Zusammenfassung

  • AFPUB-2019-GEN-006-DRAFT03, eingereicht am 19 April 2021 von Haitham El-Nakhal und Yazid Akanho, fügte eine entscheidende zeitliche Schranke hinzu: Zurückgewonnene Ressourcen sollten erst am Ende des Rückgewinnungsverfahrens in die von AFRINIC erzeugte AS0-Abdeckung gelangen.
  • Diese Schranke trennt den veränderlichen Stand eines privaten technischen Registers von einer signierten negativen Aussage, die ein Validator als Grundlage für den technischen Zustand Invalid verwenden kann. Die anschließende Routingreaktion bleibt eine lokale Entscheidung jedes Netzes.
  • Der Entwurf benannte jedoch keinen öffentlich reproduzierbaren Abschlussnachweis, keinen isolierten Konfliktzustand, keinen schnellen Anfechtungs- und Korrekturweg und keine unabhängige Beobachtung. Die sachgerechte Antwort ist ein eng begrenzter Registerdienst mit nachvollziehbarer Finalität, nicht die Aufwertung AFRINICs zur Eigentümerin, Behörde oder Richterin.

Der Satz, der ein nachweisbares Ende verlangte

Ein kleines Zeitwort mit großer technischer Reichweite

Am 19 April 2021 reichten Haitham El-Nakhal und Yazid Akanho Version 3 von AFPUB-2019-GEN-006-DRAFT03 ein. Die offizielle Änderungshistorie fasst die Neuerung knapp als „Consideration on recovered resources“ zusammen. Der nachgewiesene neue Gedanke lässt sich ebenso knapp wiedergeben: AFRINIC sollte zurückgewonnene Ressourcen erst am Ende des Rückgewinnungsverfahrens hinzufügen. Entscheidend ist dabei weder die Länge des Zusatzes noch die allgemeine Debatte über AS0. Entscheidend ist das Wort Ende.

Ein Verfahren, das läuft, ist kein Zustand, dessen Ergebnis bereits feststeht. Ein Eintrag kann in Bearbeitung sein, eine Rückgabe kann noch nicht vollständig erfasst sein, und zwischen einer internen Einschätzung und einem abgeschlossenen Registerzustand kann ein ungelöster Konflikt liegen. Keine dieser Möglichkeiten wird hier als tatsächlich eingetretener Fall behauptet. Sie sind Belastungsproben für die Regel. Der Zusatz in Draft 3 erkennt jedenfalls eine elementare Differenz an: Der Beginn einer Rückgewinnung darf nicht automatisch dasselbe bedeuten wie ihr Abschluss.

Diese Differenz ist im Umfeld signierter Routinginformationen wichtiger als in einer rein internen Liste. Eine interne Markierung bleibt zunächst bei der Stelle, die sie führt. Wird aus ihr dagegen ein AS0-Objekt erzeugt und veröffentlicht, kann sie von Validatoren abgerufen, kryptografisch geprüft und in technische Klassifikationen übersetzt werden. Ein gewöhnlicher Ursprung, der mit der Aussage kollidiert, kann dann als Invalid erscheinen. Damit ist die private Buchführung nicht mehr bloß eine interne Beschreibung. Ihre Aussage ist Teil einer verteilten Beweiskette geworden, auf die Netze unterschiedlich reagieren können.

Draft 3 zog deshalb eine vernünftige zeitliche Linie. Das Register sollte seinen eigenen Prozess nicht dadurch vorentscheiden, dass es schon während der Rückgewinnung eine negative Ursprungsaussage veröffentlicht. Eine Signatur darf nicht helfen, einen offenen privaten Anspruch faktisch zu gewinnen. Sie sollte auf einen hinreichend abgeschlossenen und belegten Zustand folgen. Das macht die Rückgewinnung nicht zu einem staatlichen Verfahren und ihren Abschluss nicht zu einem Urteil. Es hält lediglich fest, dass operational wirksame Metadaten einen stabileren Ausgangspunkt brauchen als eine laufende Behauptung.

Gerade diese Bescheidenheit ist die Stärke des Zusatzes. Er verlangt keine umfassende Rechtsordnung für Nummernressourcen. Er behauptet nicht, ein Regional Internet Registry könne den Datenverkehr anderer kontrollieren. Er sagt lediglich, dass eine bestimmte Automatisierung warten soll. Dieses Warten ist eine Schutzvorkehrung gegen die Verwechslung von Prozess und Ergebnis. Es hält die Möglichkeit offen, dass sich der zugrunde liegende Registerstand noch ändert, bevor eine signierte negative Aussage in Umlauf kommt.

