Bilješka 65: Primat izvršnog koda: zakrpa potrebna za očuvanje prvobitnog dizajna interneta

Sedam prethodnih Heng.lu bilješki u ovom nizu su:

1. Bilješka 52: Uključeno kada se moć registra odvoji od odgovornosti: zašto sadašnji RIR model koordinacije ne može preživjeti u svom trenutnom obliku
2. Napomena 53: O tome zašto resursi internetskih brojeva nisu političko vlasništvo
3. Napomena 56: O tome kako gusto upravljanje regionalnih internetskih registara pretvara jedinstvenost u dvostruku ekstrakciju
4. Napomena 58: Od dvostrukog izdvajanja do inverzije suvereniteta: Kako nacije gube suverenu kontrolu RIRs za 100 USD
5. Bilješka 59: Kazna za siromaštvo: Kako model RIR oporezuje siromašne dok to naziva jednakošću
6. Napomena 61: Izdaja koda: Kako je sustav RIR okrenuo konsenzus protiv tehničke zajednice
7. Napomena 62: Pranje mandata: od RIR fantazije do prijelazne arhitekture

Prethodnih sedam eseja nisu bili program reforme regionalnih internetskih registara.

Bili su obdukcija.

Pratili su istu institucionalnu patologiju kroz različite slojeve: odgovornost odvojena od posljedice; resursi broja preoznačeni kao političko vlasništvo; jedinstvenost pretvorena u dvostruku ekstrakciju; suverenitet naopako; siromaštvo oporezovano u ime jednakosti; konsenzus se okrenuo protiv mreža kojima je trebao služiti; i konačno mandat prao sve dok činovnik nije počeo zvučati kao suveren. Redoslijed je bitan jer neuspjeh nije bila jedna loša ploča, jedan loš registar, jedna tužba ili jedan neugodan događaj na tržištu. Bio je to kvar sustava koji se pojavio u drugoj odjeći. Autorska stranica CircleID-a sada jasno prikazuje taj niz, uključujući Running-Code Betrayal i Pranje mandata. (circleid.com)

Ovaj esej nije o tome kako RIRs učiniti boljim regulatorima.

Radi se o objašnjenju zašto sadašnji nalog registra ne može biti krajnja točka i zašto je popravak koji najmanje ometa nadopuna izvornom tehničkom dizajnu interneta.

Taj dodatak je Primat pokretanja koda.

Potreba za njim više nije teoretska. U nedavnoj razmjeni CircleID-a, John Curran dao je najjači oblik postojećeg slučaja. Njegov argument je da autoritet sustava RIR nije samo nusproizvod uske tehničke koordinacije, već rezultat povijesnog lanca: Bijela knjiga, ICANN, ASO, ICP-2, tranzicija upravljanja IANA i kontinuirano upravljanje više dionika privatnog sektora. On navodi da je autoritet sustava RIR rezultat djelovanja unutar modela privatnog sektora s više dionika koji je usmjerila Vlada SAD-a. (circleid.com)

Taj argument je koristan jer spor čini vidljivim.

Pitanje više nije je li povijesno delegiranje postojalo. Naravno da jest. Pitanje je može li se povijesno delegirana funkcija koordinacije kasnije proširiti u stalni upravljački mandat putem iste procesne mašinerije koju kontrolira. Sadašnji odgovor je da: delegiranje, priznavanje, institucionalni kontinuitet i postupak zajednice postaju samoobnavljajući mandat.

Odgovor koji zahtijeva izvorni tehnički dizajn interneta je ne.

Izvorna internetska tradicija bila je uža, teža i bolja. RFC 3935 kaže da je cilj IETF-a "učiniti da Internet radi bolje"; temelji rad na tehničkoj kompetenciji, implementaciji u stvarnom svijetu i "grubom konsenzusu i radnom kodu". Također navodi da kada IETF nije odgovoran za protokol ili funkciju, on ne pokušava vršiti kontrolu nad njima. (rfc-editor.org) RFC 7282 ponavlja staru rečenicu Davida Clarka: "Odbijamo: kraljeve, predsjednike i glasovanje" i "Vjerujemo u: grubi konsenzus i tekući kod." (rfc-editor.org) RFC 9592 čini anti-suverenu točku još jasnijom: IETF ne upravlja, ne kontrolira niti patrolira internetom i nije "protokolarna policija". (rfc-editor.org)

Ta tradicija nikada nije značila da su dokumenti magični. To je značilo da su dokumenti važni kada pomažu u radu sustava. To je značilo da se proces tolerirao jer je služio implementaciji. To je značilo da je soba korisna samo kad se disciplinira oko operativne stvarnosti.

Sloj registra posudio je taj legitimitet.

Nikad nije u potpunosti prihvatio tu disciplinu.

To je zakrpa koja nedostaje.

Što znači primat koda za pokretanje

Running-Code Primacy znači da se sustavi internetske koordinacije moraju tumačiti usko u odnosu na minimalnu tehničku funkciju koju su pokrenute mreže izvorno opravdavale.

Sloj broj-resursa postoji da zaštiti pokrenute sustave: jedinstvenost, interoperabilnost, kontinuitet usmjeravanja, sigurnosne tvrdnje, dokaz kontrole i minimalnu zajedničku semantiku potrebnu za zajednički rad neovisnih mreža.

Ne postoji da bi proizvodio politički autoritet.

Ne postoji da bi kontrolirao trgovački moral.

Ne postoji za pretvaranje geografije usluge u naslov.

Ne postoji da bi se mailing lista pretvorila u zakonodavno tijelo.

Ne postoji da dopusti privatnom registru da učini da već pokrenuta mrežna imovina nestane jer se njegova interna teorija politike mijenja.

Registar nije stanje.

Kontakt baza podataka nije korporativna punomoć.

Regija usluge nisu ljudi.

Soba za politiku nije zakonodavno tijelo.

Zapis registra može opisati operativnu stvarnost. Ne stvara ga.

Ovo nije konzervativizam. Running-Code Primacy ne kaže da se postavljeni sustavi nikada ne mogu promijeniti. Kaže da se institucionalna moć nad promjenama ne smije opravdavati povijesnim delegiranjem, kružnim priznavanjem ili ritualnom procedurom. To mora biti opravdano determinističkim pravilima koja operateri mogu provjeriti lokalno i usvajanjem u sustavima koji rade.

Točan redoslijed je: početna specifikacija, stanje distribuirane knjige, lokalna provjera valjanosti, implementacija u tijeku, dobrovoljno usvajanje, skup kompatibilnosti, zatim dokumentacija.

Pogrešan redoslijed je: soba za politiku, deklaracija, tražena obveza, oznaka sukladnosti, prisilna operativna usklađenost.

RIR sustav nije uspio jer je sve više birao drugi poredak.

Ključna ispravka je sljedeća: nakon početne specifikacije ne postoji trajna institucija za peticiju. Nijedan odbor ne odlučuje je li neposvojenje prekršaj. Nijedan registar ne proglašava sudionika nevažećim samo zato što odbija kasniju promjenu. Postoji samo kod, stanje glavne knjige, provjera valjanosti, usvajanje, kompatibilnost, lokalno odbijanje, račvanje i selektivna međuoperacija.

Operater koji odbije kasniju promjenu ne kvari internet. Može ostati u starijem skupu kompatibilnosti. Može se račvati. Može prekinuti vezu. Možda neće uspjeti interoperirati sa sudionicima koji su usvojili nekompatibilna pravila. Ali ne može prekinuti interoperabilnost drugih koji nastavljaju pokretati međusobno kompatibilan kod.

Intuicija dizajna ista je ona koja distribuirane knjige čini korisnima: nije potrebna stalna institucija za odlučivanje o uobičajenoj valjanosti. Sudionici potvrđuju prijelaze stanja lokalno prema determinističkim pravilima. Nevaljanu državu ne kažnjava institucija. Zanemaruju ga sudionici koji ga ne prihvaćaju.

To je bitna zakrpa koja nedostaje koordinaciji broja i resursa.

Greška u dizajnu bila je prisutna od samog početka

Prvi dizajn RIR pretpostavljao je svijet niske vrijednosti.

Brojčani resursi izgledali su tehnički, obilni, činovnički i s malo sukoba. U tom se svijetu neformalnost činila učinkovitom. Otvorene liste za slanje e-pošte činile su se reprezentativnima. Administracija temeljena na kontaktu činila se odgovarajućom. Ugovori s ograničenom odgovornošću činili su se bezopasnima. Regionalni registar mogao bi izgledati kao adresar.

Oskudica IPv4 uništila je tu premisu.

IPv4 adrese postale su rijetke, prenosive, financirane, iznajmljene, kapitalizirane, sporene, sankcionirane i ugrađene u žive mreže. Sloj registra više nije bio iznad činovničkih unosa. Nalazio se iznad proizvodne infrastrukture. Nalazio se iznad vrijednosti imovine. Nalazio se iznad kontinuiteta korisnika, implementacije oblaka, telekomunikacijskih operacija, nacionalne povezanosti, sudskih naloga i raspodjele kapitala.

Institucionalni oblik nije se skupio kako bi odgovarao tom novom riziku.

Proširilo se.

Rezultat je sustav koji još uvijek govori jezikom tehničke koordinacije dok ostvaruje učinke upravljanja infrastrukturom. Od operatera se traži da postupak registra tretiraju kao neutralan, dok odluke registra utječu na komercijalnu sudbinu. Svoje sudionike naziva "zajednicom", dok mnogi od onih koji snose posljedice nikada nisu jasno pravno zastupali ljude u prostoriji.

NRS jasno navodi strukturalni problem: registri internetskih brojeva dizajnirani su kao tehnička koordinacijska tijela, ali jednom kada je nedostatak IPv4 adrese pretvorio u vrijednu imovinu, diskrecija registra postala je ekonomska moć; kada sustavi koordinacije kontroliraju kapital, centralizacija postaje strukturni rizik, a decentralizacija postaje inženjering sustava, a ne ideologija. NRS također navodi suprotan smjer dizajna: jedan internet, otvorena i autonomna infrastruktura i decentralizirano upravljanje s minimalnim ljudskim sudjelovanjem u svojoj srži. (nrs.pomoć)

To je pravi problem. Sloj registra nikada nije zakrpan za trenutak kada je koordinacijska tablica postala ulaz za imovinu.

Running-Code Primacy je ta zakrpa.

