Šta znači dokaz kontrole nad IP adresom?

Dokazi trebaju potvrditi ovlaštenje za konkretnu radnju koja se traži. Dozvola za promjenu jednog dijela mreže ne daje automatski ovlaštenje nad svim ostalim dijelovima.

Kada neko kaže: „Mi kontroliramo ovaj blok IP adresa”, prvo pitanje treba biti: kontrolirate ga radi koje radnje?

IP prefiks može istovremeno biti upisan u registar, oglašavan putem BGP-a, zaštićen RPKI autorizacijom, korišten u zakupu i podržavati poslovanje. Te su činjenice povezane, ali nisu ista činjenica. Kada se jedna od njih uzme kao dokaz svega, tehnički zapis postaje izvor operativne zabune i institucionalne moći.

Dokaz kontrole je dokaz da je osoba ili organizacija ovlaštena izvršiti konkretnu radnju u vezi s internetskim brojevnim resursom.

Ta radnja može biti ažuriranje registarskog zapisa, odobravanje rute, promjena ROA zapisa, delegiranje obrnutog DNS-a, korištenje adresnog prostora na osnovu ugovora, zahtjev za prijenos ili zastupanje nosioca resursa u sporu. Za svaku radnju potrebni su dokazi koji zaista odgovaraju na pitanje koje ona otvara.

Počnite od radnje, a ne od riječi „vlasništvo”

Pitanje „Čiji je ovaj IP?” zvuči jednostavno, ali u sebi spaja nekoliko različitih pitanja:

• Ko smije ažurirati priznati registarski zapis?
• Ko smije ovlastiti autonomni sistem da oglašava prefiks?
• Ko upravlja mrežom koja koristi adresni prostor?
• Ko smije mijenjati obrnuti DNS ili sigurnosne postavke?
• Ko smije dati resurs u zakup, prenijeti ga ili komercijalno delegirati?

Koristan postupak dokazivanja kontrole prvo imenuje radnju, a zatim pita ko je ovlašten da je izvrši i koji dokazi podupiru to ovlaštenje. Tako operativna istraga ostaje precizna, bez pretvaranja da jedno polje u bazi podataka rješava svaki ugovorni, organizacijski ili pravni odnos.

Četiri nivoa koja se često miješaju

1. Kontrola u registru

Registarski zapis opisuje priznato stanje: organizaciju povezanu s resursom, kontakte, status i druge podatke koje koordinacijski sistem održava. Pristup računu u registru može pokazati da osoba može izvršiti određene radnje u tom sistemu.

To ne pokazuje automatski da korisnik računa smije prodati ili prenijeti resurs ili zastupati organizaciju u svakoj situaciji. Pristupni podaci mogu biti zastarjeli, dijeljeni ili kompromitirani. Pristup sistemu i ovlaštenje za donošenje konkretne odluke nisu isto.

2. Kontrola rutiranja

BGP pokazuje kako mreža trenutno oglašava prefiks. To je dokaz o stvarnom stanju rutiranja. Sam po sebi ne dokazuje da je nosilac resursa ovlastio mrežu koja oglašava prefiks.

Prefiks može oglašavati korisnik, pružalac hosting usluga, uzvodna mreža, novi pružalac tokom prelaska ili neovlaštena strana. Zato su sljedeća dva pitanja odvojena:

Ko oglašava prefiks?

Ko je odobrio to oglašavanje?

3. Kontrola sigurnosti

RPKI i autorizacija izvora rute, odnosno ROA, pružaju kriptografski provjerljiv dokaz za uže pitanje: koji je autonomni sistem unutar RPKI sistema ovlašten biti izvor rute za određeni prefiks?

To je vrijedna zaštita rutiranja. Važeći ROA nije univerzalna vlasnička isprava. Ne dokazuje automatski uslove zakupa, ko upravlja aplikacijom, ko je platio resurs, sve komercijalne interese ili da li se ruta trenutno oglašava.

4. Operativna i komercijalna kontrola

Kompanija može pokretati servere, zaštitne zidove, VPN, DNS, e-poštu ili usluge za korisnike na adresnom prostoru čiji nije nosilac u registru. Zakupac može biti ovlašten koristiti i rutirati prefiks, dok druga organizacija ostaje registrirani nosilac. Pružalac usluge može ga oglašavati u ime operatera.

