El riesgo de gobernanza dentro de la capa RPKI de AFRINIC

Una atestación de origen de ruta es algo que un consejo directivo nunca debería tener que discutir. Es una pequeña declaración criptográfica, publicada por o para un titular de recursos de red, que le dice al resto del sistema de enrutamiento qué sistema autónomo está autorizado para originar un prefijo IP particular. Los ingenieros la conocen como ROA, parte de la Infraestructura de Clave Pública de Recursos.

Los ejecutivos generalmente se encuentran con ella solo después de que algo sale mal: un cliente pregunta por qué se está filtrando una ruta, un proveedor de tránsito quiere prueba de autoridad, un asegurador pregunta cómo se controla el riesgo de secuestro de ruta, un abogado de adquisiciones pregunta si el espacio de direcciones del objetivo puede seguir funcionando después del cierre, o un prestamista pregunta si los ingresos vinculados a un portafolio de IPv4 dependen de una cadena de certificados controlada por una institución en dificultades.

Es entonces cuando RPKI deja de parecer una tubería de seguridad de red y comienza a parecer crédito institucional. Una ROA no es meramente una línea en un sistema técnico. Es una afirmación de que la autoridad del registro sobre un bloque puede ser lo suficientemente confiable como para que los enrutadores, contrapartes y clientes actúen en consecuencia. La parte que confía puede nunca hablar con el registro. Solo puede ver que una ruta es válida, inválida o no encontrada bajo una cadena de certificados.

Sin embargo, detrás de ese estado de validación escueto hay un pacto social en capas: el registro sabe con precisión quién posee el recurso; el titular o su operador autorizado controla la cuenta correcta; las claves y sistemas de publicación relevantes están intactos; la revocación es legal y revisable; y la continuidad institucional es lo suficientemente fuerte como para que una disputa judicial, una administración judicial, un colapso del consejo o un defecto en los registros no cambie silenciosamente los supuestos operativos de una red.

AFRINIC es la prueba más aguda actual de ese pacto. El Centro Africano de Información de Redes es el registro regional de Internet para África y partes del Océano Índico. Es una organización sin fines de lucro mauriciana, basada en miembros, que distribuye y registra direcciones IPv4, prefijos IPv6 y números de sistemas autónomos, al tiempo que ofrece servicios como WHOIS, RDAP, DNS inverso, un registro de enrutamiento de Internet y un Programa de Certificación de Recursos para RPKI. En tiempos normales, ese catálogo suena como un conjunto de funciones de registro. En tiempos estresados, es una lista de dependencias.

La misma cuenta de miembro que solicita una actualización de registro puede ser también la ruta a través de la cual se crea el material de certificación. El mismo hecho del registro que identifica a un titular puede determinar quién puede publicar una ROA. El mismo consejo que autoriza litigios, presupuestos y alta dirección puede influir en si el personal, los sistemas y los servicios a los miembros se mantienen lo suficientemente estables como para que se confíe en la publicación de seguridad de enrutamiento.

El riesgo no es que AFRINIC pueda apagar Internet africano emitiendo un comando dramático. RPKI es más sutil que eso, y las redes operativas tienen muchas capas de resiliencia. El riesgo es que RPKI convierta la legitimidad del registro en una dependencia de enrutamiento legible por máquina. Cuando los operadores configuran los enrutadores para rechazar orígenes inválidos, no solo están confiando en la criptografía. Están confiando en la institución que ancla la cadena criptográfica.

Esa institución debe ser aburrida de una manera específica: precisa en sus registros, comedida en la ejecución, solvente para operar, legítima para tomar decisiones, disciplinada para no usar los servicios de seguridad como palanca, y continua para que los tribunales o administradores puedan preservar la función sin convertir la publicación de origen de ruta en otro campo de batalla.

La historia reciente de AFRINIC hace que esta dependencia sea legible. Informes públicos han descrito alegaciones anteriores de corrupción de registros de direcciones que involucran valioso espacio IPv4 africano. La disputa con Cloud Innovation convirtió la revisión de recursos, la interpretación de uso regional y la actividad comercial de IPv4 en litigio. El Proyecto de Gobernanza de Internet informó que en julio de 2021 un tribunal de Mauricio congeló provisionalmente hasta 50 millones de dólares en cuentas bancarias de AFRINIC, una medida que amenazó las operaciones ordinarias.

La Organización de Recursos Numéricos describió más tarde una orden judicial de 2023 que nombraba a un administrador judicial cuyo papel incluía preservar el statu quo, supervisar elecciones y restaurar la gobernanza funcional. The Register siguió la subsiguiente crisis electoral: un registro sin un consejo directivo ni director ejecutivo normales, advertencias sobre credenciales, preocupaciones de ICANN, retrasos en la votación, alegaciones que involucran poderes notariales, anulación de una elección de junio de 2025, restauración posterior del consejo y litigios que continúan hasta 2026.

Estos episodios no prueban todas las afirmaciones hechas por cualquiera de las partes. Sí prueban que la capa institucional del registro se convirtió en una superficie de riesgo activa.

RPKI es la parte de esa superficie que merece especial atención porque comprime la cuestión institucional en un resultado criptográfico. Un registro público puede ser verificado por una persona. Una delegación de DNS inverso puede fallar ruidosamente. Los datos de WHOIS o RDAP pueden parecer obsoletos y aún así ser interpretados con cautela. RPKI está diseñado para la automatización. Invita a los operadores a dejar que los validadores conviertan las afirmaciones respaldadas por el registro en decisiones de enrutamiento. Ese es su valor de seguridad. También es su riesgo de gobernanza.

Cuando se confía en el registro, la automatización reduce los costos de secuestro y error. Cuando la legitimidad del registro está en disputa, la automatización puede transmitir el fracaso institucional más rápido y más silenciosamente de lo que lo hacía la dependencia manual anterior.

La validación de origen de ruta sigue siendo técnicamente útil, y AFRINIC no debería retroceder de ella. La cuestión es qué economía institucional revela RPKI. Muestra que el registro ya no es solo un guardián de registros clerical cuyas entradas pueden ser inspeccionadas después del hecho. Es una capa de confianza delegada cuyos certificados pueden afectar el tratamiento de rutas en vivo.

En una región donde la escasez de IPv4 ha convertido los bloques de direcciones en insumos comerciales valiosos, donde el arrendamiento y las transferencias hacen común la separación entre titular y operador, y donde la gobernanza, los tribunales, la administración judicial, el control de cuentas y la precisión de los registros han sido todos estresados, esa capa de confianza se convierte en un riesgo de mercado y operativo por derecho propio.

El certificado detrás de la ruta

RPKI a menudo se explica como una respuesta técnica a un problema de seguridad de enrutamiento. El Protocolo de Frontera de Puerta de Enlace (BGP) permite que las redes anuncien la accesibilidad a prefijos IP, pero no fue construido originalmente para probar que el sistema autónomo anunciante está autorizado por el titular del recurso reconocido. Por lo tanto, errores, fugas y secuestros pueden propagarse porque los enrutadores ven una ruta, no una prueba legal o administrativa de autoridad de origen. RPKI añade una jerarquía de certificación de recursos. En la cima hay anclas de confianza asociadas con los registros regionales.

Debajo de ellas hay certificados que cubren recursos. Una autorización de origen de ruta dice, en efecto, que un sistema autónomo especificado puede originar un prefijo especificado, generalmente dentro de una longitud de prefijo máxima. Los validadores obtienen material del repositorio, verifican las cadenas de certificados y producen los estados en los que los filtros de ruta pueden actuar.

La mecánica importa porque revela la dependencia económica. La declaración de origen de ruta es criptográfica, pero la autoridad detrás de ella es institucional. Un validador no sabe por sí mismo si una empresa en Lagos, Mauricio, Johannesburgo, Nairobi, Dubái o Hong Kong tiene el mejor derecho contractual sobre un bloque. Sabe si un objeto publicado se encadena de vuelta a un ancla de confianza reconocida y se ajusta a los datos puestos a disposición a través de ese sistema. El certificado no elimina la necesidad de un registro. Hace que el reconocimiento del registro sea más difícil, más portátil y más automatizable.

En un modelo RPKI alojado, el registro o sus sistemas pueden crear y publicar material de certificación después de que el miembro utilice un portal o cuenta para expresar la autorización deseada. En un modelo delegado, un miembro puede ejecutar más de su propia operación de certificación, pero la cadena aún comienza desde el ancla de confianza del registro y la relación de certificado de recursos. De cualquier manera, el papel del registro no es incidental. Es la raíz institucional que permite a las partes que confían tratar un objeto criptográfico como significativo.

Si los registros de recursos del registro son incorrectos, si el control de la cuenta está comprometido, si la autoridad de un miembro está en disputa, si un certificado se revoca sin un proceso claro, o si la publicación se interrumpe, la capa de seguridad de enrutamiento hereda el problema.

Esto es diferente de la ciberseguridad ordinaria. Un cortafuegos, almacén de claves o enrutador puede auditarse como un activo bajo el control del operador. RPKI está parcialmente bajo el control del operador y parcialmente bajo un acuerdo de confianza regional. El operador puede elegir si crear una ROA, mantener su conjunto de rutas, asegurar sus cuentas y monitorear inválidos. No puede determinar por sí mismo si el registro regional sigue siendo legítimo, solvente, capaz de publicar, cuidadoso en la revocación o aislado de litigios.

Una cadena de certificados es por lo tanto un bien híbrido: parte software, parte derecho de registro, parte relación con miembros, parte confianza del mercado.

Ese carácter híbrido es fácil de pasar por alto cuando RPKI funciona. Un estado de origen de ruta válido se ve limpio. Un ingeniero de red ve que el prefijo está cubierto, el sistema autónomo de origen coincide y el validador está contento. Un proveedor de tránsito puede aumentar la preferencia de rutas válidas o filtrar inválidos. Un cliente puede solicitar una postura de seguridad de enrutamiento como parte de la adquisición. Un consejo directivo puede aceptar una breve garantía de que la empresa ha "implementado RPKI". Pero esa frase oculta la institución detrás de la implementación.

No dice nada sobre quién puede alterar la ROA mañana, qué sucede si el titular pierde el acceso al portal, si un arrendatario puede obtener la autorización correcta de un arrendador, cómo se maneja una transferencia disputada, si una orden judicial restringe cambios, o si un administrador judicial puede mantener los servicios de certificación neutrales.

