Сохранить реестр. Дать сетям право уйти.

Интернет строился на простом инженерном принципе: приблизительное согласие и работающий код. Стандарты обретали авторитет потому, что работали в реальных сетях, а не потому, что их провозглашал комитет. Регистраторы заимствовали легитимность у этой традиции, а затем перевернули её, используя правила, чтобы навязывать свою волю уже работающим сетям.

Исправление этого перекоса я называю приоритетом работающего кода. К каждому правилу регистратора следует задать один вопрос: что нарушится в работающем Интернете, если этот вопрос не решать централизованно? Если ответ — уникальность, совместимость, точность учёта, безопасность или непрерывность работы, правилу, возможно, место в общем слое. Если ничего не нарушится, это правило служит не координации. Это власть, и осуществляться она должна где-то ещё.

В заметке 64 я изложил три принципа устройства любого общего реестра такого рода. Минимальная исходная спецификация: закрепить только то, что должно быть общим для всех участников, причём в форме, которую каждый может проверить. Самостоятельное принятие будущих решений: позволить каждому оператору самому решать, какие последующие изменения применять. Добровольное принятие: новое правило начинает действовать, когда сети сами решают его применять, а отказ от него не считается нарушением.

Применительно к регистраторам это означает, что в общем слое остаётся только необходимое работающим сетям. Аренда, местонахождение клиентов, ценообразование, финансирование и бизнес-модели возвращаются в ведение оператора, договоров и рынков, а там, где необходимо принуждение, — публичного права и судов. Числа, из которых состоит IP-адрес, работают везде, потому что никто не выдаёт лицензий на их использование; реестр, обеспечивающий их уникальность, должен быть столь же обыденной вещью.

Орган земельной регистрации фиксирует, кому принадлежит участок, не спрашивая, разумны ли планы нового владельца. Регистратор номерных ресурсов Интернета должен работать так же. Он должен проверять подлинность передачи, отсутствие двойной регистрации номеров и правильность записи, а затем регистрировать передачу в установленные сроки: в моём проекте для AFRINIC это десять рабочих дней для обычной передачи и двадцать — для передачи между регистраторами. Отказ должен быть возможен только по перечисленным в правилах основаниям, с письменным обоснованием, доказательствами и правом на обжалование.

Изъятие адресов должно быть столь же строго ограничено: судебное постановление или решение независимого органа, доказанное мошенничество, неустранимое дублирование, письменный отказ держателя от адресов, кратковременная чрезвычайная мера безопасности, подлежащая проверке, либо неуплата после уведомления. Записи системы безопасности, защищающие маршрутизацию, должны оставаться нейтральными и никогда не становиться рычагом давления на членов организации. При разногласиях между держателями реестр должен отражать наличие спора и сохранять последнее проверенное состояние до решения независимой инстанции. Регистратор ни в коем случае не должен одновременно быть хранителем записей, истцом, судьёй и исполнителем наказания.

Подотчётность начинается с возможности уйти. Вы можете сменить мобильного оператора, сохранив номер, и оператор ведёт себя с учётом этой возможности. Сеть должна иметь право перенести регистрацию своих адресов вместе с записями, подтверждением контроля и сведениями системы безопасности к компетентному преемнику — без смены адресов и без разрешения регистратора, от которого она уходит.

Речь не о том, чтобы компания сменила членство в одной организации-регистраторе на членство в другой. Речь о самом ресурсе: конкретный блок адресов не должен оставаться заложником несостоятельности одной организации, её захвата заинтересованной группой или спора с её участием.

Непрерывность работы нужно проектировать, а не считать само собой разумеющейся. Состояние реестра должно сохраняться в версиях, проходить независимый аудит и копироваться за пределами контроля какой-либо одной организации. Справочным службам нужен проверенный механизм переключения при отказе, а системе безопасности — план передачи ключей и репозиториев преемнику, поскольку одной статичной резервной копии недостаточно. В собственных обсуждениях чрезвычайных ситуаций регистраторы уже признают, что обслуживание может взять на себя другой оператор. Но они ещё не признали, что право выбора не может оставаться у того же закрытого круга.

Сегодня сеть вынуждена верить регистратору на слово в том, что касается содержания его записей. Конечное устройство, за которое я выступаю, иное: состояние реестра доступно всем и поддаётся проверке, так что любая сеть может сама удостовериться, кто держит какие номера, а ни одна организация не служит единственным источником признания записей действительными. Один из способов это реализовать — распределённый реестр. Важны независимая проверка и переносимость, а не конкретная технология, токен или валюта.

Для этого не обязательно ломать систему одномоментно. Путь состоит из этапов: сделать устройство системы видимым, защитить непрерывность работы действующих сетей, наладить взаимодействие между держателями, оказавшимися под угрозой, и лишь затем перейти к архитектуре с меньшим объёмом общих функций. В переходный период существующие регистраторы могут продолжать вести учёт и предоставлять публичные сервисы, если перестанут судить о допустимости коммерческих решений. Сам AFRINIC тоже может сохраниться — как оператор с узкой задачей, подотчётный и заменяемый.

Инженерная часть требует настоящей работы: необходимо решить вопросы аутентификации, противоречащих друг другу историй записей, скомпрометированных ключей и безопасной передачи функций преемнику. Я предпочитаю прямо назвать эти проблемы, а не делать вид, что их нет.

Новое руководство. Более компетентный совет директоров может на какое-то время улучшить работу регистратора, но следующий совет унаследует то же право вето. Цель не в том, чтобы найти более доброго суверена. Цель — положить конец самому притязанию на суверенную власть.

Государства. Государства могут и должны обеспечивать исполнение своих законов через собственные суды; именно там следует принимать решения о принуждении. Передача государствам самой системы нумерации открыла бы путь к цензуре, фрагментации и политическому давлению на маршрутизацию, а почти двести государств никогда не договорятся о едином реестре.

Более крупная международная организация. Расширение полномочий ICANN, координационного органа регистраторов или форума ООН создало бы тот же разрешительный барьер, только крупнее. Постоянный форум всё равно остаётся форумом.

Только расширение ответственности. Если обязать регистраторов возмещать причинённый ущерб, этот ущерб получит цену, но ответственность не даёт права властвовать. Более действенное решение — устранить полномочия, которые порождают вред.