To nije bolja-RIR doktrina.

To je post-RIR disciplina.

Tri pravila zakrpe

Konstruktivna gramatika je revidirana Napomena 64: Minimalna početna specifikacija, lokalizirana buduća odluka i dobrovoljno usvajanje za internetske koordinacijske sustave: Minimalna početna specifikacija, Lokalizirana buduća odluka, i Dobrovoljno posvojenje.

Imena ostaju nepromijenjena. Logika mora biti precizna.

Minimalna početna specifikacija znači da zajednički sloj sadrži samo deterministička, lokalno provjerljiva pravila potrebna za jedinstvenost, interoperabilnost, dokaz kontrole, zajedničku sigurnost i sigurnost. Ne sadrži preferencije poslovnog modela, teorije cijena, regionalne političke osjećaje, diskrecijske ovlasti provedbe ili institucionalno širenje misije.

Lokalizirana buduća odluka ne znači da institucija odlučuje koje su buduće odluke lokalne. To bi već ponovno uvelo sloj autoriteta. To znači da početna specifikacija obavlja ograničavajući posao unaprijed. Nakon implementacije, obični budući izbori ostaju sa sudionicima koji pokreću kod. Sudionik može usvojiti, odbiti, rastaviti, prekinuti vezu ili selektivno interoperirati. Nijedan sudionik ne može promijeniti interoperabilnost drugih koji nastavljaju primjenjivati ​​međusobno kompatibilna pravila.

Dobrovoljno posvojenje znači da kasnije promjene postaju stvarne samo kroz implementaciju, provjeru valjanosti, implementaciju i korištenje. Objava nije stvarnost. Preporuka nije stvarnost. Sadašnje priznanje nije stvarnost. Neusvajanje ne stvara nevažeći status. Sudionik koji ne usvoji kasniju promjenu ostaje u svom postojećem skupu kompatibilnosti. Sudionik koji emitira nevažeće stanje prema determinističkim pravilima drugog sudionika može biti lokalno zanemaren. Učinak je izbor kompatibilnosti, a ne institucionalna kazna.

Ova tri pravila ne obnavljaju suverenost registra.

Oni ga sprječavaju da se ponovno pojavi pod novim imenom.

APNIC: Pravna struktura bila je rizik

APNIC pokazuje prvi neuspjeh: minimum nikada nije dovoljno strogo naveden na početku.

Ovo nije priča o kodeksu ponašanja. To nije priča o bontonu. Nije to priča o tome je li kritičar bio dovoljno pristojan prema instituciji na vlasti.

To je pravno-strukturalna priča.

U ožujku 2023. LARUS objavio je pravni pregled u kojem upozorava da struktura upravljanja APNIC stvara rizik ne samo za jednu tvrtku u Brisbaneu, već i za upravljanje internetom u cijeloj azijsko-pacifičkoj regiji. U pregledu je navedeno da glavni direktor APNIC ima konačnu zakonsku ovlast zatvoriti APNIC i smijeniti izabrano Izvršno vijeće te da su potrebne hitne izmjene upravljanja. Također je navedeno da je struktura postavila pitanja o sigurnosti upravljanja internetom za više od jedne milijarde azijsko-pacifičkih korisnika interneta. (larus.net)

Prvi dodatak, izvadak tvrtke ASIC, pruža korporativnu osnovnu liniju. APNIC Pty Ltd je navedena kao australska vlasnička tvrtka ograničena dionicama, registrirana u Queenslandu. Paul Byron Wilson bio je naveden kao direktor i tajnik. Informacije o dionici pokazale su jednu izdanu običnu dionicu, a Paul Byron Wilson naveden je kao član koji drži tu dionicu. (larus.net)

To nije normalan način da se smjesti kritična funkcija regionalne internetske koordinacije.

Drugi prilog, pravno mišljenje dr. Petera Feltera, izveo je zaključak upravljanja. Opisuje strukturu APNIC okrenutu javnosti — članove, izbore, Izvršno vijeće, glavnog direktora i tajništvo — kao poseban odbor koji počiva na članku 9.3 Statuta APNIC Pty Ltd. Navodi da je APNIC Pty Ltd vlasnička tvrtka koju kontroliraju jedan direktor, jedan dioničar i jedan tajnik, sve ista osoba, 25 godina. (larus.net)

Ta je razlika bitna.

Javna ustanova okrenuta zajednici nije bila konačni pravni spremnik. Bilo je to zdanje izgrađeno na strukturi privatne tvrtke.

Pravno mišljenje zatim je objasnilo zašto je razlika važna. Za podzakonske akte APNIC-a navedeno je da su podložni člancima i ovlastima korporacije i njezinih direktora, službenika i članova. Prema tom čitanju, javna struktura APNIC mogla bi se promijeniti odlukom direktora APNIC Pty Ltd; mišljenje opisuje APNIC kao, zapravo, odjel APNIC Pty Ltd. (larus.net)

Najštetnija točka mišljenja nije bila da je APNIC tehnički nezakonit. Bilo je to da zakonitost i ispravnost nisu isto. U mišljenju se tvrdilo da sporazum o povjerenju nije riješio problem jer ovlasti Izvršnog vijeća još uvijek proizlaze iz direktorove rezolucije kojom se uspostavlja poseban odbor. Također je primijetio da je APNIC Pty Ltd privatno dioničko društvo čija struktura i objekti nisu nalikovali nedioničkom neprofitnom modelu koji bi većina ljudi povezala s regionalnim registrom od javnog interesa. (larus.net)

To je prvi dizajnerski promašaj u najčišćem obliku.

Sustav koordinacije brojeva na regionalnoj razini ne bi trebao ovisiti o strukturi koja zahtijeva od pravnika da objasne zašto se vlasnička tvrtka s jednom dionicom, poseban odbor, ugovor o povjerenju i izabrano vijeće nekako kombiniraju u legitimnu kontrolu nad azijsko-pacifičkim registrom brojeva.

Kritični koordinacijski sloj trebao bi biti čitljiv izvana.

Ne bi trebalo zahtijevati povjerenje u dokumente iza dokumenata.

Ne bi trebalo zahtijevati od članova da otkriju, nakon godina institucionalne ovisnosti, da izabrani sloj možda nije krajnji pravni sloj.

Ne bi trebalo stvarati dojam da članovi upravljaju dok formalnu moć ostavljaju negdje drugdje.

Zbog toga minimalna početna specifikacija mora uključivati ​​distribuiranu valjanost, a ne institucionalno povjerenje. Ne zato što buduća institucija treba bolje upravljanje. Jer budući post-RIR sustav mora izbjeći potrebu za tom institucijom uopće.

Zajednički sloj ne bi trebao ovisiti o skrivenoj strukturi kontrole tvrtke u vlasništvu. Treba definirati deterministička pravila provjere valjanosti, stanje dokaza kontrole, pravila prijelaza stanja, pravila sukoba, replikaciju glavne knjige, izlazne staze, račvaste staze i skupove kompatibilnosti. Ako APNIC nestane, zarobi se, promijeni pravni položaj ili odbije prepoznati važeće stanje, mreža koja radi ne bi trebala ovisiti o kontinuiranom prepoznavanju APNIC da bi znala tko kontrolira koje brojčane resurse.

Registar ne bi trebao biti izvor valjanosti.

Stanje distribuirane knjige, potvrđeno prema početnoj specifikaciji, trebalo bi biti.

ARIN: Politika susrela stvarnost imovine

ARIN pokazuje drugi neuspjeh: pravna i tržišna stvarnost mogu nadmašiti teoriju registra.

Odlučujući događaj bila je transakcija Nortel/Microsoft. Kada je Nortel podnio zahtjev za stečaj, njegovih 666.624 IPv4 adresa postale su vrijedna imovina u postupku. Adrese su prodane Microsoftu za 7,5 milijuna dolara. ARIN je intervenirao na teoriji da adrese nisu vlasništvo i da se ne mogu prodati besplatno i bez pravila registra. Kanadska industrija podržala je to stajalište. Stečajni sud ga je odbio; Microsoft je kasnije potpisao naslijeđeni ugovor; a praktični rezultat bio je jasan: politika registra nije mogla ostati jedini izvor stvarnosti nakon što sudovi i tržišta budu tretirali izvore brojeva kao imovinu. (btw.mediji)

Važna lekcija nije da je ARIN bio jedinstveno neispravan.

Pouka je da je sloj registra ušao u novu kategoriju.

Registarski zapis je vrijedan jer se operateri, sudovi, kupci, prodavači, vjerovnici i mreže oslanjaju na njega. Ne postaje autoritativan uskraćivanjem tog oslanjanja. Ostaje koristan samo ako dovoljno pažljivo prati zakonsku, tržišnu i operativnu stvarnost da mu se može vjerovati.

Nakon što je IPv4 postao rijedak, proces registra postao je tržišno sučelje. Pravila prijenosa, procjene potreba, kašnjenja priznavanja i regionalna ograničenja više nisu činovnički detalji. Postali su imovinska trvenja. Javna analiza sada opisuje fragmentirani pravilnik RIR u kojem pet regionalnih sustava upravlja tržišnim trgovanjem po otprilike 18-45 USD po adresi, s proturječnim pravilima koja mogu blokirati imovinu, odgoditi spajanja i prisiliti zasebne korporativne strukture da jednostavno drže blokove brojeva. (btw.mediji)

To nije neutralna koordinacija.

To je regulatorni učinak bez regulatorne odgovornosti.

ARIN dokazuje zašto je dobrovoljno posvajanje važno. Politika registra ostaje vjerodostojna samo dok opisuje što akteri zapravo provode, trguju, financiraju, vode parnice i na što se oslanjaju. Postaje opasno kada se objava tretira kao dovoljna za proizvodnju stvarnosti.

Registar koji odbija stvarnost ne postaje suveren.

Postaje ustajala baza podataka.

U dizajnu Running-Code Primacy, lekcija je još oštrija. Sudovi i tržišta ne trebaju važeći registar kako bi odlučili postoji li vrijednost. Operateri ne trebaju povjerenstvo da bi znali hoće li blok rute. Sudionici trebaju deterministička pravila koja omogućuju dokaz kontrole, rješavanje sukoba, prijelaze stanja vidljivih u glavnoj knjizi i kompatibilnost. Stari registar može objaviti prikaz. Softverski klijent može prikazati pogled. Istraživač glavne knjige može prikazati pogled. Nijedan nije izvor valjanosti.