La analogía económica es una carta de crédito más que un candado. La criptografía verifica que la carta es auténtica. El mercado aún pregunta si el banco la respalda. Si el banco está bien gobernado, capitalizado y supervisado legalmente, la carta es confiable. Si el banco está en administración judicial, luchando por los firmantes y sujeto a órdenes de congelación, la misma forma técnica conlleva un riesgo diferente. En RPKI, el registro no es un banco, pero realiza una función de confianza relacionada para la dependencia de origen de ruta.

Al mercado le importan menos los eslóganes institucionales que si la reclamación sobrevivirá al estrés.

Por eso la historia de RPKI de AFRINIC no puede separarse de su historia de gobernanza. El material de servicio público de AFRINIC coloca a RPKI junto a la gestión de recursos, DNS inverso, WHOIS, RDAP e IRR. Eso es preciso, pero subestima el carácter especial de RPKI. WHOIS y RDAP publican información. El DNS inverso delega una función de nomenclatura. Los objetos IRR guían la política de enrutamiento, a menudo con cautela porque la calidad de los datos varía. RPKI pide a los enrutadores que confíen en la autoridad criptográfica de recursos.

Cuanto más tratan las redes los inválidos como rutas a rechazar, más convierte RPKI el reconocimiento institucional en resultado operativo.

La consecuencia es un nuevo tipo de diligencia. Una empresa que compra o arrienda espacio IPv4 en la región de AFRINIC no solo pregunta si el bloque está enrutado, los contactos están actualizados, la reputación de abuso está limpia y el DNS inverso se puede delegar. Pregunta quién puede publicar ROAs, si las ROAs se pueden transferir o reemitir rápidamente, si las rutas de los clientes podrían volverse inválidas si surge una disputa de registro, y si la propia continuidad del registro podría afectar la publicación. Para un operador de red, esas preguntas son técnicas. Para un director financiero, son preguntas de protección de ingresos.

Para un abogado, son preguntas de autoridad y responsabilidad. Para un consejo directivo, son riesgo empresarial.

RPKI fuerza así un cambio de vocabulario. El problema importante no es simplemente "adopción de seguridad". Es confianza institucional delegada. Un sistema de seguridad de enrutamiento no puede ser juzgado solo por cuántos prefijos tienen ROAs o cuántas redes filtran inválidos. También debe ser juzgado por la resiliencia y moderación de la autoridad que puede emitir, alojar, revocar, suspender, preservar o no publicar el material subyacente. AFRINIC es un estudio de caso porque su crisis muestra lo que sucede cuando el entorno corporativo y legal del ancla de confianza ya no es invisible.

Por qué AFRINIC hace visible el pacto oculto

AFRINIC no es importante para esta pregunta porque sea únicamente incapaz de ejecutar servicios técnicos. El registro público sugiere lo contrario en un aspecto: el personal mantuvo muchos servicios operando a través de años de turbulencia. AFRINIC es importante porque expone condiciones que muchos sistemas de registro prefieren mantener abstractas. Es una corporación privada, basada en miembros, bajo la ley nacional. Realiza una función de coordinación regional con efectos transfronterizos. Sus miembros no pueden simplemente mover sus recursos africanos a otro registro regional si la gobernanza se vuelve incómoda.

Administra recursos IPv4 escasos cuyo valor de mercado puede superar las cuotas anuales de membresía. Ofrece servicios de confianza técnica que dependen del mismo sistema de reconocimiento que los tribunales, miembros y litigantes han impugnado.

Esa combinación hace que el pacto institucional sea inusualmente visible. En un registro estable, RPKI aparece como un servicio estándar. En el caso de AFRINIC, los eventos circundantes hacen explícita cada suposición. ¿Quién habla por el registro cuando no hay un consejo directivo normal? ¿Quién controla los presupuestos si las cuentas bancarias están restringidas? ¿Quién supervisa al personal durante la administración judicial? ¿Quién verifica la autoridad de los miembros cuando las credenciales electorales están en disputa? ¿Quién decide si el uso de recursos de un miembro viola la política?

¿Quién preserva la publicación de RPKI si el litigio solicita órdenes que afecten cuentas, recursos o control corporativo? ¿Quién evita que una disputa sobre los asientos del consejo se convierta en una disputa sobre la confianza operativa?

La respuesta no puede ser simplemente "la comunidad". Esa palabra hace un trabajo útil en el desarrollo de políticas, pero RPKI requiere autoridad operativa responsable. Una parte que confía en otro país no puede inspeccionar un consenso de lista de correo antes de aceptar o rechazar una ruta. Ve un objeto en un repositorio y un resultado de validación.

El sistema se basa por lo tanto en una cadena más estrecha de hechos institucionales: el recurso fue asignado o asignado; el titular u operador autorizado tiene autoridad; la cuenta es segura; el material de certificación se publicó bajo el control adecuado; y el registro sigue siendo capaz de servir a su función. El lenguaje comunitario puede explicar cómo surgen las políticas. No maneja por sí mismo el control de claves.

Tampoco puede la respuesta ser simplemente "tribunales". Los tribunales son esenciales porque AFRINIC no es soberano y sus miembros necesitan remedios legales. El nombramiento de un administrador judicial en Mauricio fue una medida de continuidad supervisada por el tribunal, no una interrupción de Internet. Mostró que las instituciones legales ordinarias pueden preservar una corporación privada que realiza una función técnica similar a la pública. Sin embargo, los tribunales no son operadores de enrutamiento y no se les debe pedir que rediseñen RPKI bajo presión de emergencia.

Un tribunal puede restringir la acción corporativa, nombrar un administrador judicial, ordenar aclaraciones, escuchar argumentos de liquidación o decidir reclamaciones contractuales. No puede ser la fuente diaria de confianza de que cada ROA permanezca operativamente neutral.

El problema económico es que RPKI colapsa la tolerancia a la demora. Un proceso judicial lento puede ser sobrevivible para una reclamación de daños. Una disputa de miembros lenta puede ser sobrevivible para una elección. Una transferencia lenta puede ser costosa pero negociable. Un problema de publicación de origen de ruta puede hacerse visible en minutos u horas si cambia el estado de validación y las redes lo aplican. Incluso si no ocurre una invalidación dramática, la posibilidad cambia el comportamiento. Los clientes piden garantías a los proveedores. Los arrendadores construyen cláusulas en torno al mantenimiento de la ROA.

Los compradores exigen condiciones de entrega. Los proveedores de tránsito preguntan por la higiene de rutas. Los servicios en la nube monitorean estados inválidos. La condición institucional del registro se convierte por lo tanto en parte de la discusión del nivel de servicio.

La crisis de AFRINIC también muestra cómo RPKI puede sentarse en la intersección de tres disputas que a menudo se mantienen separadas: legitimidad de gobernanza, precisión de registros y uso comercial. La legitimidad de gobernanza pregunta si el consejo, administrador judicial, personal y procesos corporativos tienen derecho a actuar. La precisión de registros pregunta si el registro conoce al verdadero titular y contactos autorizados. Las disputas de uso comercial preguntan si el arrendamiento, las transferencias o los clientes fuera de la región del titular son consistentes con la política y los acuerdos.

RPKI necesita que las tres sean estables. Si la legitimidad está en disputa, la autoridad de publicación se cuestiona. Si los datos son incorrectos, el actor equivocado puede crear o retener una ROA. Si el uso comercial está en disputa, el registro puede sentirse tentado a tratar la certificación como un punto de control en lugar de un servicio de seguridad neutral.

Esa tentación es la más importante. RPKI no debería convertirse en un arma de ejecución. Un registro debe poder corregir fraudes, suspender cuentas comprometidas, cumplir con órdenes legales y prevenir certificaciones falsas. Pero si puede usar la publicación de origen de ruta como palanca en disputas ordinarias sobre tarifas, interpretación de políticas, arrendamiento, transferencias o política de miembros, la capa de confianza se convierte en una capa de control de acceso.

Los operadores entonces enfrentan una elección entre adoptar RPKI por seguridad y limitar la adopción para evitar la dependencia de un registro en cuya discreción no confían. Ese sería un resultado perverso: una herramienta de seguridad debilitada por el riesgo de gobernanza.

Los hechos particulares de AFRINIC dan fuerza a este problema. Las alegaciones de 2019 sobre registros de direcciones hicieron que la integridad del libro mayor fuera una preocupación real. La disputa de Cloud Innovation hizo que el uso comercial de IPv4 y la interpretación de políticas fueran explosivos económicamente. La congelación de cuentas reportada en 2021 hizo visible la solvencia institucional y el efectivo operativo. La administración judicial hizo visible la continuidad judicial. Las disputas electorales de 2025 hicieron visible la autoridad de los miembros y la legitimidad del consejo.

Los litigios que continúan hasta 2026 hicieron que la recuperación fuera incompleta. Cada episodio toca una condición previa de RPKI confiable: registros precisos, cuentas confiables, operación solvente, autoridad legal, supervisión legítima y publicación estable.

El resultado no es un argumento en contra de RPKI. Es un argumento para tratar a RPKI como infraestructura de confianza crítica en lugar de un complemento de registro. En la región de AFRINIC, y eventualmente en todas las regiones, la certificación de origen de ruta necesita una constitución de continuidad propia. Debería estar aislada de la ejecución discrecional. Debería tener autoridad de emergencia documentada. Debería proteger la publicación durante el estrés corporativo. Debería distinguir el compromiso de cuenta de la disputa de miembros. Debería dar a los titulares de recursos y partes que confían aviso claro de los cambios.

Debería ser auditada como un servicio de alto impacto, no simplemente contada como una métrica de adopción.

AFRINIC hace visible el problema porque su crisis comprimió años de debate abstracto sobre gobernanza en preguntas prácticas que las redes pueden entender. Si la ruta es válida porque la cadena de confianza del registro lo dice, ¿qué sucede cuando el registro mismo está en los tribunales?

La escasez convierte la publicación en palanca

El riesgo de gobernanza de RPKI es más agudo en IPv4 que en IPv6 porque la escasez da a cada control administrativo un precio. El espacio de direcciones IPv6 es lo suficientemente abundante como para que la pérdida, demora o disputa en torno a una asignación sea grave pero generalmente no un evento de escasez en todo el mercado. IPv4 es diferente. El propio material de agotamiento de AFRINIC dice que la región entró en la Fase 1 de Aterrizaje Suave en marzo de 2017 y en la Fase 2 en enero de 2020. Describe IPv4 como escaso y explica que la política de asignación de la región se movió a fases restringidas después del agotamiento global.