Doch die Formulierung löst das Problem nur zur Hälfte. Wer auf „das Ende“ verweist, muss auch zeigen können, woran dieses Ende erkannt wird. Der öffentliche Text und die zugehörige Mitarbeiterbewertung definieren keinen öffentlichen Test dafür. Sie nennen keinen bestimmten Nachweis, der eine Rückgewinnung abschließt, keinen dokumentierten Konfliktzustand, keine Notfallanfechtung, keine Korrekturfrist und keinen unabhängigen Beleg dafür, wann Ausgabe oder Rücknahme in den maßgeblichen Ansichten sichtbar wurden. Aus der verfügbaren Dokumentation folgt nicht, dass es keinerlei interne Unterlagen oder Abläufe gegeben haben könnte.

Es folgt nur, dass der öffentliche Vorschlag die Finalität nicht reproduzierbar machte.

Was Draft 3 beibehielt – und was es tatsächlich hinzufügte

Der Gegenstand des Entwurfs war breiter als der neue Satz, aber der eigene Beitrag von Version 3 war schmal. Der Vorschlag sah weiterhin vor, dass AFRINIC AS0-ROAs für nicht zugewiesenen und nicht vergebenen IPv4- und IPv6-Adressraum erstellt, für den es als aktueller Verwalter geführt wurde. Daneben blieb die Möglichkeit erhalten, dass ein Ressourceninhaber für Ressourcen unter seinem Konto oder seiner Verwaltung eigene AS0-ROAs erzeugt. Diese Unterscheidung ist wichtig: Eine vom Inhaber stammende negative Absicht und eine vom Register erzeugte Aussage über seinen Bestand sind nicht dieselbe institutionelle Handlung.

Ebenso blieb die Regel bestehen, dass die abdeckenden AS0-Objekte vor einer späteren Vergabe widerrufen und vollständig aus den Repositorien entfernt sein sollten. Diese Reihenfolge verhindert, dass eine alte negative Aussage und eine neue ordentliche Zuweisung nebeneinanderstehen. Auch die Möglichkeit eines getrennten Trust Anchor Locator blieb im Text enthalten, sodass der besondere Dienst zumindest anfangs freiwillig eingebunden und separat beobachtet werden konnte. Diese Elemente bilden Kontext. Sie sind nicht die neue redaktionelle Linie, die Draft 3 gehört.

Der eigene Prüfpunkt dieser Fassung betrifft zurückgewonnene Ressourcen. Die offizielle Mitarbeiterbewertung deutete nicht zugewiesenen und nicht vergebenen Bestand als verfügbaren und reservierten Raum in der erweiterten delegierten Statistikdatei. Für neue Präfixe von IANA oder PTI war eine unmittelbare AS0-Erfassung vorgesehen, während zurückgegebene oder zurückgewonnene Präfixe durch den Bestandsprozess in die Abdeckung gelangen sollten. Die Bewertung rechnete dafür mit Änderungen am Inventarsystem, Automatisierung für vorhandenen und eingehenden Bestand, Anpassungen des Ausgabezeitpunkts sowie neuen internen Kontrollen und Überwachung.

All das macht die Zustandsänderung zum entscheidenden Scharnier. Ein Automatisierungssystem kann nur so verlässlich sein wie die Kategorie, die es verarbeitet. Wenn „zurückgewonnen“ eine abgeschlossene, belegte und konfliktfreie Lage bezeichnet, lässt sich daraus eine begrenzte technische Aussage ableiten. Wenn dieselbe Kategorie aber lediglich bedeutet, dass eine Rückgewinnung begonnen oder intern behauptet wurde, würde die Automatisierung eine offene Lage als fertige Tatsache behandeln. Draft 3 versuchte, genau diese Abkürzung zu verhindern, ohne jedoch zu erklären, wie der Übergang geprüft werden soll.

