Bilješka 70: Zabluda kontinuiteta registra — zaštititi knjigu, a ne vratara
Što mora preživjeti neuspjeh institucije: glavna knjiga ili vratar?
Napomena 69 postavila je jednostavno pitanje:
Stabilnost čega?
Ispod toga se krije još jedno pitanje.
Kontinuitet čega?
Regionalni internetski registri često iznose kontinuitet registra kao argument za očuvanje institucije koja trenutno vodi registar. U sporu oko AFRINIC ovo postaje poznata tvrdnja:
AFRINIC mora biti zaštićen jer Afrika ne može priuštiti kolaps svog registra brojeva.
Prvi dio je diskutabilan.
Drugi dio je istinit.
Afrika si ne može priuštiti gubitak kontinuiteta registracije brojeva. Nijedna regija ne može. Jedinstvenost se mora sačuvati. Evidencija registracije mora ostati točna. RDAP, WHOIS, obrnuti DNS i RPKI usluge moraju se nastaviti. Radne mreže ne smiju se destabilizirati. Nizvodni kupci ne smiju postati kolateralna šteta. Sporovi oko resursa moraju imati mjesto neovisno o njima.
Ali ništa od ovoga ne dokazuje da se sadašnji odbor AFRINIC-a, sadašnje tumačenje njegovog Ugovora o uslugama registracije, sadašnja priča izvan regije, sadašnja institucionalna slika o sebi ili sadašnje ovlasti čuvanja vrata također moraju sačuvati.
Ta je zamjena pogreška kontinuiteta registra.
Kontinuitet registra sam po sebi nije zabluda.
Zabluda je tvrdnja da kontinuitet funkcije zahtijeva kontinuitet svake ovlasti koju prisvaja institucija koja je trenutno obavlja.
Ne čini se.
Napomena 69 razlikovao je institucionalnu stabilnost od stabilnosti usmjerene mreže i kontinuiteta korisnika. Bilješka 70 uzima razliku jedan sloj dublje: kontinuitet usluga registra mora biti odvojen od kontinuiteta moć registarske korporacije.
Funkcija je stvarna
The funkcija registra pitanjima.
Internetski brojevi moraju ostati jedinstveni. Dva nepovezana operatera ne mogu dobiti isti zahtjev za ekskluzivnu registraciju preko istog adresnog bloka. Povijesni zapisi moraju se čuvati. Promjene kontrole moraju se evidentirati. Moraju se spriječiti lažne izmjene. Službe javnog imenika moraju ostati dostupne. Sigurnosne tvrdnje moraju ostati provjerljive.
Ovo nije politički teatar.
To je prava koordinacija.
AFRINIC trenutno pruža ili podržava registracijske podatke, RDAP, WHOIS, obrnuti DNS, RPKI i srodne usluge usmjeravanja. Te usluge imaju operativnu vrijednost. Vlastita dokumentacija AFRINIC opisuje RPKI, obrnuti DNS i registre usmjeravanja kao bitne usluge uz upravljanje IP adresama i ASN-ovima.
Pogreška počinje kada se te funkcije spoje zajedno s potpuno različitom kategorijom zahtjeva:
- Taj AFRINIC predstavlja Afriku.
- To područje pružanja usluge daje joj politički ugled.
- Da njegov odbor može proširiti značenje RSA nakon što resursi postanu operativno ugrađeni.
- Da može regulirati leasing, komercijalnu upotrebu ili geografski položaj kupaca.
- To osporavanje njegove diskrecije prijeti Internetu.
- Da očuvanje tehničkih usluga zahtijeva zaštitu institucije od obične zakonske odgovornosti.
Nijedan od tih prijedloga ne proizlazi iz potrebe za vođenjem registra.
Baza podataka treba kontinuitet.
Zahtjev za suverenitetom ne zahtijeva.
Što kontinuitet registra zapravo zahtijeva
Zahtjev kontinuiteta ima pet dijelova.
Jedinstvenost broja
Isti broj ne smije biti registriran na nekompatibilne podnositelje zahtjeva u isto vrijeme.
