP 응답에는 AFRINIC의 제도적 자부심이 필요하지 않습니다.
역 DNS 위임은 지역 외부의 정치적 서술에 의존하지 않습니다.
어떤 ROA도 아프리카가 모리셔스 회사로 대표되는 단일 행정 체제라는 이론을 요구하지 않습니다.
고유성 불변성에는 RSA에 대한 광범위한 해석이 필요하지 않습니다.
계속해서 진행해야 할 사항은 다음과 같습니다.
- 기록.
- 서비스.
- 보안 체인.
- 합법적인 업데이트를 수행하는 기능.
- 기존 네트워크의 운영.
- 다운스트림 고객 보호.
- 독립적인 판결의 가용성.
교체될 수 있는 항목은 다음과 같습니다.
- 보드.
- 기업 셸.
- 서비스 운영자입니다.
- 정책기구.
- 수수료 구조.
- 계약 프레임워크.
- 집행 이론.
- 지역적 정당성에 대한 기관의 독점을 주장합니다.
이러한 구별은 급진적이지 않습니다.
이는 복원력 있는 인프라의 기본 논리입니다.
기능이 더욱 중요해질수록 한 조직의 생존, 영업권 또는 법적 이론에 덜 의존해야 합니다.
RIR 시스템은 이미 그 점을 인정했습니다.
RIR 시스템 자체의 연속성 작업은 레지스트리 기능이 현재 수행 중인 기관과 분리될 수 있음을 보여줍니다.
2020년 NRO 긴급 백엔드 논의에서는 WHOIS/RDAP, 역방향 DNS, RPKI 및 IRR을 백업이 필요한 서비스로 식별했습니다. 마지막으로 알려진 양호한 스냅샷과 하나의 RIR가 비상 상황에 들어갈 때 다른 RIR가 서비스를 인스턴스화할 수 있는 가능성을 고려했습니다.
제안된 ICP-2 원칙은 나중에 RIR가 중복성을 유지하고 다른 RIR가 해당 서비스를 수행할 수 있도록 충분한 레코드 공유에 참여해야 한다고 명시했습니다. 동일한 문서에서는 인식 취소 후 후임자나 임시 법인에게 영업을 이전하는 것을 고려했습니다.
이러한 제안은 여전히 현 RIR 클럽에 너무 집중되어 있습니다. 그들은 연속성이 문제의 권위를 지닌 동일한 기관 계층에 의해 통제되어야 한다고 가정합니다.
그러나 그들은 본질적인 사실을 인정합니다.
쉘은 교체 가능합니다.
서비스를 이전할 수 있습니다.
기록을 공유할 수 있습니다.
후임자가 해당 기능을 운영할 수 있습니다.
이것이 인정되면 "레지스트리가 살아남아야 하기 때문에 AFRINIC도 살아남아야 합니다"는 더 이상 기술적인 진술이 아닙니다.
제도적 선호입니다.
연속성에서 면역성까지
레지스트리 연속성 오류는 정치적 또는 법적 절연을 얻기 위해 사용될 때 위험해집니다.
순서는 예측 가능합니다.
첫째, 해당 기관은 해당 서비스가 필수 불가결하다고 선언합니다.
그런 다음 해당 서비스와 구별할 수 없는 것으로 간주됩니다.
이사회에 대한 도전은 등록부에 대한 도전이 됩니다.
RSA 해석에 대한 도전은 고유성에 대한 위협이 됩니다.
법원 명령은 인터넷 안정성에 위협이 됩니다.
이동성에 대한 요구는 지역 시스템에 대한 공격이 됩니다.
독립적인 판결을 요청하는 것은 커뮤니티 거버넌스에 대한 간섭이 됩니다.
마지막으로 연속성을 보호하는 것은 기관을 책임으로부터 보호하는 것입니다.
이는 연속 세탁입니다.
실제 기술 요구 사항은 관련 없는 권한 주장을 보호하는 데 사용됩니다.
기관은 방패처럼 자기 앞에 기능을 갖고 있다.
암시적인 메시지는 간단합니다.
중요한 것이 우리에게 달려 있기 때문에 우리를 제한하지 마십시오.
그러나 비판적 의존성은 정반대의 결론을 낳을 것입니다.
레지스트리 기능이 중요할수록 관리는 감사, 복제, 이동 가능, 분리 및 교체 가능해야 합니다.