Ne postoji registar u koji se može premjestiti.

Nema registra za pitati.

Postoji samo distribuirano stanje koje sudionici provjeravaju, prihvaćaju, odbijaju, račvaju se iz njega ili s kojim surađuju.

AFRINIC: Kad je teorija registra ugrozila tekuću imovinu

AFRINIC je središnji slučaj jer je ogolio problem do njegove suštine.

Pogrešna je priča da je problematičan član paralizirao regionalni registar.

To je sadašnja igra morala.

Strukturna priča je drugačija. AFRINIC je pokušao pretvoriti komercijalnu upotrebu, geografiju korisnika, leasing, odnose s članovima i tumačenje interne politike u navodnu moć deregistracije već aktivnih resursa brojeva. Nakon što je ta tvrdnja iznesena, sukob više nije mogao ostati samo neslaganje u prostoriji za politiku. To je postao test može li privatni registar koristiti regionalnu retoriku i šutnju politike kako bi ugrozio operativno ugrađenu imovinu.

Činjenice ne zahtijevaju kazališnu inflaciju. Javno izvješćivanje opisalo je spor AFRINIC kao jednostavan komercijalni spor oko IP adresa koji je postao najveća priča o upravljanju internetom u Africi. Također je izvijestio da je Cloud Innovation često prikazivan kao negativac, dok je kasniji dokumentarni materijal ukazivao na destruktivne sile unutar samog AFRINIC-a i na odgađanje, prolongiranje i nastavak parnice od strane predstavnika AFRINIC-a na trošak AFRINIC-a. (btw.mediji)

To je važno jer preokreće uobičajenu priču.

Parnica nije uzrokovala strukturalni kvar.

Parnica je to razotkrila.

Relevantni propust već je bio prisutan kada je privatni registar odsutnost izričite dozvole tretirao kao osnovu za prisilnu kontrolu. Leasing nije bio prijetnja jedinstvenosti. Geografija kupaca nije bila dvostruki zadatak. Komercijalna uporaba nije bila greška u sigurnosti usmjeravanja. Poslovni model koji se registru nije sviđao nije bio globalna invarijanta.

Ipak, tužba registra smjestila je te probleme unutar okvira za opoziv.

To je trenutak kada koordinacija postaje upravljanje.

Izvješće bilježi da je AFRINIC poslao Cloud Innovation pismo u ožujku 2021. u kojem navodi kršenja pravila i prijeti prekidom članstva; da je u srpnju 2021. Vrhovni sud Mauricijusa zabranio AFRINIC da prekine članstvo Cloud Innovationa; i da je daljnji pokušaj AFRINIC da otkaže članstvo blokiran u prosincu 2021. (btw.mediji) Taj slijed nije priča o registru koji mirno štiti internet. To je priča o susreću matičnog tijela s uobičajenim zakonom.

Niti širi institucionalni slom nije uzrokovan premalom moći registra. Dublji problem bilo je zaključavanje. Ako jedan registar ima monopol nad vrijednom aktivnom imovinom, svaki interni kvar postaje rizik za internetski kontinuitet. Ako članovi ne mogu napustiti sustav prepoznavanja, kvar registra postaje talac moći.

Registar može ispraviti očitu prijevaru pri registraciji u svojim evidencijama.

Može spriječiti dvostruku dodjelu dok model registra još postoji.

Može zadržati sigurnosne tvrdnje dok se sudionici još uvijek oslanjaju na njega.

Ali to su prijelazne funkcije stare arhitekture.

U post-RIR arhitekturi te funkcije ne obavlja registar. Oni su kodirani u stanje distribuirane knjige, pravila dokaza kontrole, pravila sukoba i lokalno provjerljive prijelaze.

Privatno tijelo ne bi smjelo pretvarati leasing u regionalnu izdaju.

Geografiju kupaca ne bi trebala pretvoriti u okidač za opoziv.

Ne bi trebalo tretirati komercijalne nesuglasice kao tehničku nevaljanost.

Ne bi trebao pretvarati kontinuitet imovine u dopuštenje.

AFRINIC dokazuje da je potreba za lokaliziranom budućom odlukom ispravno shvaćena. Ne postoji središnje tijelo koje odlučuje da buduća komercijalna odluka "pripada lokalno". Umjesto toga, početna specifikacija mora osigurati da te odluke uopće nikada ne uđu u zajednički sloj. Zakup, geografski položaj korisnika, komercijalna upotreba, cijene, financiranje, kombinacija kupaca i strategija implementacije ostaju izvan determinističkih pravila valjanosti osim ako izravno ne utječu na jedinstvenost, sigurnost, dokaz kontrole ili interoperabilnost.

Operater ne može narušiti interoperabilnost drugih operatera iznajmljivanjem adresa.

Operater ne može prekinuti interoperabilnost drugih operatera služeći klijentima izvan regije povijesnog registra.

Operater ne može prekinuti interoperabilnost drugih operatera korištenjem poslovnog modela koji se ne sviđa registru.

Najviše, operator može propustiti zadovoljiti deterministička pravila koja pokreću drugi sudionici. U tom slučaju drugi sudionici lokalno odbijaju nevažeće stanje. Ne postoji sloj kazne. Ne postoji sud za usklađenost. Ne postoji regionalni suveren.

Ta linija nije ideološka.

U funkciji je.

Problem s proxyjem nije detalj

Izborna kontroverza AFRINIC učinila je vidljivim drugi nedostatak: zastupljenost.

NRS svoju osnovu zastupanja navodi u izravnim pravnim uvjetima. Kaže da su navedeni članovi povjerili NRS da ih predstavlja u pitanjima upravljanja RIR i da je svaki navedeni član dao punomoć. (nrs.pomoć) Tijekom izbornog spora oko AFRINIC, NRS je zatražio od članova da prijave jesu li se njihova imena pojavila na biračkim popisima ili ako su glasovi zabilježeni bez njihovog sudjelovanja, te je rekao da će se s takvim činjeničnim izvješćivanjem postupati putem zakonitih kanala. (nrs.pomoć)

To je važno jer pokazuje razliku između pravnog zastupanja i retorike zajednice.

Sustav RIR često sažima nekoliko kategorija u jednu: korporativni predstavnik, kontakt baze podataka, tehnički kontakt, zaposlenik, konzultant, nositelj opunomoćenika, sudionik politike, redoviti popis za slanje e-pošte. To nisu iste stvari.

Kontakt baze podataka može pomoći u upravljanju zapisima.

Punomoć može ovlastiti zastupanje ako je valjana i unutar djelokruga.

Sudionik politike može doprinijeti stručnošću.

Govornik s mailing liste može izraziti svoje mišljenje.

Niti jedno od toga automatski ne postaje pravni principal za svaku tvrtku, kupca, državu, vjerovnika, zajmodavca, kupca, zakupca ili mrežu koja snosi posljedice odluke registra.

Ova se razlika može zanemariti samo dok zajednički sloj ostaje tanak. Nakon što registar zatraži ovlast nad opozivom, prijenosom, leasingom, pristupom tržištu, tretmanom sankcija, kontinuitetom imovine ili rizikom nacionalne infrastrukture, zastupanje postaje ustavno.

Soba nije mandat.

Mailing lista nije ljudi.

Zapis o kontaktu nije korporativna punomoć.

Uslužna regija nije suverena izborna jedinica.

Ovo nije proceduralna izbirljivost.

To je razlika između koordinacije i pravila.

Sustav Running-Code Primacy izbjegava ovu zamku smanjujući broj odluka koje uopće zahtijevaju predstavljanje. Ako je valjanost deterministička i lokalna, nema se o čemu glasati. Ako je buduća promjena dobrovoljna, nema potrebe odlučivati ​​je li osoba koja nije usvojitelj u lošem stanju. Ako je država predstavljena u distribuiranoj knjizi, nema potrebe moliti postojeći registar da prizna nečije daljnje postojanje. Ako su skupovi kompatibilnosti eksplicitni, sudionici znaju s kim mogu surađivati ​​bez traženja političke sobe.

Najbolji problem upravljanja je onaj koji dizajn sustava uklanja.

RIPE NCC i LACNIC: Klub i točka gušenja

RIPE NCC i LACNIC ne dokazuju da su neki RIRs civiliziraniji od drugih. Oni dokazuju da model RIR ima dva sloja provedbe izvan tehničke funkcije: klub i točka gušenja.

Klub odlučuje tko je ugledan. Točka prigušenja odlučuje čiji se status registra može premjestiti.

Odbijanje RIPE NCC-a da prihvati LARUS sponzorstvo za RIPE 90 jasno je pokazalo klupski sloj. Član je ponudio sponzorstvo. Ekosustav na strani registra odbio ga je zbog nepovezanog spora u drugoj regiji. To nije bila odluka o sigurnosti usmjeravanja. To nije bila jedinstvena odluka. To nije bilo determinističko pravilo validacije. Bio je to privatni crni popis putem pristupa konferenciji. LACNIC je također odbio moje sponzorstvo. Drugačija regija, isti instinkt: registarski klub štiti se kontrolnim sobama, vidljivošću, sponzorstvom, ugledom i društvenim legitimitetom.

To nije zajednica. To je čuvanje vrata.

Sloj sankcija je gori jer pokazuje središnju točku gušenja u pravnom obliku. RIPE NCC navodi da, budući da ima sjedište u Nizozemskoj, mora poštivati ​​sankcije EU-a; kada se primjenjuju sankcije, zamrzava registraciju u bazi podataka RIPE, blokira stjecanje i prijenos i može tretirati slučajeve kao zamrznute kada strana ne može pružiti dostatnu dokumentaciju. Također pregledava popise OFAC-a jer bankarski odnosi utječu na plaćanja. (RIPE NCC sankcionira transparentnost)

To nije kritika RIPE NCC-a zbog poštivanja zakona. Nizozemski entitet mora poštovati nizozemski zakon i zakon EU. Problem je arhitektura: zašto bi jedan nizozemski privatni subjekt trebao biti središnja točka prepoznavanja za mobilnost brojčanih resursa u mnogim zemljama, operaterima i pravnim sustavima?

Sankcije mogu obvezivati banku. Sankcije mogu obvezivati nizozemski entitet. Sankcije mogu obvezivati drugu ugovornu stranu koja odluči ne izvršiti transakciju. Oni ne bi trebali postati globalni uvjet tehničke valjanosti za sve ostale.