Ovo je izvorno tehničko opravdanje za sloj registra. Uzak je. Objektivno je. Može se revidirati.
Jedinstvenost ne zahtijeva da registar odluči odobrava li poslovni model operatera. Ne zahtijeva teoriju regionalne komercijalne lojalnosti. Ne zahtijeva da registar posjeduje vrijednost stvorenu korištenjem broja.
Zahtijeva točan odgovor na ograničeno pitanje:
Tko trenutno ima priznati zahtjev za registraciju nad ovim resursom?
Točnost registracije
Registar mora čuvati točne informacije o izvorima brojeva, registriranim nositeljima, ovlaštenim promjenama, prijenosima, sigurnosnom statusu i relevantnim metapodacima o sporovima.
Točnost zahtijeva dokaze, revizijske tragove i kontrolirana ažuriranja.
Ne zahtijeva diskrecijsku moralnu prosudbu.
Registar može ispraviti krivotvoreni prijenos.
Može spriječiti dvostruku registraciju.
Može zabilježiti da je potraživanje osporeno.
Ne bi trebala ponovno pisati operativnu stvarnost samo zato što su njezini direktori usvojili novo političko tumačenje starog ugovora.
Glavna knjiga mora biti zaštićena od kvarenja.
Također mora biti zaštićen od institucije koja njime upravlja.
Objava i sigurnosni kontinuitet
RDAP, WHOIS, obrnuti DNS, RPKI repozitoriji i povezane usluge objavljivanja moraju ostati dostupni tijekom institucionalnog kvara, parnice, nesolventnosti, sporova oko upravljanja ili tranzicije.
RPKI zaslužuje posebnu brigu. To nije samo datoteka koja se može kopirati na drugi poslužitelj. Certifikati, repozitoriji, manifesti, informacije o opozivu, ROA, ugovori o potpisivanju i povjerenje pouzdane strane moraju ostati koherentni. AFRINIC vlastita dokumentacija napominje da validatori koriste AFRINIC Trust Anchor Locator za dohvaćanje objekata iz svog RPKI repozitorija.
Zbog toga je neophodna planirana sukcesija.
To ne čini AFRINIC besmrtnim.
Složenost prijelaza kritične usluge argument je za izgradnju prijelaznog mehanizma prije kvara. To nije argument za davanje trajne ovlasti trenutnom operateru.
Radna mreža i kontinuitet korisnika
Sporovi oko registra ne smiju se pretvoriti u prekid usmjeravanja, ugrožavanje sigurnosti, prisilno ponovno numeriranje ili grešku korisnika.
Primarna obveza kontinuiteta nije prema matičnom uredu.
To je za mreže koje koriste brojeve.
Operateri su izgradili infrastrukturu oko tih resursa. Korisnici su izgradili sustave oko te infrastrukture. Sigurnosna pravila, popisi dopuštenih, API-ovi, odnosi plaćanja, implementacije oblaka, ugovori i sustavi usklađenosti mogu ovisiti o stabilnim mrežnim identifikatorima.
Radnja registra koja čuva institucionalni autoritet ugrožavanjem tih sustava nije zaštitila kontinuitet.
To je preokrenulo.
Samostalni adjudikativni kontinuitet
Sporovi će se dogoditi.
Potraživanja vlasništva bit će u sukobu. Prijenosi će biti osporeni. Prijevara će biti navodna. Ugovori će se različito tumačiti. Korporativna kontrola se može promijeniti. Vjerovnici, sudovi, operateri i registri možda se ne slažu.
Odgovor ne može biti dopustiti da registar istovremeno djeluje kao zapisničar, tužitelj, sudac i izvršitelj.
Pravi sustav kontinuiteta treba neovisni forum sposoban odlučivati o sporovima bez uništavanja imovine koja je predmet spora.
Tijekom prosuđivanja, zadana postavka trebala bi biti očuvanje posljednjeg provjerenog operativnog stanja. Sustav može blokirati proturječne izmjene. Ne bi trebao opozvati, zagaditi ili redistribuirati žive izvore samo zato što je registar zauzeo jednu stranu.
