O que significa prova de controlo de um endereço IP?

Os elementos de prova devem estabelecer a autoridade para a ação específica que está a ser pedida. A permissão para alterar uma parte da rede não confere automaticamente autoridade sobre todas as outras.

Quando alguém diz «Controlamos este bloco de endereços IP», a primeira pergunta deve ser: controlam-no para realizar que ação?

Um prefixo IP pode constar de um registo, ser anunciado por BGP, estar protegido por uma autorização RPKI, ser utilizado ao abrigo de um aluguer e sustentar um negócio em funcionamento, tudo ao mesmo tempo. Estes factos estão ligados, mas não são o mesmo facto. Tratar um deles como prova de tudo é a forma de um registo técnico se tornar uma fonte de confusão operacional e de poder institucional.

A prova de controlo é o conjunto de elementos que demonstra que uma pessoa ou organização está autorizada a realizar uma ação específica que envolva um recurso numérico da Internet.

Essa ação pode ser atualizar um registo, autorizar uma rota, alterar uma ROA, delegar o DNS inverso, utilizar espaço de endereçamento ao abrigo de um contrato, pedir uma transferência ou representar o titular de um recurso durante um litígio. Cada ação precisa dos elementos de prova que respondam efetivamente à questão que coloca.

Começar pela ação, não pela palavra «propriedade»

«Quem é o dono deste IP?» parece uma pergunta simples, mas reúne várias perguntas diferentes:

• Quem pode atualizar o registo reconhecido?
• Quem pode autorizar um Sistema Autónomo a anunciar o prefixo?
• Quem opera a rede que utiliza o espaço de endereçamento?
• Quem pode alterar o DNS inverso ou as definições de segurança?
• Quem pode alugar, transferir ou delegar comercialmente o recurso?

Um processo útil de prova de controlo começa por identificar a ação e só depois pergunta quem está autorizado a realizá-la e que elementos sustentam essa autoridade. Isto mantém a investigação operacional precisa, sem fingir que um campo de uma base de dados resolve todas as relações contratuais, organizacionais ou jurídicas.

Quatro camadas frequentemente confundidas

1. Controlo do registo

Um registo descreve o estado reconhecido: a organização associada a um recurso, os contactos, o estado e outras informações mantidas pelo sistema de coordenação. O acesso a uma conta na entidade de registo pode demonstrar que uma pessoa consegue realizar algumas ações nesse sistema.

Não demonstra automaticamente que o titular da conta pode vender o recurso, transferi-lo ou falar em nome da organização em todas as situações. As credenciais podem estar desatualizadas, ser partilhadas ou ter sido comprometidas. O acesso a um sistema e a autoridade para tomar uma determinada decisão são coisas diferentes.

2. Controlo do encaminhamento

O BGP mostra como uma rede está atualmente a anunciar um prefixo. É um elemento de prova sobre a realidade do encaminhamento. Não prova, por si só, que a rede que faz o anúncio foi autorizada pelo titular do recurso.

Um prefixo pode ser anunciado por um cliente, um fornecedor de alojamento, uma rede de trânsito, um novo fornecedor durante uma transição ou uma parte não autorizada. As duas perguntas são, por isso, distintas:

Quem está a anunciar o prefixo?

Quem autorizou esse anúncio?

3. Controlo da segurança

A RPKI e uma Autorização de Origem de Rota fornecem provas verificáveis criptograficamente para uma questão mais restrita: que Sistema Autónomo está autorizado, dentro do sistema RPKI, a originar um prefixo especificado?

É uma proteção valiosa para o encaminhamento. Uma ROA válida não é um título universal de propriedade. Não prova automaticamente os termos de um aluguer, quem opera a aplicação, quem pagou pelo recurso, todos os interesses comerciais ou se a rota está atualmente a ser anunciada.

4. Controlo operacional e comercial

Uma empresa pode operar servidores, firewalls, VPN, DNS, correio eletrónico ou serviços para clientes num espaço de endereçamento de que não é titular no registo. Um locatário pode estar autorizado a utilizar e encaminhar um prefixo enquanto outra organização permanece como titular registado. Um fornecedor pode anunciá-lo em nome do operador.