To je greška dizajna.

Ista središnjica koja omogućuje klubu da isključi kritičara također dopušta jurisdikciji da zamrzne mobilnost registra. Jedan je društvena prisila. Drugi je zakonska provedba. Oba rade samo zato što se registar nalazi tamo gdje valjanost ne bi trebala biti.

Ovo je izravno povezano s tri načela.

Minimalna početna specifikacija: ugled kluba, podobnost za sponzorstvo, regionalna politika, klasifikacija sankcija i ugled nikada ne smiju ući u zajednički sloj. Zajednički sloj trebao bi sadržavati samo deterministička pravila za jedinstvenost, dokaz kontrole, rješavanje sukoba, prijelaz stanja i sigurnost.

Lokalizirana buduća odluka: pravni rizik, izbor druge ugovorne strane, sponzorstvo, komercijalno povjerenje i izloženost sankcijama pripadaju akterima koji ih snose. Nizozemski subjekt može odbiti transakciju. Banka može odbiti plaćanje. Druga ugovorna strana može odbiti posao. Ništa od toga ne bi trebalo postati univerzalna registarska istina.

Dobrovoljno posvajanje: sudionici prihvaćaju druge ugovorne strane pokretanjem koda, potvrđivanjem stanja i odabirom s kim će surađivati. Neposvajanje nije nedolično ponašanje. Lokalno odbijanje nije globalna nevaljanost. Odbijanje kluba ne bi trebalo izbrisati važeće stanje. Obveza sankcija trebala bi ograničiti aktera koji joj podliježe, a ne prepravljati svjetsku knjigu brojčanih resursa.

Zbog toga je potreban dizajn distribuirane knjige. U sustavu nakon RIR, o redovnoj valjanosti ne odlučuju RIPE NCC, LACNIC, odjel za sankcije, odbor za sastanke ili ured sponzora. Sudionici potvrđuju stanje lokalno. Protustranke dobrovoljno prihvaćaju ili odbijaju. Vilice su vidljive. Skupovi kompatibilnosti su eksplicitni. Nestaje središnji registar kao izvor istine.

Popravak nije bolji bonton.

Rješenje nije transparentniji red čekanja za sankcije.

Popravak je uklanjanje valjanosti i iz kluba i s točke gušenja.

Distribuirano stanje. Lokalna provjera valjanosti. Dobrovoljno prihvaćanje druge ugovorne strane. Nema registra kao izvora valjanosti.

Pismo NRO-a: Bijeg prema gore

Najozbiljniji dokaz nije pokušaj prekoračenja AFRINIC-a.

To je kolektivni odgovor sustava.

Godine 2022. Organizacija numeričkih resursa pisala je vladi Mauricijusa. U pismu se NRO opisuje kao koordinirajuće tijelo za svjetski RIRs i kaže da RIRs upravlja resursima brojeva u svojim regijama. Navedeno je da svih pet registara obavlja funkciju upravljanja brojčanim resursima prema pravilima usvojenim regionalno ili globalnim politikama usvojenim jednoglasno. (nro.net)

U istom pismu kritiziran je spor Cloud Innovationa, navodi se da je podneseno više od 25 tužbi, žali se na sudske naloge koji su zamrznuli račune AFRINIC-a i zaustavljaju izbore, te navodi da je AFRINIC opetovano tražio od Mauricijusa da ga prizna kao međunarodnu organizaciju. NRO je pozvao vladu da poduzme korake za očuvanje neovisnosti AFRINIC i stabilnosti interneta u Africi. (nro.net)

To je dokument koji najviše otkriva u cijeloj priči.

Kad se privatni registar sudario s redovnim sudovima, refleks sustava nije bio da suzi mandat.

Nije se radilo o uklanjanju zaključavanja registra.

Nije trebalo odvojiti evidenciju od ovrhe.

Nije definirati distribuiranu provjeru valjanosti.

Nije se postavljalo pitanje je li ovlast za jednostrano brisanje tekuće imovine od početka bila nelegitimna.

Refleks je bio bijeg prema gore.

Privatno koordinacijsko tijelo ne može biti tehničko kada želi diskreciju, utemeljeno na zajednici kada želi legitimitet, ugovorno kada želi naknade, neimovinsko kada želi izbjeći vlasničku odgovornost i kvazi međunarodno kada želi izolaciju od sudova.

Taj paket nije vladanje.

To je pranje mandata na razini sustava.

Ako RIRs žele javnopravnu privilegiju, moraju prihvatiti javnopravnu odgovornost. Ako žele fleksibilnost privatnog prava, moraju prihvatiti privatnopravne parnice. Ono što ne mogu racionalno zahtijevati je privatna diskrecija, važnost javne infrastrukture, niska odgovornost, slaba zastupljenost, monopolistički status i kvazidiplomatska izolacija u isto vrijeme.

To je put katastrofe.

Running-Code Primacy to odbija.

Kada registar naiđe na pravni otpor, ne smije pobjeći prema gore u imunitet. Arhitektura se mora smanjiti prema dolje u usku funkciju trčanja koda koja ju je opravdala.

Manje suverenosti.

Nema registra kao izvora valjanosti.

Manje ovrhe.

Distribuiranija provjera valjanosti.

Revizija ICP-2 nije dovoljna

Sadašnji sustav zna da se nešto pokvarilo.

ICANN stranica za javne komentare za drugi nacrt dokumenta o upravljanju RIR kaže da bi prijedlog postavio pravila i kriterije za priznavanje novog RIRs, radne obveze i zahtjeve RIRs i pravila za prestanak priznavanja; ako se usvoji, zamijenit će ICP-2. Ista stranica kaže da je proces pokrenut nakon što je NRO zatražio od ASO-a da predloži ažuriranja kako bi RIR sustav imao veću odgovornost prema internetskoj zajednici. (icann.org)

To bi moglo biti potrebno kao mjera kontinuiteta.

Nije dovoljna kao teorija legitimiteta.

Pravila o priznavanju i poništavanju priznavanja odgovaraju na kasno pitanje: kada je registar zakazao dovoljno ozbiljno da se ukloni?

Ranije pitanje je važnije: zašto bi registar uopće trebao biti dovoljno moćan da katastrofalno zakaže?

Nasljednik ICP-2 koji samo pojačava prepoznavanje, reviziju, predaju i prepoznavanje može poboljšati institucionalnu higijenu uz očuvanje pogreške u kategoriji. Još uvijek pretpostavlja da je RIR primarni suvereni oblik koordinacije broja i resursa.

Running-Code Primacy postavlja drugačiji skup pitanja.

Kako Internet nastavlja raditi ako se RIR sruši?

Kako se tvrdnje o broju resursa mogu provjeriti bez dopuštenja vlasti?

Kako jedinstvenost opstaje bez monopolske diskrecije?

Kako se sprječava da zapisi postanu oružje prisile?

Kako se komercijalne odluke drže izvan determinističke valjanosti osim ako je prava globalna invarijanta u opasnosti?

Kako koordinacija ostaje upotrebljiva bez ikakvog autoritativnog registra?

Kako operater potvrđuje uobičajeno stanje bez traženja statusa od stalnog tijela?

Kako odbijanje izbjeći da postane oznaka kršenja?

Ovo nisu reformska pitanja.

To su pitanja nakon RIR.

Zašto je ovo zakrpa za izvorni dizajn

Pitanje nije sviđaju li se ili ne sviđaju postojeći registri.

Pitanje je slijedi li sloj brojčanih resursa još uvijek disciplinu dizajna koja je omogućila funkcioniranje interneta: minimalna zajednička pravila, lokalna provjera valjanosti, dobrovoljno usvajanje i pokretanje koda.

Running-Code Primacy nije strategija odnosa s javnošću niti institucionalni kompromis. To je tehnički popravak koji podrazumijeva izvorni dizajn. Ako je Internet izgrađen da odbaci kraljeve, predsjednike i glasovanje kao izvore tehničke istine, tada sloj resursa brojeva ne može rekreirati te oblike kroz registarski proces, povijesno delegiranje ili kazalište zajednice.

Samo se konsenzus može ritualizirati. Samo pokrenuti kod može biti podređen ako se sloj registra nalazi uzvodno od prepoznavanja. Pravilo koje nedostaje je interpretativno i arhitektonsko: gdje je institucionalni proces u sukobu s minimalnom tehničkom funkcijom koju zahtijevaju pokrenuti sustavi, operativni kod ima prednost; a gdje se kasnije predloži promjena, ona postaje stvarna samo dobrovoljnim usvajanjem od strane sudionika koji pokreću pravila provjere valjanosti.

Tako se izvorni dizajn čuva, a ne napušta.

Internet je bio bitan jer je postao prvi globalni komunikacijski sustav koji nije zahtijevao prethodno dopuštenje jednog suverena, ministarstva, crkve, korporacije ili vratara. Ako je to postignuće i dalje vrijedno obrane, sloj registra ne može postati iznimka koja guta pravilo.

Sustav izgrađen za izbjegavanje kraljeva ne može dopustiti knjigovođi da bude na audiciji za ulogu kralja.

Zakrpa vraća izvornu hijerarhiju: prvo kod, prvo operatori, prvo deterministička provjera valjanosti, prvo distribuirano stanje; institucije, ako ih i ostane tijekom tranzicije, samo kao neautoritativni artefakti, nikada kao izvori valjanosti.

Što je potrebna koordinacija nakon RIR

Post-RIR koordinacija ne znači kaos.

To znači da zajednički sloj postaje tanji, objektivniji, determinističkiji i raspodijeljeniji od sadašnjeg RIR monopola.

Ne postoji registar u koji se može premjestiti.

Nema novog registra za krunu.

Ne postoji zamjensko svećeništvo.

Postoji distribuirana knjiga stanja broj-resursa, s determinističkim pravilima provjere valjanosti, mehanizmima dokaza kontrole, rješavanjem sukoba, skupovima kompatibilnosti, poviješću prijelaza stanja i lokalnom verifikacijom sudionika.

Zajednički sloj treba sačuvati jedinstvenost identifikatora, dokaz kontrole, stanje prijenosa, stanje delegiranja, sigurnosne tvrdnje vezane uz usmjeravanje, mogućnost revizije, metapodatke o sukobu i vidljivost račvanja.