필수 인프라에는 교체 가능한 관리자가 필요합니다.
그 밖의 모든 것은 인질 아키텍처입니다.
연속성 아키텍처
제도적 보호의 대안은 레지스트리 붕괴가 아닙니다.
이는 명시적인 연속성 아키텍처입니다.
첫째, 신뢰할 수 있는 레지스트리 상태는 버전이 지정되어야 하고, 독립적으로 감사가 가능해야 하며, 한 기업체의 배타적인 통제 범위 밖에서 지속적으로 복제되어야 합니다. 승인된 변경의 기록 체인은 이사회 분쟁, 지급 불능, 소송 및 기술적 실패에도 살아남아야 합니다.
둘째, RDAP, WHOIS, 역방향 DNS 및 관련 디렉터리 서비스는 장애 조치 배열을 테스트해야 합니다. 연속성 계획은 각 서비스를 이동하는 데 필요한 데이터, 자격 증명, 위임 변경 사항 및 운영 권한을 식별해야 합니다.
셋째, RPKI 승계는 최고 수준의 보안 프로세스로 설계되어야 합니다. 이를 위해서는 정의된 키 보관 방식, 저장소 연속성, 비상 게시 절차, 인증서 및 승인을 위한 신뢰할 수 있는 마이그레이션 경로가 필요합니다. 정적 백업으로는 충분하지 않습니다.
넷째, 등록 관리는 집행과 분리되어야 합니다. 기록을 유지하는 운영자는 상업적 또는 정치적 불일치로 인해 기본 운영 위치를 파기할 수 있는 일방적인 권한을 소유해서는 안 됩니다.
다섯째, 분쟁은 관련없는 업무를 오염시키지 않고 기록되어야 합니다. 분쟁이 있는 리소스에는 충돌 메타데이터가 있을 수 있습니다. 충돌하는 전송이 일시중지될 수 있습니다. 독립적인 결정에서 특별히 요구하지 않는 한 기존 경로와 유효한 보안 객체를 파기해서는 안 됩니다.
여섯째, 이식성은 견고한 연속성 권리가 되어야 합니다. 리소스 보유자는 네트워크 번호를 다시 지정하지 않고 떠나는 기관의 임의적 허가를 요구하지 않고도 등록 서비스를 자격을 갖춘 후임자에게 이동할 수 있어야 합니다.
일곱째, 연속성 트리거는 객관적이고 투명해야 합니다. 장애 조치는 다른 RIR 보드의 정치적 판단에만 의존해서는 안 됩니다. 법원, 독립적인 기술 관리인, 자원 보유자 대표 및 사전 정의된 운영 기준은 모두 역할을 가질 수 있습니다.
목표는 AFRINIC 위에 또 다른 주권을 만드는 것이 아닙니다.
목표는 주권과 같은 게이트키퍼가 전혀 필요하지 않도록 하는 것입니다.
AFRINIC는 계속될 수 있습니다
AFRINIC를 레지스트리 연속성에서 분리하는 데에는 AFRINIC를 삭제할 필요가 없습니다.
AFRINIC는 기술 서비스를 계속 운영할 수 있습니다.
직원들은 귀중한 운영 지식을 보존할 수 있습니다.
해당 시스템은 전환 아키텍처의 일부로 남아 있을 수 있습니다.
좁고 책임 있고 대체 가능한 기능을 수행할 수 있다면 기업의 존재는 계속될 수 있습니다.
그러나 이러한 가능성을 AFRINIC가 제기한 모든 권한 주장을 보존할 권리와 혼동해서는 안 됩니다.
기술적 유용성은 제도적 과잉을 검증하지 않습니다.
운영 경험은 정치적 타이틀을 생성하지 않습니다.
레지스트리를 계속 운영한다고 해서 운영자가 해당 지역, 자원 또는 미래의 소유자가 되는 것은 아닙니다.
AFRINIC는 아프리카 번호 등록 기능의 한 연산자일 수 있습니다.
그것은 아프리카 인터넷 연속성의 형이상학적 구현이 될 수 없습니다.
올바른 구조 이야기
AFRINIC를 저장해야 한다는 합리적인 버전의 명령문이 있습니다.
그것은 이것입니다:
아프리카 네트워크에 대한 인터넷 번호 등록의 연속성은 보호되어야 합니다.
이는 고유성을 보호한다는 의미입니다.
정확한 기록을 보호합니다.
