Zusammenfassung

  • ACSP-Vorschlag 2011.17 verlangt Rechte pro API-Schlüssel: erlaubte Aktionen, Lesen oder Schreiben und einen bestimmten POC. ARIN kennzeichnet ihn weiterhin als Open.
  • Eine ARIN-Schätzung von April 2012 nennt rund 1.458.000 US-Dollar Entwicklungsaufwand. Die letzte öffentliche Anmerkung zum Vorgang stammt von April 2018.

Mike Joseph beschrieb 2011 ein Problem, das mit dem Kopieren einer Zeichenfolge beginnt. Ein API-Schlüssel liegt in einem System, das ARIN-Daten automatisiert verwaltet. Auf dieses System können mehr Menschen zugreifen als auf das persönliche Konto, für das der Schlüssel steht. Die Frage lautet also nicht bloß, wer sich anmelden darf. Sie lautet, welche Handlungen ein bestimmter Schlüssel ausführen darf, wenn eine Maschine ihn benutzt.

Josephs Antrag bei ARIN schnitt die Antwort in drei Teile. Er wollte RESTful- und Formularaktionen je Schlüssel auswählen, Lese- und Schreibrechte trennen und einen Schlüssel auf einen POC begrenzen können. Ein ARIN-Online-Konto kann mit mehreren POCs verbunden sein; eine einzelne Aufgabe muss nicht für alle handeln. Die Alternative, eigens Rollenkonten für schmalere Schlüssel aufzubauen, verlagert das Berechtigungsproblem in die Kontenverwaltung.

ARIN stellte zunächst eine Diskussion mit der Community in Aussicht. 2012 bezifferte die Organisation den technischen Aufwand auf ungefähr 1.458.000 US-Dollar, zuzüglich beträchtlicher Arbeit an Kommunikation und Dokumentation. Sie warnte vor zusätzlicher Komplexität im Code und möglicher Verwirrung für Nutzer. 2018 stand der Antrag nicht im Arbeitsplan; eine Konsultation zu offenen Vorschlägen sollte in die weitere Priorisierung einfließen. Im heutigen ACSP-Verzeichnis steht 2011.17 noch unter Open. Die Summe von 2012 ist ein damaliger Kostenvoranschlag, kein heutiger Projektpreis.

Die aktuelle Schlüsselanleitung erklärt Identifizierung und Abschaltung: Ein Schlüssel läuft nicht von selbst ab, lässt sich deaktivieren und kann für mehrere Vorgänge verwendet werden. Mehrere Schlüssel helfen bei der lokalen Nachverfolgung. ARIN nennt Registrierungsaktionen, DNS, RPKI, Reverse DNS und eingeschränkte Berichtdownloads. REST-Aufrufe setzen außerdem ein Konto voraus, das mit einem berechtigten POC verknüpft ist. Das beschreibt Kontenidentität und POC-Befugnis. Eine pro Schlüssel erzwungene Auswahl von Aktionen und POCs beschreibt die Anleitung nicht.

Seit 2018 verzeichnet der öffentliche Antrag keine neue Entscheidung. Eine veröffentlichte Spezifikation für Schlüsselrechte oder ein formeller Abschluss würde den Befund ändern. Solange beides fehlt, dokumentiert ARIN den Anfang und das Ende eines Schlüssels genauer als seine Reichweite während des Betriebs.