Un informe público posterior en 2026 citó a un ejecutivo de AFRINIC diciendo que el registro aún tenía 773,376 direcciones IPv4 no asignadas y expresando entusiasmo por llegar a cero para que la conversación pudiera pasar a IPv6. Esa aspiración no elimina el problema de transición. Lo confirma.

IPv4 sigue siendo la capa de compatibilidad para gran parte de Internet comercial. Empresas, plataformas de contenido, empresas de alojamiento, redes de consumidores, servicios públicos, sistemas antia buso y entornos de clientes heredados aún dependen de la accesibilidad IPv4. El despliegue de IPv6 es importante y debería continuar, pero IPv6 no es un sustituto simple de activos en la realidad comercial actual. Una empresa que necesita IPv4 lista para el cliente no siempre puede reemplazarlo con un discurso estratégico sobre el futuro. Debe comprar, arrendar, transferir, limpiar, enrutar y certificar números escasos hoy.

La escasez cambia el significado de una ROA. En un sistema abundante, una autorización de origen de ruta errónea o retrasada puede ser un defecto operativo. En un sistema escaso, puede perjudicar un flujo de ingresos respaldado por activos. Un bloque IPv4 limpio con registro estable, DNS inverso, contactos de abuso y autoridad RPKI puede soportar clientes de alojamiento, capacidad en la nube, conectividad empresarial, servicios gestionados, supuestos financieros e ingresos por arrendamiento.

Un bloque cuyo estado ROA depende de una cuenta de titular en disputa, una transferencia impugnada, autoridad de arrendador poco clara o un archivo de ejecución del registro conlleva un descuento. La misma longitud de prefijo puede tener diferente calidad económica dependiendo de la confianza en torno a la publicación.

Las transferencias y arrendamientos hacen esto más complejo. Un titular puede retener la relación con el registro mientras un cliente o arrendatario opera la ruta. Un comprador puede querer que una ROA cambie de origen después del cierre. Un corredor puede necesitar probar que el vendedor puede entregar no solo un contrato privado sino también la autoridad de origen de ruta reconocida por el registro. Un arrendatario puede necesitar que el arrendador publique una ROA para el sistema autónomo del arrendatario, o puede necesitar control delegado bajo términos claros.

Si el registro trata la delegación comercial como sospechosa por defecto, o si la interpretación de la política sobre el uso fuera de la región no está resuelta, las partes no pueden tratar a RPKI como una capa de seguridad neutral. Deben tratarlo como un posible punto de estrangulamiento.

El conflicto de AFRINIC con Cloud Innovation se sienta en esta intersección. Análisis públicos han descrito la disputa como involucrando millones de números IPv4, alegaciones por parte de AFRINIC de que el uso violaba las expectativas del acuerdo de servicio o la política, y la posición de Cloud Innovation de que AFRINIC estaba afirmando un control impropio sobre un negocio que utilizaba espacio de direcciones escaso. Los méritos legales exactos pertenecen a los tribunales y contratos. La lección económica es visible sin decidirlos.

Cuando un registro puede amenazar la posición de recursos de un gran titular, la autoridad de origen de ruta se convierte en parte del conjunto de remedios percibidos incluso si la disputa inmediata se enmarca en términos de membresía o condiciones de asignación. Cada titular entonces pregunta si un servicio de certificación podría convertirse en daño colateral.

El riesgo no se limita a la revocación. La no publicación puede ser igualmente importante. Si un servicio de registro no está disponible, si una cuenta de portal está suspendida, si un administrador judicial congela las solicitudes de cambio, si el personal duda en procesar las actualizaciones de RPKI de un miembro en disputa, o si una orden judicial se interpreta con cautela, un titular puede no poder crear o ajustar ROAs a tiempo para un cambio de red. En un mundo de validación de origen de ruta, la demora no es neutral.

Puede restringir una migración, ralentizar la incorporación de clientes, complicar una transferencia, socavar la planificación de redundancia o forzar a los operadores a elegir entre anunciar una ruta sin cobertura ROA y retrasar el servicio.

Cuanto más redes rechazan rutas inválidas, más importa esto. El propósito de RPKI es hacer que los errores de origen sean lo suficientemente costosos para disuadir secuestros y fugas. Pero la ejecución cambia la estructura de negociación. Si un cliente sabe que el prefijo de un proveedor podría volverse inválido porque el proveedor carece de control ROA confiable, el cliente puede exigir una garantía contractual más fuerte o elegir otro proveedor. Si un comprador no puede estar seguro de que el cierre incluirá una publicación de origen de ruta limpia, puede retener el pago o exigir indemnizaciones.

Si un arrendador no puede garantizar el mantenimiento de la ROA para el origen del arrendatario, el precio del arrendamiento cambia. Si un banco ve que los ingresos respaldados por direcciones dependen de la discreción del registro, el préstamo recibe un recorte de gobernanza.

Esto es palanca institucional incluso cuando nadie tiene la intención de usarla. Un registro puede no tener la intención de utilizar RPKI como arma. El mero hecho de que la publicación dependa de la autoridad reconocida por el registro le da poder latente. En un entorno de alta confianza, el poder latente es aceptable porque está limitado por normas, contratos, debido proceso y disciplina de reputación. En un entorno de baja confianza, el poder latente se valora como riesgo. La crisis de AFRINIC redujo la tolerancia del mercado para asumir restricciones benévolas.

Las garantías oficiales sobre la continuidad son evidencia útil de intención, pero no pueden cerrar la cuestión analítica. La declaración de la NRO sobre la administración judicial dijo que el administrador judicial ayudaría a garantizar que los miembros siguieran recibiendo servicios de registro. Eso importa. Pero la confianza en el origen de ruta requiere más que una declaración general de continuidad del servicio.

Requiere salvaguardas específicas del servicio: qué sucede con las ROAs alojadas durante la administración judicial; quién puede autorizar cambios; si los recursos en disputa permanecen en un estado de retención; qué aviso se da antes de la revocación; cómo se monitorea la integridad de la publicación; si el personal puede procesar solicitudes urgentes de seguridad de enrutamiento; y cómo un miembro puede apelar una decisión que afecte la certificación lo suficientemente rápido para las necesidades operativas.

La escasez también cambia los incentivos políticos. Una región con IPv4 escaso puede sentirse tentada a tratar la movilidad de recursos y el uso comercial como política económica regional. El lenguaje puede ser administración, conservación o desarrollo. El efecto puede ser el control sobre quién puede monetizar, arrendar, transferir o enrutar direcciones. RPKI no debería ser el mecanismo a través del cual ese control se introduce de contrabando en el enrutamiento. Si un debate político quiere limitar las transferencias, debería decirlo y enfrentar escrutinio.

Si una disputa contractual se refiere a un incumplimiento, debería usar remedios legales proporcionados. El sistema de origen de ruta debería seguir siendo una capa de seguridad y autoridad, no una capa de permiso de mercado disfrazada.

El caso de AFRINIC convierte por lo tanto una cuestión técnica de adopción en una cuestión de diseño de gobernanza. El IPv4 escaso hace que cada canal de publicación controlado por el registro sea económicamente significativo. RPKI es el canal más agudo porque sus resultados pueden ser aplicados automáticamente por otros. Un registro creíble debe probar que la adopción de RPKI no aumentará la dependencia de una autoridad arbitraria. Debe mostrar que la ruta más segura es también la ruta más protegida institucionalmente.

Cloud Innovation y la prima de continuidad

La disputa de Cloud Innovation a menudo se narra como un choque entre un registro regional y un gran titular comercial de recursos IPv4 africanos. Eso es cierto pero incompleto. Para el análisis de RPKI, la disputa importa porque muestra cómo un desacuerdo sobre el uso de recursos puede convertirse en una prima de continuidad aplicada a los servicios de confianza técnica. El mercado no tiene que decidir si AFRINIC o Cloud Innovation tiene razón en cada punto legal.

Solo tiene que observar que la ejecución del registro, los remedios legales, las congelaciones de cuentas bancarias, el estado de miembro, el control de cuentas y la legitimidad institucional se vincularon. Una vez vinculados, cada contraparte dependiente de la certificación tiene que preguntarse hasta dónde puede extenderse el vínculo.

El informe público del Proyecto de Gobernanza de Internet en 2021 describió la acción de AFRINIC contra Cloud Innovation como una respuesta moldeada por problemas anteriores de gobernanza e integridad de registros, pero criticada como una reacción exagerada basada en premisas políticas débiles y mala gestión de riesgos. También criticó la respuesta legal de Cloud Innovation como destructiva. Ese relato equilibrado es útil porque el problema institucional no es unilateral. Un registro que nunca aplica reglas invitaría al fraude, registros falsos y mal uso.

Un miembro que puede inmovilizar a un registro regional a través de litigios crea un riesgo sistémico. Pero un registro que utiliza discreción con consecuencias graves contra recursos en vivo crea el riesgo de imagen especular. RPKI se sitúa entre esos riesgos.

La congelación reportada de hasta 50 millones de dólares en cuentas bancarias de AFRINIC hizo que el problema fuera inevitable. Una congelación bancaria no altera directamente una ROA, pero cambia la capacidad de la institución para operar, pagar al personal, mantener sistemas y tranquilizar a los miembros. Un administrador judicial puede preservar la continuidad, pero la administración judicial en sí misma señala que la gobernanza ordinaria ha fallado. Una elección del consejo puede restaurar la autoridad formal, pero si la elección se retrasa, impugna, suspende, anula o se relitiga, cada paso se convierte en un evento de confianza.

Las partes que confían en RPKI no necesitan seguir cada alegato para entender la pregunta básica: ¿es la institución del ancla de confianza lo suficientemente estable como para que la publicación de origen de ruta siga siendo neutral y confiable?

La prima de continuidad es el costo que se añade a las transacciones por lo demás normales porque existe esa pregunta. Aparece cuando un comprador de espacio administrado por AFRINIC exige representaciones adicionales sobre el control de RPKI. Aparece cuando un arrendatario pregunta si el arrendador puede mantener las ROAs durante todo el arrendamiento. Aparece cuando un cliente de la nube pregunta si las direcciones de un proveedor están expuestas a la acción del registro. Aparece cuando un proveedor de tránsito pide prueba de que el origen está debidamente autorizado.

Aparece cuando un prestamista descuenta ingresos respaldados por tenencias de direcciones impugnadas o sensibles a políticas. Aparece cuando los ingenieros pasan tiempo monitoreando el riesgo institucional en lugar de solo el riesgo de ruta.