Izolacija spora je dio kontinuiteta.
Samopomoć u registru nije.
Što kontinuitet ne zahtijeva
Nijedan paket ne nosi ime AFRINIC redatelja.
Nijedan RDAP odgovor ne zahtijeva institucionalni ponos AFRINIC-a.
Nema obrnutog delegiranja DNS koji ovisi o političkom narativu izvan regije.
Nijedan ROA ne zahtijeva teoriju da je Afrika jedna administrativna jedinica koju predstavlja tvrtka Mauricijusa.
Nijedna invarijanta jedinstvenosti ne zahtijeva ekspanzivno tumačenje RSA.
Stvari koje se moraju nastaviti su:
- Zapisi.
- Usluge.
- Sigurnosni lanac.
- Mogućnost pravljenja legitimnih ažuriranja.
- Rad postojećih mreža.
- Zaštita daljnjih kupaca.
- Dostupnost neovisnog presuđivanja.
Stvari koje se mogu zamijeniti uključuju:
- Ploča.
- Korporativna ljuska.
- Operater usluge.
- Politička mašinerija.
- Struktura naknade.
- Ugovorni okvir.
- Teorija ovrhe.
- Institucija tvrdi da ima monopol nad regionalnom legitimnošću.
Ova razlika nije radikalna.
To je osnovna logika otporne infrastrukture.
Što funkcija postaje kritičnija, manje bi trebala ovisiti o opstanku, dobroj volji ili pravnoj teoriji jedne organizacije.
Sustav RIR već je priznao bod
Kontinuirani rad sustava RIR pokazuje da se funkcije registra mogu odvojiti od institucije koja ih trenutno obavlja.
U 2020., rasprava NRO-a o hitnoj pozadini identificirala je WHOIS/RDAP, obrnuti DNS, RPKI i IRR kao usluge za koje je potrebna sigurnosna kopija. Razmotrio je posljednje poznate dobre snimke i mogućnost da drugi RIR može instancirati usluge kada jedan RIR uđe u nepredviđene situacije.
U predloženim ICP-2 načelima kasnije je navedeno da RIR treba održavati redundancije i sudjelovati u dijeljenju zapisa dovoljno da omogući drugom RIR da obavlja svoje usluge. Isti dokument razmatrao je prijenos poslovanja na nasljednika ili privremeni subjekt nakon prestanka priznavanja.
Ovi prijedlozi ostaju previše usredotočeni na sadašnji klub RIR. Oni pretpostavljaju da kontinuitet treba kontrolirati ista institucionalna klasa o čijoj je vlasti riječ.
Ali oni priznaju bitnu činjenicu.
Školjka je zamjenjiva.
Usluga se može prenijeti.
Zapisi se mogu dijeliti.
Nasljednik može upravljati funkcijom.
Nakon što se to prizna, "AFRINIC mora preživjeti jer registar mora preživjeti" više nije tehnička izjava.
To je institucionalna preferencija.
Od kontinuiteta do imuniteta
Zabluda o kontinuitetu registra postaje opasna kada se koristi za postizanje političke ili pravne izolacije.
Slijed je predvidljiv.
Prvo, institucija izjavljuje da su njene usluge neophodne.
Tada sebe tretira kao nerazlučivu od tih usluga.
Izazov odboru postaje izazov registru.
Izazov RSA tumačenju postaje prijetnja jedinstvenosti.
Sudski nalog postaje prijetnja stabilnosti interneta.
Zahtjev za prenosivošću postaje napad na regionalni sustav.
Zahtjev za neovisnim presuđivanjem postaje uplitanje u upravljanje zajednicom.
Konačno, zaštita kontinuiteta postaje zaštita institucije od odgovornosti.
Ovo je pranje kontinuiteta.
Pravi tehnički zahtjev se koristi za zaštitu nepovezanih ovlasti.
Institucija kao štit drži funkciju ispred sebe.
