记录要保留，管理者要能换。

互联网建立在一条朴素的工程纪律上：粗略共识与运行代码。标准之所以有权威，是因为它们在真实网络上行得通，而不是因为某个委员会宣布了它们。登记机构从这一传统借来了自己的合法性，却又把它倒转过来，用政策去压制已经在运行的网络。

我把这个补丁叫作“运行代码优先”。登记机构的每一条规则，都要回答一个问题：如果这件事不集中决定，正在运行的互联网哪里会坏掉？如果答案是唯一性、互操作性、记录准确、安全或连续性，这条规则也许属于共同层。如果什么都不会坏，这条规则就不是协调，而是权力，它应该放在别处。

在第 64 篇札记里，我为这类共同记录提出了三条设计规则。最小初始规范：只写下所有参与者必须共享的内容，而且要让每一方都能核验。本地化未来决策：以后的变更，由每个运营者自己决定。自愿采用：新规则要等网络选择运行它才算成立，选择不用也不算违规。

用到登记机构上，共同层只保留运行中的网络必需的东西。租赁、客户所在地、定价、融资和商业模式，交还给运营者，交给合同和市场；需要强制力的时候，交给公法和法院。IP 地址里的数字之所以处处通用，正是因为没有人给它们发许可证；保证它们不重复的那份记录，也应该同样平淡无奇。

土地登记处记录一块地归谁，不会过问新主人的打算是否明智。互联网号码的登记机构也应如此：核实转让属实、号码没有重复登记、记录无误，然后在固定期限内登记下来。在我为 AFRINIC 起草的方案里，普通转让为 10 个工作日，跨登记机构转让为 20 个工作日。只有出现明确列出的缺陷才能拒绝，而且要给出书面理由和证据，并允许申诉。

收回地址也应同样受限，只限于这些情形：法院命令或独立裁决、经证实的欺诈、无法解决的重复登记、书面放弃、短暂且经过复核的安全紧急状态，或经通知后仍不缴费。保护路由的安全记录必须保持中立，绝不能成为拿捏会员的杠杆。持有人之间有争议时，记录应标明争议，并保留最后一次核实的状态，由独立的机构裁决。登记机构绝不能同时身兼记录员、主张方、法官和行刑人。

问责始于能够离开。你可以携号转网，运营商也就不敢怠慢你。一个网络也应该能把地址的登记，连同记录、控制权证明和安全信息，一并转到合格的接替者那里，不必重新编号，也不必征得它要离开的那家登记机构的同意。

这说的不是一家公司把会员身份从一家登记机构转到另一家，而是资源本身：一段具体的地址，不能被困在某一家机构的失灵、被俘获或纠纷之中。

连续性要靠设计，不能想当然。登记状态应当有版本记录，接受独立审计，并在任何单一组织的控制范围之外保存副本。目录服务需要经过测试的故障切换，安全系统需要事先规划好密钥和存储库的交接，因为一份静态备份是不够的。登记机构自己的应急讨论已经承认，服务可以由另一家运营方接手；它们还没有承认的是，选谁接手不能由同一个圈子说了算。

今天，记录上写了什么，网络只能听登记机构一家之言。我主张的最终状态不一样：记录的状态是共享且可核验的，任何网络都能自己查清谁持有哪些号码，没有哪一家机构是有效性的来源。分布式账本是实现它的一种办法。关键在于独立核验和可携性，而不在于某种特定的技术、代币或货币。

这不必靠断裂来实现。路径是分阶段的：先让这套系统被看见，再保护正在运行的网络的连续性，然后把面临风险的持有人协调起来，最后才转向更精简的架构。过渡期间，现有的登记机构只要不再评判商业，就可以继续维护记录、对外发布信息。AFRINIC 本身也可以继续存在，做一个职能狭窄、接受问责、可以替换的运营方。

工程上的活儿是实打实的：身份验证、相互冲突的历史记录、泄露的密钥、安全的交接，都得一一解决。我宁可把这些问题摆出来，也不愿假装它们不存在。

换一批管理者。更好的董事会能让登记机构好上一阵，但下一届董事会继承的仍是同一个否决权。目标不是换一个更仁慈的主权者，而是终结对主权的主张。

交给政府。国家可以、也应该通过本国法院执行本国法律，带强制力的决定本该在那里作出。但把号码体系本身交给政府，会招来审查、分裂和对路由的政治施压；况且近两百个国家，永远不可能就同一本登记簿达成一致。

交给更大的全球机构。给 ICANN、登记机构的协调组织或联合国的某个论坛更多权力，只会造出一道更大的同样的关卡。永久论坛仍然是论坛。

只加重赔偿责任。让登记机构为自己造成的损害买单，等于给损害标了价，但承担责任换不来统治的权利。更好的办法，是拿掉造成损害的那份权力。