Esta prima no es irracional. En RPKI, la diferencia entre válido e inválido puede ser operativamente decisiva para las redes que aplican la validación de origen de ruta. Un titular de recursos que pierde la capacidad de publicar ROAs correctas aún puede anunciar rutas, pero algunas contrapartes pueden tratar esas rutas con sospecha o rechazarlas si surgen estados inválidos conflictivos. Un titular que no puede actualizar ROAs durante una migración de origen puede enfrentar retrasos. Un titular atrapado en una disputa de transferencia puede no poder entregar la condición de seguridad de enrutamiento esperada al cierre.

Si suficientes redes importantes tratan a RPKI como higiene normal, un control deficiente de RPKI se convierte en un defecto comercial.

La disputa de AFRINIC con Cloud Innovation también destaca la importancia de separar la ejecución de la neutralidad del servicio. Supongamos que un registro cree que un titular ha incumplido los términos del acuerdo. El registro puede necesitar investigar, exigir información, colocar una marca de disputa, buscar alivio judicial o, en casos extremos, buscar la terminación. Pero la neutralidad del servicio hace una pregunta más estrecha: mientras la disputa no esté resuelta, ¿deben mantenerse los servicios de seguridad necesarios para proteger la red en vivo a menos que una razón legal o técnica específica requiera lo contrario?

La respuesta debería ser generalmente sí. De lo contrario, el registro puede crear la misma inestabilidad que afirma prevenir.

El mismo principio se aplica al control de cuentas. Si una cuenta de miembro está comprometida, los cambios de RPKI deben congelarse o revertirse según sea necesario. Si un miembro se niega a pagar tarifas, puede haber consecuencias contractuales. Si un miembro está en una disputa de políticas, el registro puede restringir ciertas transacciones. Pero las condiciones que afectan la publicación de origen de ruta deben ser explícitas.

Un titular debe saber si la falta de pago, la revisión de recursos, la retención de transferencias, la restricción judicial, una disputa de sucesión corporativa o un presunto mal uso pueden afectar la publicación de RPKI, y en qué orden. La ambigüedad es costosa porque deja que cada disputa arroje una sombra sobre la dependencia de la seguridad de enrutamiento.

Esto es particularmente importante donde el titular y el operador difieren. El arrendamiento de IPv4, las asignaciones de clientes, el alojamiento gestionado y las operaciones de red externalizadas a menudo involucran a una parte que mantiene la relación de registro y otra que necesita la autoridad de origen de ruta para el servicio. RPKI puede hacer que esa relación sea más segura al hacer explícita la autoridad, o más frágil al forzar cada arreglo comercial a través de la discreción opaca del registro. Un registro no necesita bendecir cada arrendamiento como política de mercado.

Necesita una forma clara de permitir que el titular reconocido autorice orígenes operativos sin convertir cada autorización en un juicio ideológico sobre la comercialización de IPv4.

El conflicto de Cloud Innovation muestra el costo de no construir ese límite temprano. Una vez que la ejecución se mezcla con argumentos sobre el uso regional, la propiedad de direcciones, el arrendamiento, las tácticas de litigio, la supervivencia del registro y el control del consejo, cada servicio técnico se sospecha que tiene un peso político oculto. Incluso si el personal de AFRINIC continúa operando sistemas profesionalmente, las contrapartes no pueden ignorar el contexto institucional. La capa de confianza se ha vuelto política y legalmente ruidosa.

La lección correcta no es que los registros deban evitar la ejecución. Es que la ejecución debe estar aislada de la continuidad de la seguridad de enrutamiento.

Un modelo serio de gobernanza de RPKI establecería que los servicios de certificación para recursos existentes en vivo se mantienen presumiblemente durante las disputas; que las restricciones severas requieren motivos legales o de seguridad definidos; que las acciones de emergencia se registran y son revisables; que los cambios de publicación se notifican; que se considera la continuidad de origen de ruta para los usuarios posteriores inocentes; y que el registro no puede usar RPKI como palanca económica en una lucha más amplia.

Tal modelo protegería tanto al registro como al miembro, porque reduciría el incentivo para tratar cada carta de ejecución como una amenaza a las rutas en vivo.

La crisis de AFRINIC convirtió esto de teoría en práctica de mercado. La prima ahora existe porque los participantes pueden imaginar la cadena de disputa a institución a publicación a ruta. La seguridad de RPKI no puede madurar en ese entorno a menos que la cadena se haga más segura.

Administración judicial, elecciones y autoridad de firma

La administración judicial es un dispositivo legal, pero en un contexto de registro también es una pregunta sobre quién puede firmar. No solo quién puede firmar un cheque, un contrato o una resolución del consejo, sino quién puede autorizar las condiciones institucionales bajo las cuales se emiten, mantienen y publican los certificados.

La declaración de la NRO en 2023 dijo que el Tribunal Supremo de Mauricio había designado a un administrador judicial para AFRINIC, restringió acciones de reubicación o toma de control, y encargó al administrador judicial preservar los activos del statu quo, supervisar las elecciones y facilitar un consejo directivo y director ejecutivo adecuados. Como descripción fáctica, eso es central. Muestra que la supervisión judicial estaba destinada a preservar la continuidad en lugar de liquidar la función del registro.

Para RPKI, sin embargo, la preservación necesita traducirse en autoridad operativa. Un administrador judicial que preserva activos no es automáticamente un modelo de gobernanza de seguridad de enrutamiento. Si los servicios RPKI alojados continúan, ¿bajo qué autoridad operativa delegada actúa el personal? Si un miembro en disputa solicita una actualización de ROA, ¿es una solicitud de servicio ordinaria, un cambio al statu quo o una decisión que requiere revisión legal? Si un certificado debe ser revocado debido a un compromiso, ¿quién aprueba la acción de emergencia?

Si una transferencia se cierra durante la administración judicial, ¿se puede crear nuevo material de origen de ruta a tiempo? Si una orden judicial restringe ciertos cambios de miembros, ¿cómo se mapea esa restricción a la publicación de RPKI? Estas preguntas no son académicas. Son la traducción operativa de la angustia corporativa.

Un registro saludable responde a la mayoría de ellas antes de la crisis. Tiene controles internos, autoridad delegada, categorías de servicio documentadas, planes de respuesta a incidentes, registros de auditoría, reglas de notificación a miembros y rutas de escalada. Un registro angustiado las responde bajo presión. El período de administración judicial de AFRINIC importa por lo tanto no porque necesariamente causara una falla de RPKI, sino porque reveló la ausencia de una constitución de continuidad ampliamente entendida para la capa de confianza.

El público aprendió que el registro podía ser puesto bajo administración judicial; no aprendió, con igual claridad, cómo cada servicio técnico crítico estaba aislado del conflicto corporativo.

La secuencia electoral de 2025 extendió el problema de la administración judicial a la legitimidad. The Register informó que AFRINIC no había podido elegir un consejo desde 2022 y que un administrador judicial planeaba elecciones para junio de 2025, nombrando a abogados británicos senior para supervisar las nominaciones en medio de preocupaciones sobre interferencias. Más tarde informó sobre preocupaciones de ICANN, un proceso judicial, votación continua, luego suspensión y anulación después de alegaciones sobre poderes notariales y documentación de votantes.

Informes posteriores describieron una nueva elección que produjo directores pero dejó posibles desafíos legales, investigaciones gubernamentales e incomodidad en torno a la influencia. Estos detalles importan para RPKI porque la legitimidad del consejo es la capa de gobernanza por encima de la confianza operativa.

El consejo no crea cada ROA. No debería hacerlo. Pero el consejo establece las condiciones bajo las cuales se gestionan la política de certificación, la respuesta legal, el estado de los miembros, los presupuestos, el personal, los controles de seguridad y las comunicaciones de crisis. Si la legitimidad del consejo está en disputa, las decisiones sobre acciones severas contra miembros o políticas que afecten la certificación se vuelven más fáciles de impugnar. Si el consejo está ausente, el personal puede volverse cauteloso.

Si un administrador judicial es la autoridad práctica, cada decisión sensible corre el riesgo de ser caracterizada como más allá de la preservación. Si ICANN u otro organismo externo interviene, los miembros pueden preguntarse si la gobernanza corporativa local o la coordinación global está a cargo. RPKI necesita una respuesta aburrida sobre quién puede actuar. La historia electoral de AFRINIC hizo que la respuesta fuera menos aburrida.

Esto no es una súplica por la tecnocracia sobre la ley. La responsabilidad legal es necesaria. Un registro que controla recursos escasos y servicios de confianza debe estar sujeto a tribunales, contratos y control de los miembros. El problema no es que los tribunales puedan supervisar AFRINIC. El problema es que la publicación de seguridad de enrutamiento no tiene tolerancia para un vacío de gobernanza. La ley puede revisar la autoridad; no puede sustituir la confianza operativa diaria.

Si cada acto impugnado del consejo puede poner en duda la legitimidad de la postura de seguridad de la institución, el registro necesita una separación más fuerte entre la disputa corporativa y la operación de servicios críticos.

Esa separación puede diseñarse. Las operaciones de RPKI pueden colocarse bajo un mandato de continuidad de servicio definido que sobreviva a los vacíos del consejo, sujeto a auditoría y supervisión de emergencia. Los cambios de certificación pueden clasificarse: creación, eliminación o modificación de ROA autorizada por el miembro de rutina; emergencia de seguridad; transferencia de recursos; recurso restringido por tribunal; autoridad de miembro en disputa; sospecha de compromiso de cuenta; acción de ejecución severa. Cada clase puede tener un aprobador documentado y una regla de notificación.

Los administradores judiciales pueden heredar un manual de procedimientos en lugar de improvisar uno. Los consejos pueden supervisar políticas y presupuestos sin microgestionar objetos de origen de ruta. Los tribunales pueden ver qué acciones preservan el statu quo y cuáles alteran derechos.

La crisis de AFRINIC sugiere que tal diseño no es opcional. Un ancla de confianza de registro es un punto único de dependencia institucional incluso si el enrutamiento de Internet es distribuido. Los validadores de todo el mundo obtienen material bajo el supuesto de que la jerarquía refleja una autoridad de recursos estable. Si la institución detrás de la jerarquía no puede mostrar cómo la autoridad sobrevive a la administración judicial, elecciones impugnadas o litigios, los operadores deben aceptar el riesgo oculto o reducir la dependencia. Ninguno es deseable.