Die Evidenzgrenze ist enger: Untersucht wird ausschließlich Draft 3s Vorgabe, mit der AS0-Abdeckung zurückgewonnener Ressourcen bis zum Abschluss der Rückgewinnung zu warten, sowie das False-Positive-Risiko einer verfrühten Signatur. Der öffentliche Text belegt keine tatsächliche Umsetzung, kein konkretes AS0-Objekt, keine Übernahme durch einen Betreiber, kein betroffenes Präfix, keine Routenablehnung, keinen Verlust und keinen gemessenen Nutzen.

Das Risiko lässt sich deshalb nur als Wirkungsmechanismus prüfen: Würde ein noch offener Registerstand signiert, könnte eine gewöhnliche Ursprungsaussage bei darauf vertrauenden Netzen technisch als Invalid erscheinen. Eine solche tatsächliche Fehlklassifikation wird damit nicht behauptet.

Finalität ist ein Registerbeleg, kein Urteil

Der Begriff Finalität kann leicht zu groß klingen. In diesem Zusammenhang darf er nicht bedeuten, dass AFRINIC eine öffentlich-rechtliche Entscheidung über Eigentum oder Rechtmäßigkeit fällt. AFRINIC ist ein privater technischer Buchhalter und Koordinator. Es führt Nummernressourcen in einem begrenzten Verwaltungssystem, betreibt einen Zertifizierungsdienst und kann in diesem Dienst signierte Sicherheitsmetadaten veröffentlichen. Daraus entstehen weder Souveränität noch gesetzgeberische, regulatorische, polizeiliche, staatsanwaltschaftliche, strafende, enteignende oder öffentlich-rechtlich richterliche Gewalt.

Wenn der offizielle Vorschlag eine alleinige „authority“ AFRINICs für bestimmte ROAs anspricht, kann das nur die technische und administrative Fähigkeit innerhalb des eigenen RPKI-Zertifizierungs- und Veröffentlichungsdienstes für noch nicht an Mitglieder vergebene oder zugewiesene Bestände bezeichnen. Es ist keine Eigentumsaussage über Präfixe. Es schafft keine Zuständigkeit über einen Ressourceninhaber. Es ermächtigt das Register nicht, einen privaten Streit verbindlich zu entscheiden. Und es verpflichtet kein empfangendes Netz zu einer bestimmten Behandlung.

Ein Finalitätsbeleg wäre daher keine Gerichtsakte. Er wäre die nachvollziehbare Quittung eines privaten Herausgebers: Auf welchen abgeschlossenen Zustand hat er sich gestützt, bevor er ein operational relevantes Negativsignal signierte? Eine solche Quittung würde die Grenzen des Herausgebers enger ziehen, nicht erweitern. Sie würde sichtbar machen, dass AFRINIC nicht die Welt beschreibt, wie es sie kraft übergeordneter Gewalt festlegt, sondern nur den Zustand, den sein eigenes Register nach einem dokumentierten Abschluss ausweist.

Diese Unterscheidung wahrt zugleich die Rolle anderer Beteiligter. Ein Validator entscheidet nicht über Besitz. Er berechnet aus den ihm vorliegenden RPKI-Daten einen technischen Ursprungsvalidierungszustand. Ein Netz wiederum vollstreckt kein Urteil, wenn es auf Invalid reagiert. Es setzt eine eigene Routingpolitik um. Ein unabhängiger Beobachter wird nicht zum Register oder Gericht, wenn er den veröffentlichten Beleg, das signierte Objekt und sichtbare Validatoransichten miteinander vergleicht. Jede Rolle bleibt eng, und gerade dadurch kann das gemeinsame Ergebnis glaubwürdiger werden.

Die redaktionelle Disziplin ist hier dieselbe wie die institutionelle. Nachgewiesen sind die Veröffentlichung und der Inhalt von Draft 3, seine Urheber, das Datum, die Beschreibung der Änderung und die Mitarbeiterbewertung. Nicht nachgewiesen sind ein konkretes betroffenes Präfix, ein vollendeter praktischer Rückgewinnungsfall, ein veröffentlichtes Produktionsobjekt, die Übernahme durch einen Betreiber, eine Fehlklassifikation, eine Routenverwerfung, ein Ausfall, ein Verlust oder ein messbarer Sicherheitsgewinn. Diese Lücken sind Unbekannte.

Sie dürfen weder in Ereignisse noch in den Beweis verwandelt werden, dass außerhalb des öffentlichen Materials keinerlei weitere Aufzeichnungen existierten.