Sloj operatera trebao bi kontrolirati komercijalnu upotrebu, leasing, geografsku lokaciju kupaca, praksu usmjeravanja, financiranje, odabir druge ugovorne strane i neinvarijantna poslovna pravila.

Sloj usvajanja trebao bi odrediti što postaje stvarno. Pravilo koordinacije je važno samo ako ga operateri mogu implementirati, druge ugovorne strane mogu prihvatiti, tržišta se mogu osloniti na njega, sudovi ga mogu razumjeti, a interoperabilnost je očuvana bez da je priznavanje postojećeg operatera jedini izvor stvarnosti.

Sloj provedbe ne smije se spajati sa slojem stanja. Distribuirana knjiga može bilježiti stanje. Može potvrditi prijelaze. Može razotkriti sukobe. To može učiniti dokaz prenosivim. Ne smije odjednom postati tužitelj, sudac, kazneno tijelo, regulator tržišta, komercijalni moralist i skrbnik imovine.

Što je najvažnije, prenosivost se mora ispravno shvatiti.

U svijetu distribuirane knjige prenosivost ne znači premještanje iz jednog registra u drugi registar. To je još uvijek razmišljanje registra. Ne postoji registar u koji se može premjestiti. Vlasnikov dokaz o kontroli, povijest stanja i sposobnost prijenosa nisu zarobljeni unutar postojeće baze podataka. Oni postoje u zajedničkom provjerljivom stanju koje sudionici potvrđuju lokalno, a druge ugovorne strane prihvaćaju dobrovoljno.

Bez toga, svaki registar je zaključana točka.

Njime nestaje registar kao izvor valjanosti.

Post-RIR koordinacija stoga treba četiri svojstva dizajna.

Prvo, deterministička valjanost. Sudionik bi trebao znati jesu li prijelaz stanja, dokaz, delegiranje, prijenos ili tvrdnja valjani lokalnom primjenom specifikacije.

Drugo, skupovi kompatibilnosti. Ako sudionici usvoje različita buduća pravila, sustav bi trebao jasno opisati granicu kompatibilnosti umjesto da neslaganje tretira kao nedolično ponašanje.

Treće, distribuirani dokaz kontrole. Nositelj ne bi trebao "premjestiti" svoje resurse u drugi registar; trebao bi demonstrirati kontrolu kroz stanje valjanosti glavne knjige koje svaka druga ugovorna strana može provjeriti bez blagoslova postojećeg.

Četvrto, vidljivost vilice. Ako se skupovi pravila razlikuju, razlika bi trebala biti eksplicitna. Sudionici odlučuju koji će skup kompatibilnosti pokrenuti i koje će ugovorne strane prihvatiti. Račva može izolirati sudionike. Ne daje jednoj strani institucionalnu moć da izbriše drugu.

To nije argument za pet boljih monopola.

To je argument protiv monopola kao izvora valjanosti.

Zašto je put neuspjeha predvidljiv

Ako se ništa ne promijeni, put neuspjeha je jasan.

Prvo, više će se sporova preseliti iz soba za politiku na sudove. Oskudna imovina privlači pravni nadzor. Od sudova će se tražiti da zamrznu račune, sačuvaju evidenciju, blokiraju nepropisne izbore, imenuju stečajne upravitelje, priznaju prijenose ili odrede tko može djelovati u ime registra.

Drugo, države će prestati tretirati RIRs kao bezopasne tehničke asocijacije. Kontinuitet numeriranja dotiče se nacionalne povezanosti, sankcija, provedbe zakona, otpornosti telekomunikacija, infrastrukture u oblaku i ekonomske sigurnosti. Nijedna država neće zauvijek prihvatiti ljusku stranog privatnog registra kao neispitanu uzvodnu točku kontinuiteta nacionalnih komunikacija.

Treće, operateri će obilaziti nadležno tijelo registra gdje god je to moguće. Ako registarski zapisi postanu politički, nesigurni, nereprezentativni ili odvojeni od realnosti imovine, operateri će se osloniti na privatne ugovore, prijenose utemeljene na sudskim sporovima, alternativne potvrde, nacionalno priznanje ili stvarnost de facto usmjeravanja.

Četvrto, ICANN i NRO sloj bit će u iskušenju da se centraliziraju. To bi proizvelo deblju verziju istog problema osim ako se sam mandat ne suzi.

Peto, vlade će doći u iskušenje da nacionaliziraju. To bi bilo predvidljivo i opasno. Ako privatni registri zahtijevaju kvazi-suverene ovlasti bez javne odgovornosti, države će na kraju povratiti suverenitet. Rezultat bi mogao biti fragmentacija, odmazda, sukobljeni registri i politički pritisak na usmjeravanje.

Internet ne pada samo kada se paketi prestanu kretati.

Također ne uspijeva kada institucije koje opisuju tko može koristiti identifikatore izgube povjerenje operatera koji premještaju pakete.

Distribuirana knjiga ne rješava svaki politički problem. Čini nešto važnije: uklanja stalni registar kao uobičajeni izvor valjanosti. To sužava površinu napada. Smanjuje moć institucionalnog taoca. Pretvara buduće nesuglasice u izbor kompatibilnosti, a ne u administrativni rat.

Pitanje se mijenja

Stari sustav pita: tko ima mandat?

To je krivo pitanje.

Bolje pitanje je: što zapravo zahtijeva pokretanje koda?

Štiti li ovo pravilo jedinstvenost?

Čuva li interoperabilnost?

Ispravlja li očitu prijevaru pri registraciji putem determinističkih dokaza?

Štiti li sigurnost usmjeravanja?

Održava li točnost dokaza kontrole?

Omogućuje li lokalnu provjeru valjanosti?

Uklanja li ovisnost o jednom obnašatelju dužnosti?

Opisuje li usvojenu stvarnost ili proglašava neusvojenu obvezu?

Može li ga sudionik odbiti, a da mu se ne dodijeli nevažeći status?

Može li sudionik provjeriti redovnu valjanost bez traženja statusa od registra?

Može li druga ugovorna strana dobrovoljno prihvatiti ili odbiti stanje?

Može li se dogoditi fork, a da institucija ne izbriše jednu stranu?

Ako odgovor nije vezan uz determinističku nužnost pokretanja koda, snaga ne bi trebala sjediti u zajedničkom sloju.

To je Primat Running-Code-a.

Za raspravu

Ovaj prijedlog je za raspravu. To nije konačna nagodba.

Sljedeći korak trebao bi biti ozbiljan internetski nacrt ili dokument u stilu BCP-a koji definira primat pokretačkog koda za internetske koordinacijske sustave, počevši s brojčanim resursima. Nacrt ne bi trebao postavljati pitanje kako rehabilitirati monopol RIR. Trebalo bi postaviti pitanje kako izgraditi koordinaciju nakon RIR putem stanja distribuirane knjige, determinističke provjere valjanosti, dobrovoljnog usvajanja, prihvaćanja druge strane i eksplicitnih skupova kompatibilnosti.

Trebali bi ga testirati operateri, odvjetnici, ekonomisti, inženjeri protokola, stručnjaci za sigurnost usmjeravanja, sudionici na tržištu, vlade i kritičari.

Nacrt bi trebao postavljati teška pitanja.

Što su globalne invarijante?

Koja su pravila validacije deterministička?

Koje promjene stanja moraju biti globalno vidljive?

Koje su stare matične ovlasti povijesni ostatak?

Koje odluke pripadaju operaterima?

Za koje odluke nije potrebno predstavljanje jer nikada ne bi trebale ući u zajednički sloj?

Koji je put odbijanja?

Što je račvanje puta?

Koji je lokalni put odbijanja?

Kako nositelj dokazuje kontrolu bez postojećeg registra?

Kako druga ugovorna strana provjerava stanje bez registra?

Može li se internet nastaviti ako se RIR sruši?

Mogu li brojčani resursi ostati jedinstveni bez postojećeg dopuštenja?

Može li sudionik potvrditi obično stanje bez stalne institucije?

Može li politički proces razlikovati invarijantu tekućeg koda od institucionalnog apetita?

Može li stari sloj registra nestati bez gubitka provjerljivog stanja?

Može li zapis opisati stvarnost, a da ne postane suveren nad njom?

Svi zainteresirani mogu me kontaktirati putem LinkedIn. Ozbiljni istraživači, tehnički autori, institucije ili stručnjaci za politike koji žele pomoći pretvoriti ovo u prvi internetski nacrt i eventualno RFC ili BCP raspravu, ako zajednica to smatra korisnim, trebaju me kontaktirati. LARUS Foundation i spreman sam podržati i financirati ozbiljna istraživanja u tom smjeru.

Prvi dizajn RIR sustava nije uspio jer nikada nije pitao koji je pokrenuti kod zapravo potreban.

Pitalo se tko može govoriti u sobi.

Sljedeći sustav mora obrnuti taj redoslijed.

Ne nalaže pranje rublja.

Ne izvodi se izdaja koda.

Primat pokretanja koda.

Dodatak: Minimalna početna specifikacija, lokalizirana buduća odluka i dobrovoljno usvajanje za internetske koordinacijske sustave

Napomena 64

Sažetak

Ovaj dokument opisuje obrazac dizajna za internetske koordinacijske sustave čija je svrha pružiti zajedničke tehničke referentne točke bez stvaranja kontinuiranog ovlaštenja iznad sudionika koji pokreću sustav. Definira tri povezana načela: minimalnu početnu specifikaciju, lokaliziranu buduću odluku i dobrovoljno usvajanje.

Prema ovom modelu, početna specifikacija definira samo deterministička, lokalno provjerljiva pravila potrebna za jedinstvenost, interoperabilnost, dokaz kontrole, zajedničku sigurnost i sigurnost. Nakon inicijalne specifikacije, buduće promjene ne odobrava središnje tijelo. Sudionici koji pokreću kod usvajaju ih, ignoriraju, račvaju ili napuštaju.

Predviđeni uzorak dizajna je distribuirana knjiga valjanog stanja ili ekvivalentan distribuirani mehanizam provjerljivog stanja, a ne hijerarhija registra. Ne postoji stalni registar koji odlučuje o redovnoj valjanosti. Sudionici potvrđuju lokalno stanje, dobrovoljno prihvaćaju ugovorne strane i odlučuju koje će skupove kompatibilnosti pokrenuti.