El mercado hará preguntas simples. Si AFRINIC no tiene consejo, ¿puede un miembro aún crear una ROA? Si un administrador judicial está a cargo, ¿puede un destinatario de transferencia obtener autoridad de origen de ruta? Si las credenciales de voto de un miembro están en disputa, ¿afecta eso a su cuenta técnica? Si un tribunal más tarde cuestiona una elección del consejo, ¿qué sucede con las decisiones de certificación tomadas mientras tanto? Si ICANN amenaza con una revisión de cumplimiento, ¿puede otro registro intervenir para funciones de registro de emergencia, e incluiría eso material de confianza RPKI?

El registro público actual da respuestas institucionales parciales pero no una constitución de nivel de servicio completa. Esa brecha es el riesgo.

La lección más amplia es que la autoridad de firma en la gobernanza de Internet no es solo criptográfica. Las claves criptográficas son controladas por personas, contratos, cuentas, cuerpos corporativos, tribunales y presupuestos. Si esas capas fallan, la clave aún puede firmar matemáticamente. La pregunta del mercado es si debe confiar en la firma como institucionalmente legítima. La administración judicial de AFRINIC y el estrés electoral hacen que esa pregunta sea inevitable.

Integridad de registros y dependencia criptográfica

RPKI solo puede ser tan confiable como los hechos del registro que lo sustentan. La criptografía protege la autenticidad de una declaración; no prueba que el registro subyacente sea verdadero. Si se registra un titular falso, el sistema puede publicar fielmente una autoridad falsa. Si un contacto autorizado está desactualizado, la persona equivocada puede controlar la publicación. Si los recursos de una empresa inactiva se movieron a través de documentación inadecuada, una ROA puede hacer que la ruta resultante se vea más limpia de lo que la historia merece.

Es por esto que el episodio reportado de corrupción de registros de direcciones de AFRINIC es directamente relevante para el riesgo de gobernanza de RPKI, incluso si los informes públicos no trataban principalmente sobre RPKI.

KrebsOnSecurity informó en 2019 que las alegaciones derivadas de una investigación de varios años involucraban valiosos bloques IPv4 africanos asociados con entidades inactivas o desaparecidas, empresas vinculadas a un excoordinador de políticas de AFRINIC, y un valor de mercado estimado que excede los 50 millones de dólares para las direcciones afectadas identificadas por el investigador Ron Guilmette. El informe dijo que el director ejecutivo de AFRINIC en ese momento reconoció estar al tanto de las alegaciones y dijo que la organización estaba investigando. Esas son alegaciones e informes, no un relato judicial final de cada hecho.

Pero la importancia económica es clara: una vez que IPv4 tiene un precio de mercado, los registros débiles se convierten en una forma de riesgo de custodia.

RPKI magnifica el riesgo de custodia porque da a la autoridad reconocida por el registro una expresión criptográfica. Un cambio falso en la base de datos solía importar porque afectaba a WHOIS, la confianza en las transferencias, el contacto de abuso y las reclamaciones de control. Bajo RPKI, también puede afectar qué sistema autónomo puede ser autorizado para originar el prefijo. El sistema no está diseñado para investigar la historia de sucesión corporativa o el fraude de empresas inactivas en el momento de la validación. Confía en que el registro ha hecho ese trabajo correctamente.

Un validador que ve una ROA válida no tiene memoria independiente de la asignación original, la historia de fusiones, el funcionario que firmó un formulario o las credenciales del personal utilizadas para cambiar un registro.

Esto no hace que RPKI sea inseguro por diseño. Significa que RPKI debe estar emparejado con una gobernanza de registros más fuerte. Un registro de alta calidad puede usar RPKI para reducir el riesgo de secuestro precisamente porque tiene registros de titulares confiables y cuentas de miembros seguras. Un registro débil puede usar la misma maquinaria criptográfica para endurecer errores. La diferencia es la disciplina institucional, no las matemáticas.

El desafío de AFRINIC es doble. Debe reparar y proteger los registros históricos porque los informes públicos han hecho de la corrupción de registros una preocupación creíble. También debe evitar convertir la reparación de registros en una discreción ilimitada que amenace a los titulares legítimos. Ambas condiciones importan para RPKI. Si la reparación de registros es demasiado débil, se puede certificar una autoridad falsa o comprometida.

Si la reparación es demasiado amplia e impredecible, los titulares pueden temer que la certificación sea provisional a la interpretación futura del registro sobre el uso antiguo, la necesidad antigua o la política antigua. La confianza requiere un camino estrecho entre esos riesgos.

Ese camino comienza separando la verdad de la preferencia. Un registro tiene toda la razón para verificar si un titular existe, si un representante está autorizado, si un sucesor corporativo tiene documentación válida, si una cuenta fue comprometida, si una fuente de transferencia es el titular reconocido, si una orden judicial restringe la acción, y si una ROA solicitada se ajusta al recurso registrado. Esas son preguntas de autoridad. Son directamente relevantes para RPKI.

Un registro debería ser mucho más cauteloso al usar la publicación de RPKI para vigilar si le gusta el modelo de negocio del titular, la estrategia de arrendamiento, la geografía de clientes o la visión de los mercados IPv4. Esas son disputas políticas o comerciales, no automáticamente defectos de certificación.

El control de cuentas es un riesgo especial. RPKI es operativamente poderoso porque una credencial de portal o clave delegada puede cambiar el estado de origen de ruta. Si una cuenta de miembro es robada, coaccionada, comprada, mal utilizada por un ex empleado o manipulada a través de un poder notarial impugnado, la autoridad de origen de ruta puede verse afectada. Las controversias electorales de AFRINIC de 2025 involucraron alegaciones sobre credenciales y poderes notariales en el contexto de la votación. Esas alegaciones no prueban por sí mismas un compromiso de cuenta RPKI.

Sin embargo, ilustran por qué los controles de autoridad de miembros importan. Un registro que no puede verificar de manera convincente quién puede votar, nombrar un apoderado o actuar por un miembro tendrá dificultades para tranquilizar al mercado de que todas las acciones de cuentas de alto impacto están protegidas.

La respuesta no es publicar información privada de los miembros indiscriminadamente. Es construir controles de autoridad auditables. Para RPKI, eso significa autenticación fuerte, separación clara de roles, confirmación de cambios, registros a prueba de manipulaciones, control dual para acciones severas, procedimientos de bloqueo de emergencia, notificación a miembros y revisión independiente después de cambios impugnados. También significa separar la autoridad de voto de la autoridad técnica.

Una persona que puede votar en una elección no debería poder cambiar automáticamente las autorizaciones de origen de ruta a menos que el miembro haya otorgado expresamente ese rol operativo. Un abogado con un poder notarial para representación corporativa puede no ser el ingeniero de redes que debería controlar las ROAs. La autoridad debe ser granular.

La precisión de los registros también afecta las relaciones arrendador-arrendatario. Si un titular arrienda direcciones a un operador, el registro aún puede mostrar al titular mientras RPKI autoriza el origen del operador. Eso no es necesariamente un defecto; puede ser una expresión precisa de la delegación comercial. Pero requiere claridad. El registro debe mostrar suficiente responsabilidad para abuso, contacto y autoridad sin forzar cada término comercial en la base de datos pública. La ROA debe entenderse como una autorización operativa, no una transferencia de título.

Si el arrendamiento termina, el titular debe poder retirar o cambiar la ROA. Si el arrendamiento está en disputa, la continuidad de los clientes posteriores puede necesitar una ventana de curación definida. Sin tales reglas, RPKI se convierte en un amplificador de disputas.

La historia reportada de corrupción de registros de AFRINIC debería por lo tanto empujar a la institución hacia una gobernanza de certificación más precisa, no hacia una sospecha general de todo uso comercial de direcciones. La lección de un escándalo de registros es que la autoridad fáctica debe ser verificada. No es que el registro deba ejercer los servicios de seguridad de enrutamiento como control económico general. Un ecosistema RPKI limpio necesita tanto pruebas más sólidas como una discreción más estrecha.

El mercado juzgará por el comportamiento. Si AFRINIC puede mostrar que los cambios de RPKI son rastreables a una autoridad verificada, que los recursos en disputa se manejan a través de categorías de estado transparentes, que las acciones severas de certificación son raras y razonadas, y que las autorizaciones operativas ordinarias se procesan dentro de plazos establecidos, la confianza aumentará. Si la certificación parece vulnerable a la política, el estado de ánimo de ejecución, los controles de cuenta débiles o la reparación de registros opaca, la confianza disminuirá.

Una capa de confianza criptográfica no puede superar la calidad institucional de los registros que certifica.

Revocación, no publicación y el riesgo silencioso de invalidez

El miedo dramático en la gobernanza de RPKI es la revocación: el registro o la autoridad de certificación retira el material de certificación y una ruta que antes era válida se vuelve inválida o descubierta. Ese riesgo es real, pero es solo una parte del problema.

Los riesgos más silenciosos son a menudo más probables y más importantes comercialmente: un miembro no puede publicar una ROA necesaria; una ROA antigua permanece en su lugar después de un cambio de negocio; un nuevo origen no puede ser autorizado antes de una migración; un destinatario de transferencia espera la certificación; un recurso en disputa permanece en el limbo; un repositorio de publicación falla; un validador ve material obsoleto; o un registro duda en procesar una solicitud porque la autoridad legal no está clara.

En la economía del enrutamiento, la inacción puede ser acción. Un operador de centro de datos que mueve clientes a un nuevo sistema autónomo necesita cambios oportunos de ROA. Un proveedor de nube que divide el tráfico entre proveedores ascendentes puede necesitar ajustes de prefijo máximo. Un comprador que completa una transferencia IPv4 puede necesitar autoridad de origen de ruta inmediata para incorporar clientes. Un arrendador que autoriza el origen de un arrendatario puede necesitar una publicación predecible durante todo el plazo.

Si el registro no puede actuar, el operador puede enfrentar anuncios inválidos, anuncios no validados menos seguros, filtrado de rutas por redes estrictas o servicio retrasado. La ausencia de una decisión adversa no elimina el costo.

El estrés institucional de AFRINIC hace que el riesgo de no publicación sea plausible incluso sin evidencia de mala conducta específica de RPKI. Una congelación bancaria puede afectar al personal y los sistemas. Un administrador judicial puede crear cautela en torno a los cambios que podrían ser vistos como alteración del statu quo. Un vacío en el consejo puede dejar al personal inseguro sobre decisiones sensibles. El litigio puede llevar a los abogados a revisar acciones que antes eran rutinarias. Las disputas electorales pueden cuestionar la autoridad de los miembros. Una solicitud de liquidación puede generar temores de continuidad.