Isto não é necessariamente uma contradição. É um conjunto de relações que tem de ser registado com clareza: quem detém o recurso, quem o pode utilizar, quem o pode anunciar, quem gere a RPKI e o DNS inverso e o que acontece quando o acordo termina.

O que cada elemento de prova pode e não pode demonstrar

O objetivo não é criar papelada por si só. É impedir que se atribua a um elemento de prova válido um alcance superior ao que efetivamente demonstra.

Porque é importante quando uma rede está a mudar

A prova de controlo é especialmente importante quando algo relevante está prestes a mudar: uma empresa está a mudar de fornecedor, um prefixo está a ser alugado, uma organização está a reestruturar-se, uma rota está a mudar de rede de origem ou duas partes discordam sobre quem pode agir.

Antes de alterar uma rede em funcionamento, um processo cuidadoso deve identificar:

1. o prefixo IPv4 ou IPv6 exato envolvido;
2. o último estado verificado do registo;
3. a pessoa ou organização que pede a ação;
4. a autoridade que liga essa pessoa ao titular do recurso;
5. o ASN que atualmente origina o prefixo e o ASN que se pretende que o origine;
6. os registos pertinentes de RPKI, DNS inverso, encaminhamento e delegação;
7. os elementos de prova que sustentam a transição; e
8. os passos necessários para preservar o serviço durante a alteração do estado.

Uma alteração pode estar administrativamente correta e, ainda assim, causar uma interrupção se forem ignoradas as suas dependências de encaminhamento, DNS, segurança e parceiros. Inversamente, um anúncio BGP ativo pode manter o tráfego a circular enquanto a autoridade subjacente é contestada. Um processo sólido regista ambos os factos, em vez de permitir que um apague o outro.

O caso mais difícil é uma divergência entre camadas

Imagine uma entidade de registo que identifica a Organização A, um prefixo anunciado pela Organização B, um contrato que permite à Organização C utilizar o espaço de endereçamento, uma ROA antiga que autoriza o ASN X e uma rede atual que funciona através do ASN Y. Duas pessoas pedem então à entidade de registo que aceite alterações diferentes.

Escolher um sistema e ignorar os restantes não resolve o conflito. A investigação deve perguntar:

• Qual foi o último estado verificado e com que elementos de prova?
• O que mudou depois desse estado?
• Quem autorizou cada alteração?
• Que alegações descrevem o estado do registo, o estado do encaminhamento, o estado da segurança ou a utilização operacional?
• Que partes da rede estão atualmente a servir clientes?
• A atualização pedida pode ser feita sem perturbar desnecessariamente uma rede legítima em funcionamento?

Os registos históricos são essenciais neste caso. Um sistema de coordenação fiável deve permitir reconstruir a forma como um recurso passou de um estado verificado para outro, em vez de mostrar apenas o registo que por acaso está em vigor. A pergunta não é apenas «O que diz hoje a base de dados?». É também «A própria transição foi válida e explicável?».

Como funciona um processo prático de prova

Para uma alteração de grande impacto, utilize uma verificação por camadas:

Confirmar o recurso

Identifique o prefixo exato e a sua relação com o serviço, o cliente ou a rede. Não comece por uma alegação genérica sobre «os IP».

Confirmar a ação pedida

Indique se o pedido diz respeito a uma atualização do registo, autorização de rota, RPKI, DNS inverso, aluguer, transferência ou utilização operacional. Ações diferentes exigem diferentes poderes de atuação.

Confirmar as pessoas e as organizações

Identifique o titular reconhecido, a pessoa que faz o pedido, qualquer fornecedor, qualquer locatário e qualquer organização que vá operar a rede. Siga a cadeia de autoridade desde o titular até à ação pedida.