Neposvajanje nije prekršaj. Sudionik koji ne usvoji kasniju promjenu ostaje u svom postojećem skupu kompatibilnosti. Sudionik koji emitira stanje koje nije važeće prema determinističkim pravilima koje je prihvatio drugi sudionik može biti lokalno zanemaren od strane tog sudionika. Učinak je odabir kompatibilnosti, račvanje, izolacija ili selektivna međuoperacija, a ne institucionalna kazna.

Ovaj dokument ne definira žičani protokol. Određuje najbolju trenutnu praksu za dizajn protokola, sustava identifikatora, distribuiranih knjiga i mehanizama koordinacije koji ne smiju postati stalne institucije upravljanja.

1. Uvod

Mnogi internetski sustavi počinju s uskom tehničkom svrhom: omogućiti neovisnim akterima međuoperativnost dijeljenjem zajedničke referentne točke, identifikacijskog prostora, pravila provjere valjanosti, stanja glavne knjige ili zapisa o dokazu kontrole. Tijekom vremena takvi sustavi često akumuliraju ovlasti koje nisu bile potrebne za početnu interoperabilnost.

To se obično događa u tri koraka.

Prvo, buduća pitanja postavljaju se u temeljni sloj prije nego što postanu tehnički potrebna.

Drugo, izbori koje trebaju donijeti sudionici koji vode svoje vlastite sustave postaju ovisni o priznavanju, tumačenju ili statusnim odlukama od strane stalnog tijela.

Treće, objava, registracija, preporuka ili proceduralno odobrenje smatra se dostatnim za stvaranje operativne obveze, čak i kada sudionici nisu prihvatili promjenu u sustavima koji rade.

Rezultat je krhki sustav. Tehnički referentni sloj postaje upravljački sloj. Zapisničar postaje vratar. Artefakt koordinacije postaje izvor buduće kontrole.

Ovaj dokument predlaže drugačiju disciplinu dizajna:

• Minimalna početna specifikacija: specificirati samo deterministička zajednička pravila potrebna za osnovnu međuoperabilnost, jedinstvenost, dokaz kontrole, zajedničku sigurnost i sigurnost.
• Lokalizirana buduća odluka: nakon početne specifikacije, zadržite buduće izbore sa sudionicima koji izvode kod. Sudionik može usvojiti, odbiti, rastaviti, prekinuti vezu ili selektivno interoperirati. Nijedan sudionik ne može promijeniti interoperabilnost drugih sudionika koji nastavljaju primjenjivati ​​međusobno kompatibilna pravila.
• Dobrovoljno posvajanje: učiniti kasniju promjenu stvarnom samo kroz implementaciju, rad, provjeru valjanosti i usvajanje od strane sudionika koji pokreću kod.

Ova su načela povezana. Sustav koji specificira previše na početku unaprijed učitava buduću kontrolu u zajednički sloj. Sustav koji napušta kontinuirani sloj prepoznavanja omogućuje ponovno pojavljivanje ovlaštenja nakon postavljanja. Sustav koji objavu tretira kao stvarnost pretvara dokumentaciju u naredbu.

Intuicija dizajna je jednostavna: valjanost se mora odrediti determinističkim pravilima koja sudionici mogu provjeriti lokalno u odnosu na zajedničko stanje. Sudionik može usvojiti kasniju promjenu, odbiti je, račvati se, prekinuti vezu ili selektivno interoperirati. Može se najviše ukloniti iz skupa kompatibilnosti. Ne može, odbijajući promjenu, prekinuti interoperabilnost drugih sudionika koji nastavljaju pokretati međusobno kompatibilan kod.

Ovo je opća lekcija dizajna distribuirane knjige: pravila konsenzusa provode sudionici koji pokreću validacijski kod i odlučuju koje će stanje prihvatiti, a ne institucija koja stoji iznad njih.

2. Opseg

Ovaj se dokument odnosi na internetske koordinacijske sustave, uključujući ali ne ograničavajući se na sustave identifikatora, okvire imenovanja i numeriranja, mehanizme proširenja protokola, sustave dokaza kontrole, sustave prenosivosti, distribuirane knjige i druge arhitekture u kojima se neovisni akteri oslanjaju na zajedničku tehničku referentnu točku.

Ovaj dokument ne osporava uobičajena pravila. Tvrdi da bi zajednička pravila trebala biti deterministička, minimalna, lokalno provjerljiva i ograničena na ono što sustav zapravo treba da radi.

Ovaj dokument ne zahtijeva nikakvu posebnu implementaciju distribuirane knjige. Zahtijeva svojstvo dizajna: sudionici bi trebali moći odrediti valjanost lokalnom primjenom početne specifikacije na dijeljeno ili replicirano stanje, bez traženja dopuštenja ili statusa od stalnog tijela.

3. Konvencije i definicije

3.1. Zahtjevi Jezik

Zahtjevi napisani velikim slovima u ovom dokumentu trebaju se tumačiti u smislu definiranom BCP 14, posebno RFC 2119 i RFC 8174.

3.2. Nazivlje

Početna specifikacija:
Skup pravila, struktura podataka, formata, invarijanti, postupaka provjere valjanosti, pravila prijelaza stanja i pravila sukoba potrebnih za prvu implementaciju sustava.

Uobičajeni sloj:
Minimalni zajednički skup pravila ili referentna struktura potrebna za međusobnu suradnju neovisnih sudionika. Zajednički sloj nije institucija. To je tehnička supstanca koju sudionici provode i provjeravaju.

Distribuirana knjiga:
Replicirani ili na drugi način distribuirani zapis o prijelazima stanja koji omogućuje sudionicima provjeru redovne valjanosti bez oslanjanja na stalni registar, odbor ili drugo tijelo. Pojam ne zahtijeva nikakav poseban konsenzusni algoritam ili implementaciju.

Pravilo determinističke provjere valjanosti:
Pravilo koje omogućuje sudioniku da odluči, lokalnim računanjem ili lokalnom provjerom, jesu li stanje, zapis, prijelaz, tvrdnja ili poruka valjani pod određenim skupom pravila.

Globalna invarijanta:
Svojstvo koje mora ostati zajedničko unutar skupa kompatibilnosti kako bi se očuvala jedinstvenost, osnovna interoperabilnost, integritet dokaza kontrole, zajednička sigurnost ili sigurnost.

sudionik:
Operater, implementacija, čvor, mreža, organizacija ili drugi akter koji pokreće, provjerava, implementira ili se oslanja na sustav.

Skup kompatibilnosti:
Grupa sudionika čija im implementirana pravila provjere dopuštaju međusobnu suradnju. Kasnija promjena može stvoriti novi skup kompatibilnosti ako ga neki sudionici usvoje, a drugi ne.

Usvajanje:
Stvarna implementacija, implementacija, provjera valjanosti i korištenje od strane sudionika koji pokreću sustav.

Prihvaćanje druge ugovorne strane:
Sudionikova dobrovoljna odluka da prihvati stanje drugog sudionika, izvrši transakciju s njim, surađuje s njim ili se oslanja na njega u skladu s pravilima provjere valjanosti koja provodi.

Neusvajanje:
Izbor sudionika da ne implementira ili ne koristi predloženu promjenu. Neusvajanje ne stvara nevažeći status. To samo znači da se sudionik nije pridružio skupu kompatibilnosti stvorenom tom promjenom.

Lokalno odbijanje:
Lokalna odluka sudionika da zanemari, odbije ili ne interoperira sa stanjem, porukom, zapisom ili prijelazom koji je nevažeći ili nekompatibilan prema pravilima provjere valjanosti koje pokreće.

Vilica:
Razlika u pravilima provjere valjanosti ili operativnoj praksi koja stvara dva ili više skupova kompatibilnosti.

Artefakt koordinacije:
Dokument, preporuka, bilješka o implementaciji, profil, referentna implementacija, istraživač glavne knjige, ogledalo ili drugi artefakt koji pomaže sudionicima u koordinaciji. Artefakt koordinacije ne stvara obvezujuću operativnu stvarnost osim ako ga sudionici ne usvoje u sustavima koji rade.

4. Izjava problema

Dizajneri često pokušavaju smanjiti buduću neizvjesnost upisivanjem previše u temeljni sloj ili ostavljanjem kontinuiranog tijela za tumačenje budućih pitanja. Ovo se čini razboritim. Često je opasno.

Prevelika specifikacija na temeljnom sloju ima tri cijene.

Prvo, pomiče buduće izbore u zajednički sloj gdje je promjena teža i gdje hvatanje ima veći učinak.

Drugo, stvara dvosmislenost između tehničke valjanosti i institucionalnog priznanja.

Treće, potiče tijelo koje vodi evidenciju, objavljuje dokumente ili saziva sudionike da te radnje tretira kao autoritet nad budućom stvarnošću.

Isti se problem pojavljuje nakon postavljanja. Ako sustav zahtijeva stalno tijelo za odobravanje promjena, određivanje statusa ili tumačenje uobičajenog rada, sustav je stvorio kontrolni sloj nakon osnivanja. Taj sloj može započeti kao administracija. To može postati vladanje. Tada može postati točka gušenja.

Cilj dizajna ovog dokumenta nije bolja institucionalna diskrecija. Cilj dizajna je izbjeći potrebu za tom diskrecijom.

Dobro osmišljen internetski koordinacijski sustav trebao bi na početku definirati deterministička, lokalno provjerljiva pravila valjanosti; predstavljaju važeće stanje u distribuiranom ili na drugi način repliciranom obliku; ostaviti neinvarijantne izbore izvan zajedničkog sloja; i dopustiti kasnijim promjenama da postanu stvarne tek kada ih sudionici dobrovoljno usvoje u sustavima koji rade.

5. Načelo 1: Minimalna početna specifikacija

5.1. Izjava

Početna specifikacija TREBA definirati samo minimalna deterministička zajednička pravila potrebna za osnovnu međuoperabilnost, jedinstvenost, dokaz kontrole, zajedničku sigurnost i sigurnost.