Cada condición puede ralentizar la capa de servicio operativo incluso si todos los involucrados quieren preservar Internet.

Es por eso que los cortafuegos de servicio importan. Un registro debe distinguir entre cambios que preservan la continuidad operativa en vivo y cambios que alteran el derecho a los recursos. Actualizar una ROA para reflejar una migración de red ya autorizada puede ser preservar la continuidad. Crear una ROA para una parte cuya autoridad está en disputa puede requerir retención y revisión. Eliminar una ROA debido a un compromiso de cuenta probado puede ser una acción de seguridad de emergencia. Eliminar una ROA debido a una disputa comercial no resuelta puede ser un exceso a menos que una orden judicial o una regla clara lo requiera.

El registro debe clasificar la acción, no simplemente tratar todos los cambios de RPKI como privilegios discrecionales.

La gobernanza de la revocación debería ser especialmente estricta. En un sistema donde las redes que confían pueden descartar rutas inválidas, la revocación puede tener efectos posteriores más allá del miembro inmediato. Puede afectar a clientes, la accesibilidad del contenido, el acceso empresarial, los servicios públicos y la reputación. Algunas revocaciones son necesarias: claves comprometidas, autoridad falsa, devolución de recursos, transferencia completada, certificación duplicada, orden judicial o fraude probado. Pero necesario no significa casual.

El registro debe tener motivos definidos, notificación cuando sea factible, excepciones de emergencia, períodos de curación cuando sea seguro, registro, apelación y divulgación posterior al incidente al menos de forma agregada. Un certificado de origen de ruta no debería ser más fácil de interrumpir que una suscripción a una lista de correo.

La gobernanza de la no publicación es más difícil porque a menudo se esconde dentro de la demora. Un registro puede dañar la confianza sin tomar una decisión adversa formal. Simplemente puede no procesar una solicitud. En un entorno comercial normal, la demora puede medirse contra un estándar de servicio. En un entorno de registro angustiado, la demora puede explicarse por cautela legal, autoridad faltante, escasez de personal, mantenimiento del sistema o incertidumbre política. Al mercado no le importa qué categoría interna se aplica si el resultado es un despliegue de cliente perdido.

RPKI necesita compromisos de servicio con plazos y rutas de escalada precisamente porque la validación de enrutamiento automatizada comprime el costo de la demora.

La crisis de gobernanza más amplia de AFRINIC también plantea la cuestión de la sustitución de emergencia. The Register informó que ICANN advirtió en 2025 que si AFRINIC fallaba en una revisión de cumplimiento, se podría pedir a otro registro regional que interviniera como registro de emergencia para África. Esa posibilidad se describió en el contexto de las preocupaciones sobre la elección y el mandato de AFRINIC, no como un plan de contingencia de RPKI. Sin embargo, plantea la pregunta obvia: si un registro de emergencia tuviera que preservar los servicios de números, ¿cómo se migraría o mantendría el material de confianza RPKI?

¿Cambiarían los anclajes de confianza? ¿Seguirían siendo válidas las ROAs existentes? ¿Quién notificaría a las partes que confían? ¿Cómo probarían los titulares su autoridad? ¿Cómo interactuarían los tribunales de Mauricio con un plan de continuidad entre registros?

Esas preguntas no deberían dejarse para el día de la crisis. El valor de RPKI depende de la certeza enrutable. Si la continuidad de emergencia requiere que los validadores, operadores, titulares y tribunales interpreten nuevas relaciones de confianza bajo presión, el sistema transmitirá confusión. Un plan de fallo de registro debería incluir la continuidad de RPKI como un servicio de primer orden, no un apéndice.

Debería definir cómo se preservan los repositorios de publicación, cómo se protegen las claves, cómo se mantiene el acceso de los miembros, cómo se maneja la validez de los certificados, cómo se congelan o permiten las revocaciones, y cómo se les dice a las partes que confían qué deben confiar.

El riesgo silencioso de invalidez también interactúa con seguros y cumplimiento. Las grandes empresas preguntan cada vez más a los proveedores sobre su postura de seguridad de enrutamiento. Un proveedor que no puede demostrar un control RPKI estable puede fallar en una revisión de proveedor. Un cuestionario de seguro cibernético puede preguntar sobre la prevención de secuestros de ruta. Un cliente regulado puede requerir enrutamiento seguro para servicios sensibles. En tales contextos, el riesgo de gobernanza del registro se convierte en un costo de cumplimiento.

Los recursos administrados por AFRINIC pueden ser técnicamente sólidos, pero si el titular no puede dar garantías convincentes sobre la continuidad de la ROA bajo disputa, el negocio puede perder clientes o aceptar términos más débiles.

Esto no es porque RPKI sea malo. Es porque RPKI está funcionando: ha hecho que la autoridad de origen sea lo suficientemente visible para ser gobernada. El problema es que la autoridad visible debe estar respaldada por salvaguardas institucionales visibles. La crisis de AFRINIC es un recordatorio de que la criptografía puede hacer que un problema de confianza sea más preciso sin hacerlo desaparecer.

El mejor resultado sería aburrido. Las ROAs deberían crearse, cambiarse y retirarse bajo reglas lo suficientemente claras como para que los negocios ordinarios puedan confiar en ellas, los tribunales puedan entenderlas y el personal del registro pueda aplicarlas bajo estrés. Un titular en buena situación no debería temer que la publicación de origen de ruta pueda ser arrastrada a una lucha política. Un registro no debería temer que preservar el servicio RPKI en vivo le impida actuar contra el fraude. Las partes que confían no deberían necesitar saber qué disputa electoral u orden judicial se encuentra detrás de un estado de validación.

Deberían poder confiar en que las reglas de continuidad del servicio separan la seguridad de enrutamiento del combate institucional.

Por qué esto no es una historia de WHOIS, RDAP o DNS inverso

Los servicios de registro de AFRINIC están estrechamente conectados, por lo que es tentador incluir RPKI en una historia genérica de riesgo de capa de registro. Eso perdería lo que hace que la certificación de origen de ruta sea distinta. La precisión del registro trata sobre si los hechos subyacentes del registro son verdaderos, actuales, atribuibles y confiables. El DNS inverso trata sobre la delegación de nombres y las consecuencias operativas para el correo, el diagnóstico y la reputación de la red. WHOIS y RDAP tratan sobre el acceso a registros públicos, la contactabilidad y la diligencia debida.

El riesgo genérico de la capa de registro trata sobre la prima general creada cuando el guardián de registros se vuelve inestable o discrecional. RPKI es diferente porque convierte la autoridad reconocida en evidencia criptográfica de enrutamiento.

Esa diferencia cambia tanto la velocidad como la opacidad. Un contacto WHOIS desactualizado puede ser notado por un abogado o un equipo de abuso. Un problema de DNS inverso puede diagnosticarse en los registros de correo. Una inconsistencia de RDAP puede discutirse durante la diligencia debida. Un error de ROA puede ser convertido por los validadores y filtros de ruta en un tratamiento de ruta a través de muchas redes. El negocio afectado puede enterarse por primera vez a través de quejas de reachabilidad, alertas de monitoreo o un rechazo de ruta de un proveedor de tránsito. RPKI no es simplemente otra interfaz pública.

Es una capa de autorización legible por máquina.

También cambia la audiencia de confianza. WHOIS y RDAP son leídos por humanos y herramientas, pero sus usuarios generalmente saben que los datos de registro pueden ser desordenados. Los datos de IRR son utilizados por sistemas de enrutamiento, pero muchos operadores los tratan con cautela porque la calidad del objeto varía. RPKI aspira a una garantía más fuerte. Su propósito es hacer que la autoridad de origen sea más confiable que las afirmaciones informales de enrutamiento. Esa aspiración hace que las debilidades de gobernanza sean más consecuentes.

Si RPKI se trata como de alta confianza pero su base institucional es de baja confianza, la brecha se vuelve peligrosa.

La precisión de los registros sigue siendo fundamental. Un registro no puede publicar material RPKI confiable si no sabe quién posee qué. Las alegaciones reportadas de corrupción de registros de direcciones de AFRINIC por lo tanto importan. Pero la cuestión de la precisión de la base de datos pregunta si el registro mismo puede resolver la dependencia del mercado. La cuestión de RPKI pregunta qué sucede cuando ese registro se utiliza para publicar autoridad criptográfica de enrutamiento. Es la diferencia entre un registro de tierras y un candado digital vinculado al registro de tierras. Si el registro es incorrecto, ambos fallan.

Pero el candado añade una nueva consecuencia operativa.

El DNS inverso también está relacionado pero es distinto. Una delegación de DNS inverso puede ser valiosa para la reputación del correo, las operaciones del cliente y el diagnóstico. Depende de asignaciones registradas y autoridad adecuada. Sin embargo, un problema de DNS inverso generalmente afecta la confianza de la capa de aplicación y las expectativas de nombres. RPKI afecta la validación de origen de ruta. Si una ruta se vuelve inválida bajo un filtrado estricto, el problema de reachabilidad puede ser más amplio e inmediato.

La continuidad de nombres y la confianza de origen de ruta dependen ambas de la gobernanza del registro, pero no fallan de la misma manera.

Los registros públicos RDAP y WHOIS tratan sobre la transparencia y la legibilidad pública. Permiten que las contrapartes vean al titular, contactos, estado y datos relacionados, sujeto a límites de privacidad y política. RPKI puede ser opaco en comparación. Un cliente puede no inspeccionar la cadena de certificados; solo puede ver que un proveedor pasó una revisión de seguridad. Un enrutador puede no importarle por qué cambió una ROA; solo aplica la política. Esto hace que las salvaguardas de gobernanza sean más importantes, no menos. La automatización reduce la oportunidad de interpretación humana caso por caso.

El problema genérico de la capa de registro pregunta cómo se convirtió AFRINIC en una prima de riesgo por encima del enrutamiento, los contratos y los mercados. El problema de certificación reduce la prima al canal RPKI. El registro podría ser generalmente frágil pero aún mantener RPKI bien aislado, en cuyo caso el riesgo de origen de ruta sería menor que el riesgo institucional general. O el registro podría ser generalmente estable pero usar RPKI de manera discrecional, en cuyo caso el riesgo de origen de ruta sería mayor de lo que sugiere la gobernanza titular. El punto es evaluar el cortafuegos específico del servicio.