Implicitna poruka je jednostavna:
Nemojte nas sputavati, jer nešto važno ovisi o nama.
Ali kritična ovisnost trebala bi proizvesti suprotan zaključak.
Što je važnija funkcija registra, to njegova administracija mora biti revidirana, replicirana, prenosiva, odvojiva i zamjenjiva.
Nezamjenjiva infrastruktura zahtijeva zamjenjive administratore.
Sve drugo je talačka arhitektura.
Arhitektura kontinuiteta
Alternativa institucionalnoj zaštiti nije urušavanje registra.
To je eksplicitna arhitektura kontinuiteta.
Prvo, mjerodavno stanje registra trebalo bi imati verzije, neovisno revidirati i kontinuirano replicirati izvan isključive kontrole jednog korporativnog entiteta. Povijesni lanac ovlaštenih promjena mora preživjeti sporove odbora, nesolventnost, sudske sporove i tehnički kvar.
Drugo, RDAP, WHOIS, obrnuti DNS i srodne imeničke usluge trebale bi imati testirane aranžmane za preokret. Planovi kontinuiteta trebaju identificirati podatke, vjerodajnice, promjene delegiranja i operativne ovlasti potrebne za premještanje svake usluge.
Treće, nasljeđivanje RPKI mora biti osmišljeno kao prvorazredni sigurnosni proces. Zahtijeva definirane aranžmane za čuvanje ključeva, kontinuitet repozitorija, hitne postupke objavljivanja i vjerodostojan put migracije za certifikate i autorizacije. Statička sigurnosna kopija nije dovoljna.
Četvrto, vođenje registra mora biti odvojeno od ovrhe. Operater koji vodi evidenciju ne bi trebao imati jednostranu ovlast za uništavanje temeljnog operativnog položaja zbog komercijalnog ili političkog neslaganja.
Peto, sporove treba bilježiti bez kontaminacije nepovezanih operacija. Sporni izvor može sadržavati sukobljene metapodatke. Prijenosi u sukobu mogu se pauzirati. Postojeće rute i valjani sigurnosni objekti ne smiju se uništavati osim ako to izričito zahtijeva neovisna odluka.
Šesto, prenosivost mora postati pravo na čvrsti kontinuitet. Vlasnik resursa trebao bi moći premjestiti usluge registracije kvalificiranom nasljedniku bez promjene broja svoje mreže i bez traženja diskrecijskog dopuštenja od institucije koju napušta.
Sedmo, pokretači kontinuiteta moraju biti objektivni i transparentni. Preusmjeravanje ne bi trebalo ovisiti isključivo o političkoj prosudbi druge RIR ploče. Sudovi, neovisni tehnički skrbnici, predstavnici vlasnika resursa i unaprijed definirani operativni kriteriji mogu imati uloge.
Cilj nije stvoriti još jedan suveren iznad AFRINIC.
Cilj je osigurati da uopće nije potreban vratar nalik suverenu.
AFRINIC može nastaviti
Odvajanje AFRINIC od kontinuiteta registra ne zahtijeva uništavanje AFRINIC.
AFRINIC može nastaviti pružati tehničke usluge.
Njegovi zaposlenici mogu sačuvati vrijedno operativno znanje.
Njegovi sustavi mogu ostati dio prijelazne arhitekture.
Njegovo korporativno postojanje može se nastaviti ako može obavljati usku, odgovornu i zamjenjivu funkciju.
Ali te se mogućnosti ne smiju brkati s pravom na očuvanje svakog autoriteta koji je AFRINIC postavio.
Tehnička korisnost ne potvrđuje institucionalno prekoračenje.
Operativno iskustvo ne stvara političku titulu.
Nastavak vođenja registra ne čini operatera vlasnikom regije, resursa ili budućnosti.
AFRINIC može biti jedan od operatora funkcija registracije afričkih brojeva.
To ne može biti metafizičko utjelovljenje afričkog internetskog kontinuiteta.
Ispravna priča o spašavanju
Postoji racionalna verzija izjave da AFRINIC treba spremiti.