5.2. Zahtjevi

Dizajn koji koristi ovo načelo:

1. MORA eksplicitno identificirati svoje globalne invarijante.
2. MORA definirati deterministička pravila provjere valjanosti za svaku globalnu invarijantu.
3. MORA definirati kako se valjano stanje predstavlja, replicira, provjerava i ažurira.
4. NE SMIJE postaviti pravilo u početnu specifikaciju osim ako je pravilo potrebno za očuvanje navedene globalne nepromjenjivosti ili za omogućavanje prve implementacije.
5. MORA razdvojiti pravila provjere valjanosti od preferencija politike, poslovnih dogovora, institucionalnih uloga, težnji upravljanja i diskrecijske prosudbe.
6. MORA omogućiti sudionicima provjeru redovne valjanosti lokalno bez pitanja bilo koje institucije, registra, odbora, političkog tijela ili drugog tijela.
7. TREBA definirati strukture podataka, potpise, dokaze, pravila prijelaza stanja, pravila sukoba ili druge mehanizme potrebne za lokalnu provjeru.
8. TREBA definirati signalizaciju proširenja, određivanje verzija, označavanje kompatibilnosti ili identifikaciju račvanja tamo gdje su buduće varijacije predvidljive.
9. MORA osigurati da su potrebni koordinacijski artefakti prenosivi, revidirani, ponovljivi i zamjenjivi.
10. TREBALI bi dati prednost objektivnim uvjetima koji se mogu strojno provjeriti u odnosu na subjektivnu procjenu zasluga.
11. NE SMIJE buduće institucionalno priznavanje učiniti jedinim putem kojim se valjano stanje može upoznati, zabilježiti ili koristiti.

5.3. Implikacije dizajna

Minimalna početna specifikacija ne znači nejasnu specifikaciju. To znači strogu specifikaciju samo onoga što mora biti zajedničko.

Sustav još uvijek treba dovoljno zajedničke strukture za rad. Disciplina je razlikovati između:

• što mora biti zajedničko za jedinstvenost, interoperabilnost, dokaz kontrole, zajedničku sigurnost i zaštitu; i
• što može ostati izvan zajedničkog sloja jer se tiče preferencija operatera, poslovne prakse, izbora druge ugovorne strane, vremena postavljanja ili kasnijeg izbora usvajanja.

Dizajn koji ne može jasno navesti svoje globalne invarijante i deterministička pravila valjanosti trebao bi pretpostaviti da ima previše diskrecije i premalo sadržaja koji se može provjeriti.

6. Načelo 2: Lokalizirana buduća odluka

6.1. Izjava

Nakon početne specifikacije, buduće odluke TREBALE bi ostati lokalne za sudionike koji pokreću kod. Buduća odluka stupa na snagu samo za skup kompatibilnosti čiji je sudionici usvoje. Za njegovo odobrenje nije potrebno daljnje ovlaštenje, a neposvojenje ne stvara nevažeći status.

6.2. Zahtjevi

Dizajn koji koristi ovo načelo:

1. NE SMIJE zahtijevati od sudionika da dobiju dopuštenje od postojeće institucije, registra, odbora, odbora, političkog tijela ili drugog autoriteta za izbore koji ne mijenjaju deterministička pravila provjere valjanosti skupa kompatibilnosti u kojem sudjeluju.
2. NE SMIJE stvoriti stalno tijelo čije je prepoznavanje jedini put kojim kasnija promjena može postati operativno stvarna.
3. MORA se razlikovati valjanost prema Početnoj specifikaciji od kompatibilnosti s kasnijom opcijskom promjenom.
4. NE SMIJE neusvajanje kasnije promjene tretirati kao nevaljanost.
5. MORA omogućiti sudionicima da ostanu u postojećem skupu kompatibilnosti kada ne usvoje kasniju promjenu.
6. MORA omogućiti sudionicima da se pridruže novom skupu kompatibilnosti usvajanjem novih pravila provjere valjanosti ili operativnih profila.
7. MORA dopustiti sudionicima da lokalno odbiju stanja, zapise, prijelaze ili poruke koje su nevažeće ili nekompatibilne prema pravilima provjere valjanosti koja pokreću.
8. MORA omogućiti sudionicima da dobrovoljno odaberu druge ugovorne strane u skladu s pravilima provjere valjanosti i skupovima kompatibilnosti koje prihvaćaju.
9. NE SMIJE ovlastiti nijednu instituciju, registar, odbor, političko tijelo ili drugog aktera da proglasi sudionika nevažećim samo zato što je odbio kasniju promjenu.
10. TREBALI bi eksplicitno navesti forkove, verzije, profile ili skupove kompatibilnosti kako bi sudionici znali koja pravila pokreću i s kojim drugim sudionicima mogu surađivati.
11. TREBA izbjegavati svaki dizajn u kojem službeni zapisničar može spriječiti inače valjane sudionike da nastave međusobno surađivati.

6.3. Implikacije dizajna

Lokalizirana buduća odluka ne znači da središnja vlast dodjeljuje buduće odluke lokalnim akterima. To znači da je sustav dizajniran tako da, nakon početne specifikacije, obični budući izbori ne trebaju takvu dodjelu.

Početna specifikacija obavlja ograničavajući posao unaprijed. Definira minimalne invarijante potrebne za jedinstvenost, interoperabilnost, dokaz kontrole, zajedničku sigurnost i sigurnost. Sve ostalo ostaje izvan zajedničkog sloja.

Buduće promjene ne odobravaju se centralno. Usvajaju ga, ignoriraju, račvaju ili napuštaju sudionici koji pokreću kod.

Sudionik koji odbije promjenu može ostati izvan skupa kompatibilnosti stvorenog tom promjenom. Može se isključiti od drugih. Može se nastaviti u starijem skupu kompatibilnosti. Može se račvati. Može interoperirati selektivno. Ali ne može prekinuti interoperabilnost drugih sudionika koji nastavljaju primjenjivati ​​međusobno kompatibilna pravila.

Učinak nevaljanog ili nekompatibilnog stanja je lokalno odbacivanje, a ne kazna. Nitko ne treba odlučivati ​​da je sudionik u lošem stanju. Sudionik koji izvodi kompatibilna pravila provjere jednostavno ne prihvaća nevažeće ili nekompatibilno stanje.

7. Načelo 3: Dobrovoljno posvajanje

7.1. Izjava

Promjene u internetskom koordinacijskom sustavu TREBALE bi postati operativno stvarne kroz implementaciju, validaciju, implementaciju, prihvaćanje druge ugovorne strane i usvajanje od strane sudionika, a ne samo kroz objavu ili deklaraciju.

7.2. Zahtjevi

Dizajn koji koristi ovo načelo:

1. NE SMIJE tretirati objavu, preporuku, odobrenje sastanka ili proceduralno odobrenje kao dostatno za stvaranje univerzalne operativne obveze.
2. MORA dopustiti postupnu implementaciju novih pravila, proširenja, profila ili procedura od strane sudionika koji ih odluče pokrenuti.
3. MORA dopustiti sudionicima da odbiju kasniju promjenu bez stjecanja nevažećeg statusa, sve dok njihovi vlastiti prijelazi stanja zadovoljavaju pravila determinističke provjere valjanosti njihovog skupa kompatibilnosti.
4. MORA dopustiti sudionicima da nastave koristiti stariji skup kompatibilnosti tamo gdje početna specifikacija dopušta takav kontinuitet.
5. MORA dopustiti sudionicima koji pokreću jedan skup kompatibilnosti da lokalno odbiju ili ignoriraju stanje iz drugog skupa kompatibilnosti gdje su pravila nekompatibilna.
6. TREBA definirati putove usvajanja za velike promjene, uključujući signalizaciju verzije, označavanje kompatibilnosti, smjernice prijelaza i testne vektore.
7. TREBA definirati puteve odbijanja za velike promjene, uključujući kako sudionici koji ne usvajaju nastavljaju s radom, identificirati njihov skup kompatibilnosti i izbjegavati dvosmislenu međuoperabilnost.
8. MORA osigurati da se potrebni artefakti koordinacije mogu izaći, zrcaliti, ponovno implementirati ili zamijeniti bez nemogućeg troška prijelaza.
9. TREBALI bi imati zapise, preporuke i artefakte koordinacije koji opisuju usvojenu stvarnost, a ne proglašavaju postojanje neusvojene buduće stvarnosti.
10. MORA izbjegavati osmišljavanje sustava u kojem je jedini način da promjena postane stvarna prethodno priznavanje od strane nadležnog tijela.

7.3. Implikacije dizajna

Dobrovoljno usvajanje operativni je test je li promjena korisna, podnošljiva i kompatibilna sa stvarnom implementacijom.

Prijedlog nije stvarnost. Preporuka nije stvarnost. Dokument nije stvarnost. Stvarnost se pojavljuje kada sudionici implementiraju, potvrde, implementiraju, prihvate druge strane i oslanjaju se na promjenu.

Neusvajanje ne stvara status kršenja. To stvara samo činjenicu: sudionik se nije pridružio skupu kompatibilnosti stvorenom promjenom.

Ovo ne eliminira standardne procese, dokumentaciju, bilješke o implementaciji, istraživače, zrcala ili pregled. Ograničava njihov zahtjev. Oni mogu pomoći sudionicima u koordinaciji. Oni mogu objaviti referentni materijal. Mogu opisati usvajanje. Oni mogu preporučiti. Oni ne smiju, samom deklaracijom, učiniti neusvojenu buduću stvarnost obvezujućom za sudionike koji je ne vode.

8. Odnos između tri principa

Tri načela se međusobno osnažuju i nisu učinkovita zasebno.

Minimalna početna specifikacija osigurava da zajednički sloj sadrži deterministička pravila provjere valjanosti, a ne diskrecijsko ovlaštenje.

Lokalizirana buduća odluka osigurava da budući izbori ostanu kod sudionika koji pokreću kod, umjesto da ih ponovno uhvati središnji sloj odobrenja.

Dobrovoljno usvajanje osigurava da kasnije promjene moraju preživjeti kontakt s implementacijom, verifikacijom, prihvaćanjem druge ugovorne strane i korištenjem.

Sustav koji prihvaća samo jedno ili dva od ovih načela može reproducirati istu centralizaciju drugim sredstvima.

• Minimalna početna specifikacija bez lokalizirane buduće odluke još uvijek može dopustiti akumulaciju ovlaštenja nakon postavljanja.
• Lokalizirana buduća odluka bez minimalne početne specifikacije može proizvesti dvosmislenost jer sudionici ne mogu lokalno odrediti valjanost.
• Dobrovoljno usvajanje bez determinističke validacije može izazvati zabunu jer sudionici ne mogu razlikovati kompatibilnu varijaciju od nevažećeg stanja.
• Deterministička provjera valjanosti bez distribuiranog stanja još uvijek može ostaviti sudionike ovisnima o povlaštenom čuvaru zapisa.
• Distribuirano stanje bez vidljivosti vilice može sakriti neslaganje do operativnog kvara.
• Distribuirano stanje bez dobrovoljnog prihvaćanja druge strane može ponovno stvoriti prisilu putem drugog sučelja.