Ese cortafuegos tiene varias partes. Primero, RPKI debe depender de la autoridad de recursos y cuentas verificada, no del favor institucional amplio. Segundo, los cambios que afectan rutas en vivo deben clasificarse y tener plazos. Tercero, las acciones severas como la revocación deben requerir motivos definidos y revisión. Cuarto, las disputas deben preservar la seguridad operativa existente cuando sea seguro. Quinto, la realidad de las transferencias y arrendamientos debe manejarse a través de una autorización clara en lugar de negación por ambigüedad.

Sexto, la administración judicial o la falla del consejo deben activar un modo de continuidad para los servicios de certificación. Séptimo, los repositorios de publicación y las claves deben tener auditoría independiente y respuesta a incidentes.

Tales salvaguardas no debilitarían la base de datos, el DNS inverso o las funciones RDAP. Las fortalecerían al hacer que el límite de cada función sea más claro. Una corrección de la base de datos identificaría al verdadero titular. Una delegación de DNS inverso seguiría las reglas de asignación registradas. RDAP expondría hechos públicos apropiados. RPKI expresaría la autoridad de origen de ruta bajo un mandato de seguridad neutral al servicio. El registro retendría el poder de ejecución contra el fraude y la autoridad falsa, pero no usaría la capa de seguridad para ganar luchas institucionales no relacionadas.

La crisis de AFRINIC muestra por qué esta precisión importa. Si todas las funciones del registro se agrupan en una autoridad discrecional, entonces una disputa sobre una función contamina a todas. Un miembro que enfrenta una revisión de recursos teme consecuencias de RPKI. Un comprador que enfrenta demora en la transferencia teme demora en el DNS inverso y la certificación. Un tribunal que considera una restricción corporativa puede afectar inadvertidamente los servicios operativos. Un administrador judicial que preserva el statu quo puede congelar las actualizaciones de seguridad necesarias.

Una disputa electoral del consejo puede hacer que las contrapartes cuestionen la autoridad de la cuenta. La agrupación extiende el riesgo.

Desagrupar no significa desmantelar el registro. Significa reconocer que diferentes funciones requieren diferentes salvaguardas. RPKI merece las salvaguardas de continuidad y neutralidad más fuertes porque es el puente más directo entre la legitimidad del registro y el comportamiento de enrutamiento. El caso de AFRINIC debería empujar al sistema de registro regional a hacer ese puente más seguro antes de que una disputa de certificados se convierta en una interrupción.

El mercado que valora la duda sobre el certificado

Los mercados valoran la incertidumbre mucho antes de que los tribunales la resuelvan. Ese es el hecho económico central del riesgo de gobernanza de RPKI. Un prefijo no necesita volverse inalcanzable para que su valor caiga. Solo necesita llevar una duda creíble sobre si la autoridad de origen de ruta puede mantenerse a través de transferencia, arrendamiento, disputa, migración o estrés institucional.

El descuento puede ser invisible en las cotizaciones públicas, pero aparece en términos privados: precio de compra más bajo, custodia más larga, indemnizaciones más amplias, representaciones más sólidas, cierre retrasado, exclusiones de clientes, honorarios legales más altos, monitoreo adicional, o una preferencia por recursos de un entorno de registro menos problemático.

La escasez de IPv4 hace que esos descuentos sean significativos. El análisis público en la disputa de AFRINIC ha citado precios de IPv4 que pasan de dígitos individuales por dirección en años anteriores a niveles mucho más altos durante la era de escasez, y un /16 puede representar millones de dólares en valor de mercado. Cuando los valores son tan altos, un pequeño cambio en la certeza percibida importa. Un comprador que pagaría el precio completo por un bloque limpio puede reducir la oferta si el control de RPKI depende de un titular con problemas de registro no resueltos.

Un arrendador puede cobrar más si debe asumir la responsabilidad del mantenimiento continuo de la ROA bajo una política incierta. Un cliente puede solicitar un prefijo alternativo si el proveedor no puede garantizar la validación de origen. Un prestamista puede tratar los ingresos respaldados por direcciones como menos bancables.

El mecanismo de valoración es similar al seguro de título en la propiedad o al riesgo de liquidación en valores, pero el activo no es tierra ordinaria o una acción. Las direcciones IP son identificadores de red únicos administrados a través de contratos y políticas. Los registros se resisten a las analogías simples de propiedad, y la resistencia tiene una base técnica: unicidad, coordinación y responsabilidad de enrutamiento importan. Sin embargo, no propiedad no significa no valor. Muchos derechos económicamente importantes no son propiedad de pleno dominio.

Arrendamientos, licencias, concesiones, derechos de espectro, permisos operativos y derechos contractuales pueden todos soportar inversión mientras permanecen condicionales. El mercado valora las condiciones.

RPKI añade una de esas condiciones. La posición económica del titular es más fuerte si puede probar que el origen autorizado seguirá siendo válido bajo cambios operativos ordinarios. Es más débil si el registro puede negarse, retrasar o revocar la publicación bajo estándares ambiguos. La condición importa más donde el titular y el operador difieren. El arrendamiento hace esto visible. Si un arrendador no puede garantizar ROAs para la red del arrendatario, el arrendamiento es menos útil. Si el arrendatario no puede confiar en cambios oportunos, debe reservar espacio de respaldo o negociar flexibilidad con el cliente.

Si el registro más tarde cuestiona el acuerdo, el arrendatario puede ser inocente pero aún expuesto. El precio del arrendamiento debería reflejar ese riesgo.

Los mercados de transferencia enfrentan un problema relacionado. Una transferencia no está económicamente completa cuando el dinero cambia de manos. Está completa cuando el registro reconocido, la autoridad de enrutamiento, el DNS inverso, los contactos de abuso y el material de origen de ruta se alinean con la operación prevista del comprador. Si el cambio de RPKI se retrasa o se impugna, el comprador controla un recurso que no es completamente desplegable. Los acuerdos de custodia deberían por lo tanto tratar la entrega de ROA como parte del acuerdo. Esa es una respuesta del mercado a la confianza en el registro.

Cuanto más incierto es el registro, más detalladas son las condiciones de liquidación.

Los negocios de nube y alojamiento llevan el riesgo a los contratos de clientes. Un proveedor puede tener prefijos administrados por AFRINIC, arrendarlos, o depender de proveedores ascendentes que lo hacen. Los clientes raramente leen la política regional de registros, pero notan interrupciones y filtrado de rutas. Si un cliente exige enrutamiento seguro, el proveedor debe mostrar no solo que existen ROAs sino que el proveedor puede mantenerlas.

Si los recursos del proveedor están bajo revisión, si el titular está en disputa, o si el registro tiene un historial de turbulencia institucional, el cliente puede exigir derechos de terminación o un plan de migración. El problema de gobernanza del registro se ha convertido en un problema de ventas comercial.

Los operadores pequeños pueden sufrir más porque los costos fijos no se escalan. Un gran proveedor de nube o portador puede emplear abogados, especialistas en registros, ingenieros de enrutamiento y personal de cumplimiento. Puede diversificar fuentes de direcciones, mantener inventario extra, operar múltiples sistemas autónomos y negociar contratos sofisticados. Un pequeño ISP o empresa de alojamiento puede tener uno o dos bloques, una relación de registro y personal limitado. Para él, una sola disputa o demora de RPKI puede consumir la atención de la gerencia y amenazar a los clientes.

La promesa de RPKI debería ser ayudar a tales operadores a reducir el riesgo de secuestro de ruta, no añadir otra dependencia institucional que no pueden manejar.

La dependencia de los miembros de AFRINIC es por lo tanto más amplia que el servicio de certificación. Los miembros dependen de registros de asignación, WHOIS, RDAP, DNS inverso, IRR, RPKI, estado de facturación, reconocimiento de transferencias y acceso a cuentas. Estos servicios no son sustitutos; se refuerzan mutuamente. Un registro de base de datos limpio respalda la autoridad RPKI. RPKI fortalece la credibilidad del enrutamiento. El DNS inverso respalda el correo y el diagnóstico. WHOIS y RDAP respaldan la responsabilidad pública y la diligencia debida. El reconocimiento de transferencias respalda la liquidez.

Si el riesgo de gobernanza afecta a un servicio, las contrapartes se preocupan por los demás. El paquete recibe un descuento de registro.

El descuento también puede volverse autorreforzante. Si los participantes del mercado ven los recursos administrados por AFRINIC como más riesgosos, pueden preferir otras regiones cuando sea posible, exigir más a los titulares africanos, o canalizar la actividad comercial a través de estructuras percibidas como más seguras. Eso reduce la liquidez y puede perjudicar los argumentos de desarrollo regional utilizados para justificar un fuerte control del registro. Un registro que quiera apoyar a su región debería por lo tanto preocuparse por las primas de riesgo.

Cuanto más barato haga la confianza, más valiosos se vuelven los recursos de sus miembros y más fácil es para las redes africanas obtener capital, clientes y socios.

El mercado no siempre es virtuoso. Los actores comerciales pueden exagerar el riesgo del registro para buscar precios más bajos, resistir la revisión legítima o defender un arbitraje rentable. AFRINIC y sus partidarios tienen razón al recordar que los mercados de direcciones crean incentivos para el abuso, la especulación y la manipulación de registros. Pero la existencia de compradores oportunistas no elimina la necesidad de servicios de confianza predecibles. Los hace más importantes. Una gobernanza clara de RPKI ayuda a distinguir la dependencia operativa legítima de la presión de mala fe.

La discreción opaca ayuda a los actores más fuertes porque pueden permitirse litigarla.

La conclusión económica es simple. La calidad de la gobernanza de RPKI es ahora parte de la calidad de la dirección. Un prefijo con autoridad de origen de ruta estable vale más que el mismo prefijo con autoridad incierta. La crisis de AFRINIC lo hace explícito, pero el principio se aplica en todas partes. A medida que la validación de origen de ruta se extiende, los mercados valorarán no solo la cantidad de direcciones y la reputación, sino la confianza institucional en la cadena de certificados.

Un cortafuegos RPKI creíble

Un cortafuegos RPKI creíble no es un cortafuegos en el sentido de un aparato de red. Es un límite institucional que evita que la certificación de origen de ruta se convierta en daño colateral en luchas sobre gobernanza, tarifas, litigios, elecciones, política de transferencias o ideología comercial. Acepta que un registro debe ejecutar RPKI, verificar la autoridad y actuar contra el fraude. Rechaza la idea de que un registro puede usar la incertidumbre de la certificación como palanca general sobre recursos de direcciones escasos. En un mundo posterior al agotamiento, ese límite es tan importante como el protocolo criptográfico.

