Ошибка представления о стабильности в аргументации RIR

Защищённый офис не делает зависимую сеть безопасной. Лу Хэн спрашивает, чья стабильность имеет значение, когда операторы несут последствия контроля со стороны реестра.

Ошибка представления о стабильности в аргументации RIR

Региональные интернет-реестры любят говорить на языке стабильности. Это удобное слово. Оно звучит технически. Оно звучит нейтрально. Оно звучит так, будто находится выше политики, выше коммерции и выше самого спора.

Но это слово скрывает настоящий вопрос.

Стабильность чего?

AFRINIC и весь лагерь RIR часто утверждают, что мой юридический иск угрожает стабильности реестра. В этом утверждении есть рациональное зерно. Судебный спор против реестра может породить неопределённость. Замороженные счета, судебные распоряжения, оспариваемые выборы, внешнее управление и институциональный паралич не свидетельствуют о здоровом состоянии реестра. Никто не должен делать вид, будто это не так.

Но это лишь половина баланса. Вторая половина гораздо больше.

Cloud Innovation, LARUS и моя группа компаний представляют более 10 миллионов IP-адресов. За этими ресурсами стоят миллионы веб-сайтов, сотни миллионов действующих конечных пользователей и реальная инфраструктура. Больницы. Аэропорты. Предприятия. Хостинг-провайдеры. Системы безопасности. Платёжные системы. Критически важные государственные и частные сервисы.

Если AFRINIC или любой другой RIR попытается отозвать, загрязнить, заморозить или политически скомпрометировать эти ресурсы, риск для стабильности не будет теоретическим. Это не вопрос нескольких минут на заседании по политике. Это не философский спор о «сообществе». Это прямая операционная угроза работающим сетям.

Поэтому аргументация RIR ошибочна не потому, что стабильность не имеет значения. Она ошибочна потому, что определяет стабильность как комфорт реестра, а не как непрерывность работы Интернета.

В этом споре существуют два вида стабильности.

Первый — это институциональная стабильность реестра. Это стабильность корпорации, её банковского счёта, совета директоров, офиса, выборов, сотрудников, юридической защиты и самоописания как законного регионального органа.

Второй — это стабильность маршрутизируемой сети и непрерывность обслуживания клиентов. Это стабильность движения пакетов, доступности сервисов, достижимости клиентов, исполнения договоров и способности операторов полагаться на идентификаторы, вокруг которых построена их инфраструктура.

AFRINIC в основном говорит о первом. Я в основном говорю о втором.

В этом и состоит различие.

Экономическая ошибка проста. RIR обращаются с реестром так, будто он и есть актив. Это не так. Реестр — это координационный сервис. Активом является действующее экономическое использование номерных ресурсов операторами и клиентами. Ценность создаётся не записью в базе данных, мирно лежащей внутри офиса реестра. Ценность создают сети, разворачивающие адреса, клиенты, полагающиеся на них, и рынки, строящие поверх них сервисы.

Запись в реестре описывает реальность. Она её не создаёт.

Когда IPv4 стал дефицитным ресурсом, который можно финансировать, сдавать в аренду, покупать, маршрутизировать, страховать, оспаривать в суде и встраивать в клиентскую инфраструктуру, прежняя модель реестра изменила свой характер. То, что когда-то было административной функцией с небольшой ценностью, превратилось в узкое место контроля над ценными операционными активами. RIR не обновили свой мандат, ответственность, модель представительства или архитектуру отказоустойчивости в соответствии с этой переменой. Они сохранили старый язык попечительства, одновременно применяя новые формы власти.

Именно это является источником нестабильности.

Не оператор, который говорит, что король голый.
Не суд, который спрашивает, существуют ли юридические пределы частных действий реестра.
Не клиент, который хочет непрерывности.
Не рынок, который рассматривает IPv4 как капитал.

Нестабильность возникает из-за частного реестра, претендующего на право уничтожать работающие сетевые активы и при этом несущего за последствия малую или вовсе не несущего соразмерной ответственности.

В экономике это классическая проблема оппортунистического поведения после специфических инвестиций. Одна сторона делает специфические, безвозвратные и трудно перемещаемые инвестиции. Другая сторона после этого получает контроль над узким местом. Владелец узкого места затем заявляет о дискреционных полномочиях над активом, тогда как инвестор несёт потери. На обычных рынках это называют структурным риском. В мире RIR это называют «попечительством».

Слово не меняет структуру.

Больнице безразлично, была ли авария вызвана благородным процессом сообщества. Аэропорту безразлично, было ли неработающее маршрутное объявление оправдано внутренним толкованием политики. Владельцу веб-сайта безразлично, считает ли реестр, что он защищал «регион». Конечный пользователь видит только одно: сервис работает или не работает.

Поэтому аргумент о стабильности необходимо перевернуть.