Zajedno, načela stvaraju sustav u kojem je zajednički sloj tanak, valjanost se može lokalno provjeriti, buduća promjena je dobrovoljna, stanje je raspodijeljeno i nije potrebna nikakva stalna institucija za odlučivanje o uobičajenom radu.

9. Preporučeni uzorak dizajna

9.1. Deterministički distribuirani zajednički sloj

Zajednički sloj TREBA biti ograničen na:

• stabilna semantika identifikatora;
• deterministička pravila valjanosti;
• pravila za rješavanje sukoba neophodna za očuvanje jedinstvenosti;
• mehanizmi dokaza kontrole;
• pravila tranzicije stanja;
• zahtjevi interoperabilnosti na razini žica ili na razini protokola;
• zajedničke sigurnosne invarijante;
• prenosivi i revizijski formati stanja;
• vidljivost distribuiranog ili repliciranog stanja;
• signalizacija proširenja i identifikacija skupa kompatibilnosti.

Zajednički sloj NE SMIJE sadržavati:

• pravila poslovnog modela;
• pravila o cijenama;
• regionalne političke preferencije;
• ideologija prihvatljivosti nepovezana s tehničkim invarijantama;
• diskrecijske ovlasti provedbe;
• subjektivne procjene zasluga;
• proširenje institucionalne misije;
• svako pravilo čija je primarna funkcija očuvanje ovlasti tijela na vlasti.

9.2. Operator Decision Površina

Sljedeće TREBA ostati izvan zajedničkog sloja osim ako izravno ne mijenja navedenu globalnu invarijantu:

• vrijeme postavljanja;
• komercijalna uporaba;
• geografija kupaca;
• ugovori o leasingu, financiranju ili prijenosu;
• preferencija lokalne podobnosti;
• operativno sekvenciranje;
• praksa usmjeravanja nije potrebna za zajedničku valjanost;
• poslovni model;
• organizacijska struktura;
• vrijeme dobrovoljne migracije;
• izborni profili ili proširenja;
• izbor druge strane.

Sudionici MOGU usvojiti različite izbore u ovim područjima. Ti izbori mogu proizvesti različite skupove kompatibilnosti, poslovne odnose, ravnopravne dogovore ili operativne zajednice. Oni ne stvaraju nevaljanost osim ako ne krše pravila determinističke provjere valjanosti u skupu kompatibilnosti.

9.3. Petlja usvajanja

Gdje je to moguće, preferirani redoslijed za promjenu sustava materijala je:

1. prijedlog;
2. implementacija;
3. test vektori ili deterministička metoda verifikacije;
4. ograničeno raspoređivanje voljnih sudionika;
5. promatranje učinaka interoperabilnosti i sigurnosti;
6. označavanje skupa kompatibilnosti;
7. dokumentaciju ili preporuku koja opisuje usvojenu stvarnost.

Artefakt koordinacije TREBAO bi uslijediti nakon usvajanja, a ne pokušati ga spriječiti.

9.4. Fork, lokalno odbijanje i prihvaćanje druge strane

Sukladni dizajn TREBA tretirati račvanje, lokalno odbijanje i prihvaćanje druge strane kao normalne zahtjeve dizajna, a ne kvarove.

Sustav bi TREBAO definirati kako sudionik može:

• nastaviti u starijem skupu kompatibilnosti;
• usvojiti noviji skup kompatibilnosti;
• račvati se u drugi skup kompatibilnosti;
• provjeriti stanje bez oslanjanja na službenog zapisničara;
• dobrovoljno prihvatiti druge ugovorne strane;
• odbiti nevažeće ili nekompatibilno stanje lokalno;
• selektivno interoperirati gdje to kompatibilnost dopušta.

Sustav koji se ne može račvati, lokalno verificirati ili selektivno prihvatiti bez uništavanja važeće operacije vjerojatno ima skrivenu moć upravljanja unutar svoje funkcije čuvanja zapisa.

10. Primjenjivost i ograničenja

Ovaj obrazac dizajna posebno je primjenjiv gdje:

• sustav ima više aktera i više jurisdikcija;
• pitanja neovisnog postavljanja;
• koordinacijski sloj treba ostati tanak;
• buduća varijacija je vjerojatna, ali se ne može predvidjeti u detalje;
• zaključavanje bi stvorilo rizik upravljanja;
• valjanost se može učiniti determinističkom ili lokalno provjerljivom;
• distribuirano stanje može smanjiti rizik institucionalnog zarobljavanja.

Može biti manje izravno primjenjivo gdje:

• jedna administrativna domena je namjeravana arhitektura;
• jaka sprega u stvarnom vremenu zahtijeva ujednačeno ponašanje u svakom trenutku;
• briga za životnu sigurnost zahtijeva neposrednu globalnu uniformnost;
• valjanost se ne može lokalno provjeriti nikakvim praktičnim mehanizmom.

Čak i u takvim slučajevima, dizajneri bi ipak TREBALI minimizirati zajednički sloj i izbjegavati diskrecijsku buduću kontrolu gdje god je to moguće.

11. Ne-golovi

Ovaj dokument ne:

• zabraniti svaku koordinaciju;
• zahtijevaju bilo koju specifičnu implementaciju distribuirane knjige;
• jamstvo konsenzusa;
• jamčiti političku neutralnost;
• zahtijevati od svih sudionika da usvoje svaku kasniju promjenu;
• tretirati odbijanje posvojenja kao nevaljanost;
• legitimizirati nekompatibilno lokalno ponašanje dok tvrdi da je kompatibilno;
• eliminirati potrebu za zajedničkim pravilima kritičnim za sigurnost.

12. Sigurnosna razmatranja

Tanji koordinacijski sloj može smanjiti rizik zarobljavanja, smanjiti radijus eksplozije institucionalne pogreške i poboljšati zamjenjivost. Međutim, povećana lokalna diskrecija i distribuirano stanje također mogu stvoriti nekonzistentno sigurnosno stanje, putanje na nižu verziju, pritisak fragmentacije, dvosmislene tvrdnje o kompatibilnosti, nesigurne račve, sporove oko stanja glavne knjige i pokušaje dokaza krivotvorina.

Dizajneri koji primjenjuju ovaj dokument stoga MORAJU eksplicitno navesti sigurnosne invarijante. Posebno:

• zahtjevi za autentifikaciju i autorizaciju koji su potrebni za zajedničku valjanost MORAJU biti deterministički i lokalno provjerljivi;
• mehanizmi dokaza kontrole MORAJU se oduprijeti krivotvorinama, ponavljanju i neovlaštenom prijenosu;
• pregovaranje o verziji i rukovanje proširenjima MORA izbjegavati tiho vraćanje na stariju verziju gdje je ugrožena sigurnost;
• putanje odbijanja, račvanja i zamjene MORAJU se analizirati na rizik od zlouporabe i uskraćivanja usluge;
• oznake kompatibilnosti TREBAJU biti dovoljno jasne da spriječe slučajnu međuoperaciju između nekompatibilnih skupova pravila;
• distribuirano stanje TREBA biti revizijsko i dovoljno reproducibilno da otkrije nekonzistentne poglede;
• lokalnoj varijaciji NE SMIJE biti dopušteno da lažno tvrdi da je kompatibilna sa skupom pravila koji ne zadovoljava.

Postojanje sigurnosnih iznimaka ne opravdava opći sloj dopuštenja. Opravdava samo deterministička sigurnosna pravila neophodna za očuvanje navedenih globalnih invarijanti.

13. IANA Razmatranja

Ovaj dokument nema radnje IANA.

14. Literatura

14.1. Normativne reference

• RFC 2119 — Bradner, S., Ključne riječi za upotrebu u RFC-ovima za označavanje razina zahtjeva, BCP 14, RFC 2119.
• RFC 8174 — Leiba, B., Dvosmislenost između velikih i malih slova u ključnim riječima RFC 2119, BCP 14, RFC 8174.

14.2. Informativne reference

• RFC 6709 — Carpenter, B. i B. Aboba, Razmatranja dizajna za proširenja protokola, RFC 6709.
• RFC 7282 — Resnick, P., O konsenzusu i pjevušenju u IETF-u, RFC 7282.

Dodatak A. Popis za provjeru dizajna

Dizajn koji tvrdi da je usklađen s ovim dokumentom TREBA jasno odgovoriti na sljedeća pitanja:

1. Što su globalne invarijante?
2. Koja deterministička pravila provjere valjanosti čuvaju te globalne invarijante?
3. Koja su pravila u početnoj specifikaciji nužno potrebna za prvu implementaciju?
4. Kako se predstavlja i provjerava valjano stanje?
5. Je li stanje distribuirano, replicirano ili na drugi način neovisno provjerljivo?
6. Koja buduća pitanja su namjerno ostavljena izvan zajedničkog sloja?
7. Koje buduće izbore mogu napraviti sudionici bez mijenjanja skupa kompatibilnosti u kojem se nalaze?
8. Kako sudionik usvaja kasniju promjenu?
9. Kako sudionik može odbiti kasniju promjenu, a da mu se ne dodijeli nevažeći status?
10. Kako se skupovi kompatibilnosti označavaju ili otkrivaju?
11. Kako funkcionira lokalno odbijanje kada je stanje nevažeće ili nekompatibilno prema pravilima koja pokreće sudionik?
12. Što je račvanje puta?
13. Kako posjednik dokazuje kontrolu bez službenog zapisničara?
14. Kako druga ugovorna strana provjerava stanje bez registra?
15. Mogu li sudionici provjeriti redovnu valjanost bez oslanjanja na službenog zapisničara?
16. Opisuju li zapisi i koordinacijski artefakti usvojenu stvarnost ili pokušavaju proglasiti postojanje neusvojene buduće stvarnosti?
17. Je li sustav minimizirao broj odluka ugrađenih u zajednički sloj?
18. Je li sustav izbjegao kontinuirano ovlaštenje koje određuje status običnog sudionika?
19. Mogu li sudionici dobrovoljno prihvatiti ili odbiti druge ugovorne strane?
20. Može li se sustav nastaviti ako svaki postojeći registar nestane?

Adresa autora

1. Lu
   [TBD]