To je ovo:
Kontinuitet registracije internetskog broja za afričke mreže mora biti zaštićen.
To znači zaštititi jedinstvenost.
Zaštita točne evidencije.
Zaštita RDAP i WHOIS pristupa.
Zaštita naličja DNS.
Zaštita objave i migracije RPKI.
Zaštita pokrenutih mreža.
Zaštita daljnjih kupaca.
Zaštita neutralnog rješavanja sporova.
to ne znači:
- Zaštita trenutne ploče od izazova.
- Zaštita ekspanzivnih RSA interpretacija.
- Zaštita političkih narativa izvan regije.
- Zaštita institucionalnog prestiža.
- Zaštita čuvanja vrata s niskom odgovornošću i visokom diskrecijom.
- Zaštita svake tvrdnje autoriteta jednostavno zato što ju je izradio važeći registar.
To su različiti ciljevi.
RIR tabor ovisi o tome da ih tretira kao jednog.
Zaštitite knjigu
Završni test je jednostavan.
Kad netko kaže da se AFRINIC mora zaštititi radi kontinuiteta registra, pitajte što se konkretno mora nastaviti.
Zapisi?
Sačuvajte ih.
Imeničke usluge?
Replicirajte ih.
Obrnute zone?
Osigurajte failover.
RPKI sustav?
Izgradite siguran put nasljeđivanja.
Pokretanje mreža?
Zabraniti destruktivno jednostrano djelovanje.
Sporovi?
Pošaljite ih na neovisni forum.
Ali ako je odgovor da AFRINIC-ov odbor, ovlasti za politiku, teritorijalni narativ i diskrecijske ovlasti za provedbu moraju ostati izvan izazova, tada se argument više ne odnosi na kontinuitet.
Riječ je o kontroli.
Zaštitite glavnu knjigu, a ne vratara.
Zaštitite lanac nadzora, a ne zapovjedni lanac.
Zaštitite afrički mrežni kontinuitet, a ne kontinentalno skrbništvo.
Registar mora biti sposoban preživjeti instituciju.
Internetu se nikada više ne smije reći da očuvanje baze podataka zahtijeva očuvanje prava na privatni suverenitet.
Neophodan je kontinuitet registra.
Institucionalna besmrtnost nije.
Koji kontinuitet podržavate?
Sustav RIR kaže da brani kontinuitet.
Ali kontinuitet koji najdosljednije brani nije kontinuitet žive mreže.
To je kontinuitet vlastite ovlasti nad aktivnom infrastrukturom i mrežnim operaterima: ovlast da odobri, suspendira, odjavi, ponovno tumači i na kraju ukine uvjete pod kojima mreža može nastaviti s radom.
To nije kontinuitet mreže.
To je kontinuitet kontrole.
Moj stav je suprotan.
Štitim kontinuitet žive mreže: njezine rute, korisnike, usluge, sigurnosne objekte, ugovorno oslanjanje i operativno postojanje.
Ustanove registra mogu nastaviti samo u mjeri u kojoj služe tom kontinuitetu. Oni ne stječu veći interes za kontinuitet samo zato što drže bazu podataka.
Dakle, teško pitanje nije za AFRINIC, NRO ili RIR ploče.
To je za svakog mrežnog operatera:
Koji kontinuitet podržavate?
Kontinuitet vaše mreže uživo?
Ili kontinuitet moći institucije da prekine kontinuitet vaše mreže?
Nema neutralnog odgovora.
Ako podržavate prvo, tada prenosivost, neovisno presuđivanje, nedestruktivno rješavanje sporova, odvajanje registra/provedbe i prijelaz na prvo mjesto operatora nisu izborne reforme.
Oni su minimalna arhitektura kontinuiteta.
Ako podržavate drugo, onda jasno recite što se štiti:
Ne registar.
Ne internet.
Ne Afrika.
Ali čuvar vrata ima trajnu moć nad živom infrastrukturom.
Sustav RIR štiti svoju stalnu moć nad aktivnom infrastrukturom i mrežnim operaterima.
Štitim kontinuitet mreže uživo.