AFRINIC утверждает, что мой иск угрожает стабильности реестра. Но попытка AFRINIC распространить свою власть на операционно встроенные ресурсы угрожает стабильности самого Интернета. Она превращает спор о реестре в риск для действующей инфраструктуры. Она создаёт неопределённость вокруг активов, от которых каждый день зависят клиенты, операторы связи, предприятия и государственные сервисы.

Это не стабильность. Это стабильность, основанная на заложничестве.

Посыл таков: не оспаривайте реестр, потому что реестр может рухнуть. Но если реестр способен рухнуть из-за того, что один участник обратился в суд, значит, реестр никогда не был достаточно стабилен, чтобы обладать односторонней властью над работающей инфраструктурой. Если система не способна выдержать юридическую проверку, претензии на активы, споры участников, давление банков, провал выборов или обычный судебный надзор, ответом не должно быть предоставление ей большей неприкосновенности. Ответом должно быть уменьшение её власти.

Реестр — не государство.
Комната — не мандат.
Заседание по вопросам политики — не законодательный орган.
Зона обслуживания — не народ.
Контакт в базе данных — не корпоративная доверенность.

И желание реестра сохранить свои институциональные полномочия — не то же самое, что стабильность Интернета.

RIR путают собственное выживание с выживанием Интернета, потому что их модель зависит от этой путаницы. Если считать реестр и Интернет одним и тем же, то каждый вызов реестру превращается в угрозу Интернету. Каждый иск становится саботажем. Каждое требование ответственности — атакой. Каждый запрос на переносимость — захватом. Каждый участник рынка — опасностью.

Это институциональное самосохранение, переодетое в инженерную задачу.

Настоящий инженерный вопрос более узкий. Защищает ли конкретное действие уникальность? Не допускает ли оно двойного назначения? Исправляет ли мошенничество? Сохраняет ли точность данных, связанных с маршрутизацией? Повышает ли безопасность? Поддерживает ли совместимость?

Если ответ положительный, у реестра может быть техническая роль.

Если ответ отрицательный, реестр не защищает Интернет. Он расширяет свою власть.

Коммерческое использование не является проблемой уникальности. Аренда не является проблемой уникальности. География клиентов не является проблемой уникальности. Финансирование активов не является проблемой уникальности. Бизнес-модель участника не является глобальным инвариантом. Это вопросы операторов, клиентов, договоров, судов и рынков. Они не дают реестру права угрожать уже работающим ресурсам.

Система RIR годами сохранялась потому, что природу активов понимали неправильно. IP-адреса считались административными токенами, а не капитальными активами. Эта фикция закончилась. Её уничтожили дефицит. Её уничтожили рынки. Её уничтожила аренда. Её уничтожили суды по делам о банкротстве. Её уничтожила зависимость от безопасности. Её уничтожила критическая инфраструктура.

Вопрос больше не в том, имеют ли IPv4 ценность. Вопрос в том, могут ли частные реестры и дальше обладать властью над публичной инфраструктурой, отрицая зависимость от этих активов, подобную зависимости от права собственности, ограничивая ответственность, отвергая переносимость и заявляя о полномочиях сообщества без законного представительства.

Не могут.

Выход не в том, чтобы сделать RIR более совершенными суверенами. Выход в том, чтобы прекратить претензии на суверенитет.

Слой реестра должен быть тонким. Он должен фиксировать уникальность, контроль, передачи, утверждения безопасности и метаданные конфликтов. Он должен поддаваться аудиту. Его должно быть возможно заменить. У него должен быть механизм переключения на резерв. Он не должен быть способен уничтожить непрерывность работающей сети лишь потому, что частной политической теории не нравится бизнес-модель оператора.

Переносимость должна стать безусловным правом. Если реестр становится злоупотребляющим полномочиями, захваченным, неплатёжеспособным, имеющим конфликт интересов или технически неактуальным, сети должны иметь возможность перенести свои номерные ресурсы и ASN из его ведения. Без переносимости каждый RIR становится точкой привязки. При такой привязке каждый спор превращается в ситуацию с заложником.

Именно поэтому утверждение о стабильности несостоятельно.

AFRINIC — не стабильность, а Лу — не нестабильность. Это пропагандистская геометрия.

Настоящее различие иное. AFRINIC защищает институциональную стабильность реестра. Я защищаю стабильность маршрутизируемой сети и непрерывность обслуживания клиентов. AFRINIC беспокоится о стабильности своей власти. Я беспокоюсь о стабильности Интернета, которым люди действительно пользуются.

Интернет выходит из строя не только тогда, когда пакеты перестают двигаться. Он также выходит из строя, когда институты, описывающие, кто вправе пользоваться идентификаторами, теряют доверие операторов, перемещающих эти пакеты.

Вот урок.

Не отмывание мандата.
Не предательство работающего кода.
Примат работающего кода.