To nije nužno proturječnost. Riječ je o skupu odnosa koji se moraju jasno zabilježiti: ko drži resurs, ko ga smije koristiti i oglašavati, ko upravlja RPKI-jem i obrnutim DNS-om te šta se dešava kada dogovor prestane važiti.

Šta svaki pojedini dokaz može, a šta ne može pokazati

Svrha nije stvarati papirologiju radi nje same. Svrha je spriječiti da se valjan dokaz rastegne izvan onoga što zaista dokazuje.

Zašto je to važno pri promjeni mreže

Dokaz kontrole najvažniji je kada predstoji značajna promjena: kompanija mijenja pružaoca usluga, prefiks se daje u zakup, organizacija se restrukturira, ruta prelazi na drugu mrežu ili se dvije strane ne slažu oko toga ko smije djelovati.

Prije promjene mreže koja radi, pažljiv postupak treba utvrditi:

1. tačan IPv4 ili IPv6 prefiks na koji se promjena odnosi;
2. posljednje provjereno stanje registra;
3. osobu ili organizaciju koja traži radnju;
4. ovlaštenje koje tu osobu povezuje s nosiocem resursa;
5. ASN koji trenutno izvorišno oglašava prefiks i ASN koji bi ga trebao oglašavati;
6. relevantne RPKI zapise, obrnuti DNS te zapise o rutiranju i delegiranju;
7. dokaze koji podupiru prijelaz; i
8. korake potrebne da se usluga očuva tokom promjene stanja.

Promjena može biti administrativno ispravna, a ipak izazvati prekid rada ako se zanemare zavisnosti vezane za rutiranje, DNS, sigurnost i partnere. Obrnuto, aktivno BGP oglašavanje može održavati protok saobraćaja i kada je osnovno ovlaštenje sporno. Dobar postupak bilježi obje činjenice, umjesto da dopusti da jedna izbriše drugu.

Najteži slučaj je neslaganje između nivoa

Zamislite da registar navodi organizaciju A, prefiks oglašava organizacija B, ugovor dopušta organizaciji C da koristi adresni prostor, stari ROA odobrava ASN X, a sadašnja mreža radi preko ASN-a Y. Zatim dvije osobe traže da registar prihvati različite promjene.

Odabir jednog sistema i zanemarivanje ostalih ne rješava sukob. Istraga treba postaviti sljedeća pitanja:

• Koje je posljednje stanje bilo provjereno i na osnovu kojih dokaza?
• Šta se promijenilo nakon tog stanja?
• Ko je odobrio svaku promjenu?
• Koje tvrdnje opisuju stanje registra, rutiranja, sigurnosti ili operativnog korištenja?
• Koji dijelovi mreže trenutno pružaju usluge korisnicima?
• Može li se traženo ažuriranje izvršiti bez nepotrebnog prekidanja legitimne mreže u radu?

Historijski zapisi ovdje su neophodni. Pouzdan koordinacijski sistem treba omogućiti rekonstrukciju prelaska resursa iz jednog provjerenog stanja u drugo, umjesto da prikazuje samo zapis koji je trenutno važeći. Pitanje nije samo „Šta baza podataka kaže danas?”, nego i „Je li sam prijelaz bio valjan i može li se objasniti?”

Kako izgleda praktičan postupak dokazivanja

Za promjenu s velikim posljedicama koristite provjeru po nivoima:

Potvrdite resurs

Utvrđujte tačan prefiks i njegov odnos s uslugom, korisnikom ili mrežom. Ne počinjite općom tvrdnjom o „IP adresama”.

Potvrdite traženu radnju

Navedite odnosi li se zahtjev na ažuriranje registra, odobravanje rute, RPKI, obrnuti DNS, zakup, prijenos ili operativno korištenje. Različite radnje zahtijevaju različita ovlaštenja.

Potvrdite osobe i organizacije

Utvrđujte priznatog nosioca, podnosioca zahtjeva, svakog pružaoca usluga, svakog zakupca i svaku organizaciju koja će upravljati mrežom. Pratite lanac ovlaštenja od nosioca do tražene radnje.

Uporedite stvarno i zabilježeno stanje

Zajedno provjerite registarski zapis, trenutni BGP izvor, RPKI autorizaciju, obrnuti DNS, ugovore i operativne zapise. Označite proturječnosti umjesto da prešutno izaberete omiljeni izvor.

