記錄要保留，管理者要能換。

互聯網建立在一條樸素的工程紀律上：粗略共識與運行代碼。標準之所以有權威，是因爲它們在真實網絡上行得通，而不是因爲某個委員會宣佈了它們。登記機構從這一傳統借來了自己的合法性，卻又把它倒轉過來，用政策去壓制已經在運行的網絡。

我把這個補丁叫作“運行代碼優先”。登記機構的每一條規則，都要回答一個問題：如果這件事不集中決定，正在運行的互聯網哪裏會壞掉？如果答案是唯一性、互操作性、記錄準確、安全或連續性，這條規則也許屬於共同層。如果什麼都不會壞，這條規則就不是協調，而是權力，它應該放在別處。

在第 64 篇札記裏，我爲這類共同記錄提出了三條設計規則。最小初始規範：只寫下所有參與者必須共享的內容，而且要讓每一方都能覈驗。本地化未來決策：以後的變更，由每個運營者自己決定。自願採用：新規則要等網絡選擇運行它纔算成立，選擇不用也不算違規。

用到登記機構上，共同層只保留運行中的網絡必需的東西。租賃、客戶所在地、定價、融資和商業模式，交還給運營者，交給合同和市場；需要強制力的時候，交給公法和法院。IP 地址裏的數字之所以處處通用，正是因爲沒有人給它們發許可證；保證它們不重複的那份記錄，也應該同樣平淡無奇。

土地登記處記錄一塊地歸誰，不會過問新主人的打算是否明智。互聯網號碼的登記機構也應如此：覈實轉讓屬實、號碼沒有重複登記、記錄無誤，然後在固定期限內登記下來。在我爲 AFRINIC 起草的方案裏，普通轉讓爲 10 個工作日，跨登記機構轉讓爲 20 個工作日。只有出現明確列出的缺陷才能拒絕，而且要給出書面理由和證據，並允許申訴。

收回地址也應同樣受限，只限於這些情形：法院命令或獨立裁決、經證實的欺詐、無法解決的重複登記、書面放棄、短暫且經過複覈的安全緊急狀態，或經通知後仍不繳費。保護路由的安全記錄必須保持中立，絕不能成爲拿捏會員的槓桿。持有人之間有爭議時，記錄應標明爭議，並保留最後一次覈實的狀態，由獨立的機構裁決。登記機構絕不能同時身兼記錄員、主張方、法官和行刑人。

問責始於能夠離開。你可以攜號轉網，運營商也就不敢怠慢你。一個網絡也應該能把地址的登記，連同記錄、控制權證明和安全信息，一併轉到合格的接替者那裏，不必重新編號，也不必徵得它要離開的那家登記機構的同意。

這說的不是一家公司把會員身份從一家登記機構轉到另一家，而是資源本身：一段具體的地址，不能被困在某一家機構的失靈、被俘獲或糾紛之中。

連續性要靠設計，不能想當然。登記狀態應當有版本記錄，接受獨立審計，並在任何單一組織的控制範圍之外保存副本。目錄服務需要經過測試的故障切換，安全系統需要事先規劃好密鑰和存儲庫的交接，因爲一份靜態備份是不夠的。登記機構自己的應急討論已經承認，服務可以由另一家運營方接手；它們還沒有承認的是，選誰接手不能由同一個圈子說了算。

今天，記錄上寫了什麼，網絡只能聽登記機構一家之言。我主張的最終狀態不一樣：記錄的狀態是共享且可覈驗的，任何網絡都能自己查清誰持有哪些號碼，沒有哪一家機構是有效性的來源。分佈式賬本是實現它的一種辦法。關鍵在於獨立覈驗和可攜性，而不在於某種特定的技術、代幣或貨幣。

這不必靠斷裂來實現。路徑是分階段的：先讓這套系統被看見，再保護正在運行的網絡的連續性，然後把面臨風險的持有人協調起來，最後才轉向更精簡的架構。過渡期間，現有的登記機構只要不再評判商業，就可以繼續維護記錄、對外發布信息。AFRINIC 本身也可以繼續存在，做一個職能狹窄、接受問責、可以替換的運營方。

工程上的活兒是實打實的：身份驗證、相互衝突的歷史記錄、泄露的密鑰、安全的交接，都得一一解決。我寧可把這些問題擺出來，也不願假裝它們不存在。

換一批管理者。更好的董事會能讓登記機構好上一陣，但下一屆董事會繼承的仍是同一個否決權。目標不是換一個更仁慈的主權者，而是終結對主權的主張。

交給政府。國家可以、也應該通過本國法院執行本國法律，帶強制力的決定本該在那裏作出。但把號碼體系本身交給政府，會招來審查、分裂和對路由的政治施壓；況且近兩百個國家，永遠不可能就同一本登記簿達成一致。

交給更大的全球機構。給 ICANN、登記機構的協調組織或聯合國的某個論壇更多權力，只會造出一道更大的同樣的關卡。永久論壇仍然是論壇。

只加重賠償責任。讓登記機構爲自己造成的損害買單，等於給損害標了價，但承擔責任換不來統治的權利。更好的辦法，是拿掉造成損害的那份權力。