RDAP 및 WHOIS 액세스를 보호합니다.
역방향 DNS를 보호합니다.
RPKI 게시 및 마이그레이션을 보호합니다.
실행 중인 네트워크를 보호합니다.
다운스트림 고객을 보호합니다.
중립적인 분쟁 해결을 보호합니다.
이는 다음을 의미하지 않습니다:
- 현재 보드를 도전으로부터 보호합니다.
- 광범위한 RSA 해석을 보호합니다.
- 지역 밖의 정치적 서술을 보호합니다.
- 기관의 명성을 보호합니다.
- 낮은 책임, 높은 재량권의 게이트키핑을 보호합니다.
- 현 등록 기관에서 제기한 모든 권한 청구를 보호합니다.
이들은 서로 다른 목표입니다.
RIR 캠프는 그들을 하나로 대하는 데 달려 있습니다.
원장을 보호하세요
최종 테스트는 간단합니다.
누군가가 레지스트리 연속성을 위해 AFRINIC를 보호해야 한다고 말하면 구체적으로 무엇을 계속해야 하는지 물어보세요.
기록?
보존하세요.
디렉토리 서비스?
복제하세요.
반대 구역?
장애 조치를 제공합니다.
RPKI 시스템?
안전한 승계 경로를 구축하세요.
네트워크를 운영 중이신가요?
파괴적인 일방적 행위를 금지합니다.
분쟁?
독립 포럼에 보내십시오.
그러나 AFRINIC의 이사회, 정책 권한, 영토 내러티브 및 재량 집행 권한이 모두 도전할 수 없는 상태로 유지되어야 한다는 대답이 있다면, 그 주장은 더 이상 연속성에 관한 것이 아닙니다.
그것은 통제에 관한 것입니다.
문지기가 아닌 장부를 보호하세요.
명령 체계가 아닌 관리 체계를 보호하십시오.
대륙 관리가 아닌 아프리카 네트워크 연속성을 보호하십시오.
등록 기관은 해당 기관에서 존속할 수 있어야 합니다.
데이터베이스를 보존하려면 개인 주권 주장을 보존해야 한다는 사실을 인터넷에 다시는 알려서는 안 됩니다.
레지스트리 연속성이 필요합니다.
제도적 불멸성은 그렇지 않습니다.
어떤 연속성을 지원합니까?
RIR 시스템은 연속성을 방어하고 있다고 말합니다.
그러나 그것이 가장 지속적으로 옹호하는 연속성은 라이브 네트워크의 연속성이 아닙니다.
이는 라이브 인프라 및 네트워크 운영자에 대한 자체 권한의 연속성입니다. 즉, 네트워크가 계속 작동할 수 있는 조건을 승인, 일시 중지, 등록 취소, 재해석 및 궁극적으로 종료할 수 있는 권한입니다.
그것은 네트워크 연속성이 아닙니다.
통제의 연속성이다.
내 입장은 반대다.
나는 경로, 고객, 서비스, 보안 개체, 계약 의존도 및 운영 존재 등 라이브 네트워크의 연속성을 보호합니다.
등록 기관은 연속성을 제공하는 한 계속될 수 있습니다. 그들은 단지 데이터베이스를 보유하고 있다는 이유만으로 우수한 연속성 이익을 얻지 못합니다.
따라서 어려운 질문은 AFRINIC, NRO 또는 RIR 보드에 대한 것이 아닙니다.
모든 네트워크 사업자를 위한 것입니다:
어떤 연속성을 지원합니까?
라이브 네트워크의 연속성?
아니면 네트워크의 연속성을 종료할 수 있는 기관의 권한의 연속성입니까?
중립적인 대답은 없습니다.
첫 번째를 지원하는 경우 이식성, 독립적인 판결, 비파괴적인 분쟁 처리, 등록/집행 분리 및 운영자 우선 장애 조치는 선택적인 개혁이 아닙니다.
이는 연속성의 최소 아키텍처입니다.
두 번째를 지지한다면 무엇이 보호되고 있는지 분명하게 말해주세요.
레지스트리가 아닙니다.
인터넷이 아닙니다.
아프리카가 아닙니다.
그러나 라이브 인프라에 대한 게이트키퍼의 지속적인 권한은 있습니다.
RIR 시스템은 라이브 인프라 및 네트워크 운영자에 대한 지속적인 전력을 보호합니다.
나는 라이브 네트워크의 연속성을 보호합니다.