Zabilježite prijelaz

Zabilježite prethodno stanje, dokaze za novo stanje, osobe koje su ga odobrile i potrebne promjene rutiranja, DNS-a, sigurnosti i nadzora. Testirajte primopredaju prije okončanja starog dogovora.

Tako „dokaz kontrole” postaje trag odlučivanja koji drugi operater može pregledati. To olakšava i rješavanje sporova, jer sistem može pokazati šta je bilo poznato u svakom koraku.

Zašto dokazi trebaju ostati prenosivi

Ako svi dokazi postoje samo u privatnoj bazi podataka jedne institucije, sposobnost nosioca resursa da dokaže kontrolu zavisi od trajnog pristupa toj instituciji. Promjene osoblja, prestanak rada pružaoca usluga, zaključavanje računa i institucionalni sporovi tada mogu tehničku činjenicu pretvoriti u krizu ovlaštenja.

Otporniji model koordinacije treba omogućiti da se važni dijelovi dokaza nezavisno provjeravaju, podvrgnu reviziji, prenesu kada je to primjereno, razumiju među ugovornim stranama i obnove u slučaju otkazivanja institucije. Pristupne podatke ne treba otkrivati samo da bi dokazi bili prenosivi. Načelo je uže: valjanost ne treba nepotrebno zavisiti od vezanosti za instituciju.

Zato korisnu funkciju registra treba odvojiti od ideje da njegov upravitelj mora biti trajan ili politički ovlašten odlučivati o svakom pitanju vezanom za resurs. Mrežama su potrebni jedinstvenost, tačni zapisi, sigurnosne tvrdnje i promjene kojima se može pratiti trag. Nije im potrebno da jedna institucija postane vlasnik svake komercijalne ili operativne odluke koja iz toga slijedi.

Minimalna koordinacija zahtijeva snažne dokaze

Smanjiti opseg koordinacije ne znači učiniti je nemarnom. To znači usmjeriti zajednički sloj na funkcije koje mreže moraju moći provjeriti:

• jedinstvenost resursa;
• identitet i dokaze kontrole;
• tačno stanje registra;
• sigurnosne tvrdnje;
• zapise o prijenosu i reviziji;
• stanje sukoba; i
• operativni kontinuitet.

Cijene, geografska lokacija korisnika, uobičajeni poslovni modeli i izbor pružaoca infrastrukture ne pripadaju automatski tom istom sloju. Snažni dokazi trebaju štititi integritet koordinacije, a ne postati neodređeno opravdanje za kontrolu svake odluke koja se donosi s internetskim brojevnim resursom.

To je granica na kojoj počiva širi argument Lua Henga. U tekstu Povelja prava koordinacije jedinstvenosti od zajedničkog sloja se traži da zaštiti jedinstvenost, provjerljivu kontrolu, tačnost, sigurnost i kontinuitet. U tekstu Prvenstvo funkcionalnog koda smjer vodi prema tehničkim pravilima koja mreže učesnice mogu provjeriti i usvojiti, umjesto da trajna dozvola institucije odlučuje koji su budući aranžmani legitimni.

Odgovor u jednoj rečenici

Dokaz kontrole nije jedan dokument, jedna prijava, jedno BGP oglašavanje ili jedno polje u registru.

To je precizan lanac dokaza koji pokazuje ko je ovlašten izvršiti ovu konkretnu radnju, šta podupire to ovlaštenje, koje će se stanje promijeniti i može li mreža nakon toga nastaviti raditi.

Snažan koordinacijski sistem omogućava lako dokazivanje legitimne kontrole, otežava neovlaštene promjene, olakšava reviziju sporova i zaštitu mreža u radu. Registar treba tačno bilježiti kontrolu. Dokazi je trebaju učiniti provjerljivom. Dokazivanje treba služiti mreži, a ne postati njena zamjena.

Nastavite čitati:

• Bilješka 9: O upravljanju APNIC-om i potrebi za jasnim raskidom
• Bilješka 72: Povelja prava koordinacije jedinstvenosti
• Bilješka 65: Prvenstvo funkcionalnog koda
• Zašto su jasni operativni zapisi važni pri zakupu IP adresa