El primer elemento es la continuidad del servicio. Las ROAs válidas existentes para recursos en vivo deben presumirse que permanecen en vigor durante el estrés institucional a menos que haya una razón técnica, legal o de autoridad específica para cambiarlas. La administración judicial, la ausencia del consejo, el litigio o la controversia pública no deberían por sí mismos interrumpir la publicación de origen de ruta. Si un miembro está en disputa, el defecto debe ser preservar el último estado seguro verificado mientras la disputa se clasifica. Eso protege a los clientes posteriores y reduce los incentivos para el litigio de emergencia.

El segundo elemento es la granularidad de la autoridad. Una cuenta de registro no debería ser una clave indiferenciada para todo el poder. La autoridad de voto, la autoridad de facturación, la autoridad de representación legal, la autoridad de gestión de recursos, la autoridad de RPKI y la autoridad de contacto de abuso deberían ser separables. Las controversias de AFRINIC en 2025 sobre credenciales de miembros y poderes notariales muestran por qué. Una persona puede tener derecho a votar pero no a cambiar ROAs. Un abogado puede tener derecho a recibir notificaciones pero no a autorizar una ruta.

Un ingeniero de redes puede tener derecho a gestionar ROAs pero no a vincular a la empresa en una elección del consejo. La granularidad reduce la posibilidad de que la captura de la gobernanza se convierta en captura del enrutamiento.

El tercer elemento es una escalera de remedios. No todos los problemas justifican una interrupción de la certificación. Un contacto desactualizado debe desencadenar requisitos de notificación y actualización. Un problema de facturación puede tener consecuencias contractuales, pero no un daño inmediato al origen de ruta a menos que las reglas lo digan claramente y se apliquen salvaguardas. Una sospecha de compromiso de cuenta puede requerir bloqueo de emergencia y verificación del miembro. Una transferencia en disputa puede requerir una retención temporal de nuevas ROAs mientras se preserva el servicio existente cuando sea seguro.

Una autoridad falsa probada puede requerir revocación. Cada categoría debe definirse antes de la crisis, con límites de tiempo y rutas de escalada.

El cuarto elemento es la transparencia sin imprudencia. Las acciones de RPKI que afectan recursos en vivo deben registrarse de manera que permitan la auditoría. Los miembros deben recibir un aviso claro de los cambios, razones y rutas de apelación. Las partes que confían no necesitan archivos de litigio privados, pero la comunidad puede beneficiarse de informes agregados sobre revocaciones, bloqueos de emergencia, incidentes de publicación, recursos impugnados y disponibilidad del servicio. Un registro que publica solo estadísticas de adopción pero no incidentes de gobernanza está ocultando la parte de RPKI que los mercados necesitan valorar.

El quinto elemento es el realismo sobre transferencias y arrendamientos. AFRINIC y otros registros no necesitan respaldar cada reclamo del mercado sobre la propiedad de IPv4. Necesitan reconocer que la delegación operativa existe. Un titular puede autorizar legalmente a otra red a originar un prefijo por razones de alojamiento, tránsito, nube, cliente, arrendamiento o servicio gestionado. RPKI debería capturar la autoridad operativa limpiamente mientras deja las disputas comerciales a los contratos y procesos políticos.

Si el registro quiere restringir algunas formas de delegación, debería hacerlo a través de una política explícita sujeta a escrutinio, no a través de una negativa opaca a apoyar la autorización de origen de ruta.

El sexto elemento es la sucesión de emergencia. Si un registro entra en administración judicial, pierde un consejo, sufre un compromiso del sistema o enfrenta un posible desconocimiento, la continuidad de RPKI debe tener un plan escrito. El plan debe decir cómo se protegen las claves, cómo los repositorios permanecen en línea, cómo se preserva el acceso de los miembros, cómo se aprueban los cambios urgentes, cómo se trata la validez de los certificados, cómo se comunican los cambios de ancla de confianza si alguna vez son necesarios, y cómo otro registro o servicio neutral podría ayudar sin apoderarse del control político.

La administración judicial de AFRINIC muestra que tal plan no es especulativo.

El séptimo elemento es la revisión independiente para acciones severas. Un registro no debería ser el único juez, fiscal y verdugo cuando una decisión que afecta la certificación podría perjudicar rutas en vivo y recursos valiosos. La revisión independiente no necesita ser lenta en emergencias. Puede usar paneles expeditos, ombudsman técnico, procedimientos aprobados por el tribunal o revisión posterior a la acción cuando se necesita una acción inmediata. El principio es que la interrupción severa de RPKI debe ser responsable ante un cuerpo o proceso no idéntico a la posición del personal o del consejo en la disputa subyacente.

El octavo elemento es la simetría de responsabilidad, al menos en la divulgación si no siempre en daños. Los registros a menudo operan bajo responsabilidad limitada, y hay razones para limitar la exposición de los cuerpos de coordinación. Pero si un registro puede tomar acciones que afectan recursos de alto valor y la continuidad del cliente, los miembros necesitan saber qué remedio existe por una interrupción de certificación errónea. La respuesta no puede ser un eslogan. Puede implicar créditos de servicio, corrección expedita, revisión independiente, seguro, política de reserva o límites legales.

Cualquiera que sea el diseño, la asignación de riesgos debe ser explícita.

La recuperación de AFRINIC sería más creíble si tratara a RPKI de esta manera. Un nuevo consejo, presupuesto o estrategia es útil, pero la cuestión de RPKI es más concreta: ¿puede cada miembro, incluyendo un miembro impopular o en disputa, saber exactamente qué servicios de certificación continuarán, qué acciones pueden afectarlos, quién aprueba esas acciones, qué tan rápido ocurre la revisión, y cómo se protege la continuidad posterior? Si la respuesta es sí, RPKI se convierte en una tecnología estabilizadora. Si la respuesta es no, sigue siendo un riesgo de gobernanza disfrazado de adopción de seguridad.

Tal cortafuegos no despojaría a AFRINIC de autoridad. Haría que la autoridad fuera más legítima. Daría al personal instrucciones más claras bajo estrés, a los miembros expectativas más claras, a los tribunales categorías más claras, y a las partes que confían mejores razones para confiar en la cadena de certificados. También protegería al registro de afirmaciones de que cada acción de ejecución es una amenaza al enrutamiento en vivo. La precisión es una forma de defensa institucional.

El libro mayor estrecho y la ruta confiable

El riesgo de gobernanza de RPKI de AFRINIC comienza con una pequeña declaración técnica y termina con una gran conclusión institucional. La declaración técnica dice que un prefijo puede ser originado por un sistema autónomo particular. La conclusión institucional es que el reconocimiento del registro, los registros, las cuentas, las claves, los sistemas de publicación y la gobernanza son lo suficientemente confiables como para que el resto de Internet actúe sobre esa declaración. Si esa conclusión es débil, la declaración de origen de ruta puede seguir siendo criptográficamente válida, pero el mercado la tratará con cautela.

El camino a seguir no es rechazar RPKI, ni pretender que los registros pueden evitar preguntas difíciles de ejecución. Un registro que no puede corregir registros falsos, prevenir la publicación comprometida o actuar sobre órdenes legales no está protegiendo Internet. Pero un registro que puede convertir los servicios de certificación en palanca discrecional sobre recursos escasos tampoco está protegiendo Internet. Está importando riesgo institucional a la capa de enrutamiento.

El diseño correcto es un libro mayor estrecho con un servicio de confianza protegido: fuerte contra el fraude, preciso sobre la autoridad, neutral hacia el uso comercial ordinario, continuo durante el estrés de gobernanza y responsable cuando se necesita una acción severa.

Para AFRINIC, eso significa que la recuperación debe medirse por la fiabilidad de las funciones, no meramente por la existencia de un consejo. ¿Pueden los miembros mantener ROAs a través de cambios normales de red? ¿Pueden los casos en disputa contenerse sin contaminar recursos no relacionados? ¿Pueden las transferencias y arrendamientos obtener una autorización operativa clara sin una revisión ideológica oculta? ¿Pueden la administración judicial o la supervisión judicial preservar los servicios técnicos sin congelar las actualizaciones necesarias? ¿Pueden las revocaciones severas explicarse, revisarse y limitarse?

¿Puede el registro mostrar que RPKI es un servicio de seguridad, no un arma política?

El mercado más amplio también necesitará adaptarse. Los compradores deben tratar la entrega de RPKI como parte de la liquidación de IPv4. Los arrendadores deben especificar los procedimientos de mantenimiento y cambio de la ROA. Los clientes deben preguntar no solo si un proveedor tiene ROAs, sino quién las controla y qué sucede bajo disputa. Los prestamistas y aseguradoras deben evaluar la exposición a la gobernanza del registro como parte de los ingresos respaldados por direcciones. Los operadores deben monitorear los estados de validación y mantener planes de contingencia.

Estos pasos no reemplazan la reforma del registro, pero reflejan la realidad de que RPKI ha convertido la autoridad de origen de ruta en un insumo económico.

La crisis de AFRINIC no es por lo tanto una curiosidad local sobre los problemas de un registro regional. Es una advertencia sobre lo que sucede cuando una arquitectura de seguridad depende de una institución cuya legitimidad, registros, tribunales, administradores judiciales, elecciones y límites comerciales están bajo estrés. Cuanto más exitoso se vuelve RPKI, más importante se vuelve esa advertencia. Una ruta puede ser filtrada por máquinas, pero la autoridad detrás de la ruta sigue siendo gobernada por personas, contratos, empresas y tribunales.

La prueba final es simple. Un titular de recursos debería poder adoptar RPKI porque reduce el riesgo de enrutamiento, no porque acepte una nueva forma de dependencia del registro. Un cliente debería poder confiar en una ruta válida porque la cadena de certificados refleja una autoridad estrecha, legal y precisa, no porque tenga fe en una mitología institucional. Un registro debería poder aplicar reglas reales sin amenazar la publicación de seguridad en vivo. Un tribunal debería poder supervisar un registro angustiado sin convertirse en el operador oculto de la confianza de origen de ruta.

AFRINIC muestra que la certificación de origen de ruta no es meramente una credencial técnica. Es una afirmación institucional. En la era de la escasez de IPv4, esa afirmación conlleva riesgo de precio, continuidad y gobernanza. El registro que quiere que los enrutadores confíen en sus certificados debe primero demostrar que su propia autoridad está lo suficientemente limitada para ser confiable.