Preserve o registro. Torne substituível quem o mantém.

A Internet foi construída com uma disciplina de engenharia simples: consenso aproximado e código em funcionamento. Os padrões conquistaram autoridade porque funcionavam em redes reais, não porque um comitê os proclamava. As entidades de registro buscaram sua legitimidade nessa tradição e depois a inverteram, usando políticas para se sobrepor a redes que já estavam funcionando.

Chamo a correção de primazia do código em funcionamento. Toda regra de uma entidade de registro deveria enfrentar uma pergunta: o que deixa de funcionar na Internet em operação se isso não for decidido de forma centralizada? Se a resposta for unicidade, interoperabilidade, exatidão dos registros, segurança ou continuidade, a regra pode ter lugar na camada compartilhada. Se nada deixa de funcionar, a regra não é coordenação. É poder, e seu lugar é outro.

Na Nota 64, apresentei três regras de concepção para qualquer registro compartilhado desse tipo. Especificação inicial mínima: definir apenas o que todos os participantes precisam compartilhar, de uma forma que cada um possa verificar. Decisões futuras locais: deixar que cada operador decida por conta própria sobre mudanças posteriores. Adoção voluntária: uma nova regra se torna efetiva quando as redes escolhem colocá-la em prática, e optar por não fazê-lo não constitui uma infração.

Aplicada às entidades de registro, a camada compartilhada conserva apenas o que as redes em funcionamento exigem. Locação, localização dos clientes, preços, financiamento e modelos de negócios voltam a caber ao operador, aos contratos e aos mercados e, quando a coerção for necessária, ao direito público e aos tribunais. Os números que compõem um endereço IP funcionam em toda parte porque ninguém os licencia; o registro que garante sua unicidade deveria ser igualmente corriqueiro.

Um cartório de registro de imóveis registra quem é dono de um terreno sem perguntar se os planos do novo proprietário são sensatos. Uma entidade de registro de números da Internet deveria funcionar da mesma forma. Deveria verificar se a transferência é autêntica, se os números não estão registrados duas vezes e se o registro está correto, e então registrar a transferência dentro de prazos fixos: na minha minuta para o AFRINIC, dez dias úteis para uma transferência comum e vinte para uma transferência entre entidades de registro. Só deveria recusá-la por irregularidades expressamente listadas, com justificativa por escrito, provas e direito de recurso.

A retirada de endereços deveria ser igualmente limitada: ordem judicial ou decisão independente, fraude comprovada, duplicidade que não possa ser resolvida, renúncia por escrito, emergência de segurança de curta duração e sujeita a revisão, ou falta de pagamento após notificação. Os registros de segurança que protegem o roteamento devem permanecer neutros, jamais servir de instrumento de pressão sobre os membros. Quando houver divergência entre titulares, o registro deve indicar a disputa e preservar o último estado verificado enquanto uma instância independente decide. Uma entidade de registro nunca deveria ser, ao mesmo tempo, responsável pelo registro, parte reclamante, juiz e executor.

A responsabilização começa com a possibilidade de sair. Você pode trocar de operadora de telefonia celular e manter seu número, e sua operadora se comporta levando isso em conta. Uma rede deveria poder transferir o registro de seus endereços, junto com o histórico registrado, a prova de controle e as informações de segurança, para um sucessor qualificado, sem renumerar e sem pedir autorização à entidade de registro que está deixando.

Não se trata de uma empresa trocar sua filiação de uma entidade de registro para outra. Trata-se do recurso: um bloco específico de endereços não pode ficar preso à falha, à captura ou à disputa de uma instituição.

A continuidade precisa ser projetada, não presumida. O estado do registro deve ter controle de versões, passar por auditoria independente e ter cópias fora do controle de qualquer organização isolada. Os serviços de diretório precisam de mecanismos testados de comutação em caso de falha, e o sistema de segurança precisa de uma sucessão planejada de chaves e repositórios, porque uma cópia de segurança estática não basta. As próprias discussões de contingência das entidades de registro já aceitam que outro operador pode assumir o serviço. Ainda não aceitaram que a escolha não pode ficar nas mãos do mesmo clube.

Hoje, uma rede precisa confiar na palavra da entidade de registro sobre o que consta em seu registro. A situação final que defendo é diferente: o estado do registro é compartilhado e verificável, de modo que qualquer rede possa conferir por conta própria quem detém quais números, e nenhuma instituição isolada seja a fonte de validade. Um registro distribuído é uma forma de construir isso. O que importa é a verificação independente e a portabilidade, não uma tecnologia, um token ou uma moeda em particular.

Não é preciso chegar lá por meio de uma ruptura. O caminho passa por etapas: tornar o sistema visível, proteger a continuidade das redes em funcionamento, coordenar os titulares em risco e só então avançar para uma arquitetura mais enxuta. Durante a transição, as entidades de registro existentes podem continuar mantendo registros e disponibilizando serviços, desde que deixem de julgar as atividades comerciais. O próprio AFRINIC pode continuar, como um operador de escopo restrito, sujeito à responsabilização e substituível.

Há trabalho real de engenharia a fazer: autenticação, históricos conflitantes, chaves comprometidas e sucessão segura são questões que precisam ser resolvidas. Prefiro explicitar esses problemas a fingir que não existem.

Novos gestores. Um conselho melhor pode melhorar uma entidade de registro por algum tempo, mas o conselho seguinte herda o mesmo poder de veto. O objetivo não é ter um soberano mais benevolente. É acabar com a pretensão de soberania.

Governos. Os Estados podem e devem fazer cumprir suas próprias leis por meio de seus próprios tribunais, e é a essas instâncias que cabem as decisões coercitivas. Entregar o próprio sistema de numeração aos governos abriria espaço para censura, fragmentação e pressão política sobre o roteamento, e quase duzentos Estados jamais chegarão a um acordo sobre um registro único.

Um organismo global maior. Dar mais autoridade à ICANN, ao órgão de coordenação das entidades de registro ou a um fórum das Nações Unidas criaria uma versão maior do mesmo mecanismo de controle de acesso. Um fórum permanente continua sendo um fórum.

Apenas ampliar a responsabilidade. Fazer as entidades de registro pagarem pelos danos que causam atribuiria um preço a esses danos, mas a responsabilidade não compra o direito de mandar. A melhor solução é retirar o poder que causa o dano.