Comparar o estado em funcionamento com o estado registado

Verifique em conjunto o registo, a origem BGP atual, a autorização RPKI, o DNS inverso, os contratos e os registos operacionais. Assinale as contradições em vez de escolher silenciosamente uma fonte preferida.

Preservar a transição

Registe o estado anterior, os elementos de prova do novo estado, as pessoas que o aprovaram e as alterações necessárias no encaminhamento, DNS, segurança e monitorização. Teste a passagem de responsabilidades antes de encerrar o acordo anterior.

Isto transforma a «prova de controlo» num registo de decisões que outro operador pode examinar. Também facilita a resolução de litígios, porque o sistema consegue mostrar o que se sabia em cada passo.

Porque deve a prova continuar a ser portátil

Se todos os elementos de prova existirem apenas na base de dados privada de uma instituição, a capacidade do titular de um recurso para demonstrar o controlo passa a depender da continuidade do acesso a essa instituição. Mudanças de pessoal, falhas de fornecedores, bloqueio de contas e litígios institucionais podem então transformar um facto técnico numa crise de permissões.

Um modelo de coordenação mais resiliente deve tornar as partes importantes da prova verificáveis de forma independente, auditáveis, transferíveis quando adequado, compreensíveis para as contrapartes e recuperáveis durante uma falha institucional. As credenciais não devem ser expostas apenas para tornar os elementos de prova portáteis. O princípio é mais restrito: a validade não deve depender desnecessariamente de uma vinculação obrigatória a uma instituição.

É também por isso que a função útil de uma entidade de registo deve ser separada da ideia de que o seu administrador tem de ser permanente ou de que possui legitimidade política para decidir todas as questões em torno de um recurso. As redes precisam de unicidade, registos exatos, declarações de segurança e alterações rastreáveis. Não precisam de uma instituição que se torne dona de todas as decisões comerciais ou operacionais subsequentes.

Uma coordenação limitada ao essencial exige provas sólidas

Reduzir o âmbito da coordenação não significa torná-la descuidada. Significa concentrar a camada comum nas funções que as redes têm de poder verificar:

• unicidade do recurso;
• identidade e prova de controlo;
• estado exato do registo;
• declarações de segurança;
• registos de transferência e auditoria;
• estado dos conflitos; e
• continuidade operacional.

A fixação de preços, a localização geográfica dos clientes, os modelos de negócio correntes e a escolha do fornecedor de infraestrutura não pertencem automaticamente a essa mesma camada. Provas sólidas devem proteger a integridade da coordenação sem se tornarem uma justificação vaga para controlar todas as decisões tomadas com um recurso numérico da Internet.

É esse o limite subjacente ao argumento mais amplo de Lu Heng. Em A Carta de Direitos da Coordenação da Unicidade, pede-se à camada comum que proteja a unicidade, o controlo verificável, a exatidão, a segurança e a continuidade. Em Primazia do Código em Funcionamento, a orientação é para regras técnicas que as redes participantes possam verificar e adotar, em vez de uma permissão institucional permanente que decida quais os futuros modelos legítimos.

A resposta numa frase

A prova de controlo não é um documento, uma autenticação, um anúncio BGP ou um campo de registo isolado.

É uma cadeia precisa de elementos de prova que demonstra quem está autorizado a realizar esta ação específica, o que sustenta essa autoridade, que estado vai mudar e se a rede resultante pode continuar a funcionar.

Um sistema de coordenação robusto torna fácil demonstrar o controlo legítimo, difícil realizar alterações não autorizadas, mais fácil auditar litígios e mais fácil proteger redes em funcionamento. A entidade de registo deve documentar o controlo com exatidão. Os elementos de prova devem torná-lo verificável. A prova deve servir a rede, em vez de se tornar um substituto dela.

Continue com:

• Nota 9: Sobre a governação da APNIC e a necessidade de uma rutura clara
• Nota 72: A Carta de Direitos da Coordenação da Unicidade
• Nota 65: Primazia do Código em Funcionamento
• Porque são importantes os registos operacionais claros no aluguer de endereços IP