Resumen

  • El primer borrador de AFRINIC proponía publicar ROA con AS0 sobre espacio que sus datos registrales mostraban como no asignado; el expediente documental acredita la publicación de la propuesta, no su adopción ni su uso en producción.
  • La señal podía ser valiosa porque ofrecía a los operadores una advertencia autenticada y coherente con RPKI, en lugar de obligar a cada red a mantener una lista privada y posiblemente obsoleta de espacio no asignado.
  • El mismo mecanismo podía amplificar un error: si el estado del registro era incorrecto o el objeto no se retiraba antes de un uso legítimo, una ruta ordinaria podía recibir el estado Invalid en los sistemas que confiaran en la cadena pertinente.
  • Un resultado de validación no elimina por sí mismo una ruta BGP. Cada operador decide si lo usa para rechazar, reducir preferencia, vigilar o no actuar; por ello, los efectos pueden ser desiguales y la responsabilidad operativa no desaparece.
  • La solución institucional no consiste en convertir a AFRINIC en autoridad de enrutamiento, sino en exigir alcance exacto, procedencia visible, controles de conflicto, historial auditable, retirada coordinada antes del cambio legítimo, corrección urgente y observación independiente.

Una negación pequeña con consecuencias distribuidas

Una afirmación positiva y una negativa no imponen la misma disciplina. Cuando una organización vinculada a un recurso publica una autorización de origen, declara qué origen y qué longitud de prefijo quedan cubiertos por su autorización. Cuando un registro propone abarcar con AS0 el espacio que considera no asignado, formula algo distinto: dentro del alcance descrito no se espera un origen público ordinario. Esa afirmación puede parecer modesta porque no asigna el recurso a nadie, no crea una ruta y no introduce directamente una orden en ningún router.

Sin embargo, su forma firmada le permite circular como una entrada verificable en un sistema que muchos operadores incorporan a sus propias decisiones.

Ahí reside el interés histórico del acto del 4 de noviembre de 2019. AFRINIC no se limitó a conservar en sus sistemas la etiqueta «no asignado». Al publicar el primer borrador de la propuesta AS0, planteó trasladar esa categoría desde el plano del registro hacia el plano de las señales de seguridad de rutas. La transición añadía valor: una red podía recibir una advertencia autenticada sin construir por su cuenta una imagen paralela del inventario registral.

También añadía una dependencia: la calidad de la advertencia quedaba ligada a la exactitud del inventario, a la correspondencia entre ese inventario y los objetos publicados y, de manera crucial, a la puntualidad de la retirada cuando el estado cambiara.

La pregunta no puede resolverse diciendo simplemente que el espacio no asignado no debe anunciarse. Esa proposición describe el caso fácil. Si el registro es correcto, el objeto cubre exactamente el espacio pretendido, el repositorio publica lo esperado y los validadores lo observan, la señal sirve para lo que anuncia. El caso difícil aparece en las fronteras: un dato que no refleja la situación legítima, una transición hacia una asignación o hacia otro uso permitido, una retirada que no llega a todos los observadores a tiempo, un conflicto entre fuentes internas, o una corrección cuya finalización nadie externo puede comprobar.

En cada una de esas situaciones, el «cero» deja de ser una descripción neutral de ausencia y puede convertirse en un multiplicador de incertidumbre.

Conviene mantener varias distinciones desde el inicio. La firma criptográfica no certifica que la clasificación material sea infalible; demuestra que el objeto procede de una cadena de certificados aceptada y que no ha sido alterado de la manera que esa verificación detecta. El estado Invalid no equivale a ilegalidad, abuso, falta de propiedad ni resolución de una controversia. Tampoco obliga de manera universal a descartar la ruta. Es un dato técnico que entra en una política local. AFRINIC, por su parte, es un servicio privado de registro y coordinación técnica.

Puede llevar registros, autenticar control dentro de su servicio, publicar objetos técnicamente delimitados y corregir su estado. Nada de ello la convierte en soberano, legislador, policía, fiscal, tribunal ni titular del recurso que registra.

Esas distinciones no debilitan el análisis práctico; lo vuelven más preciso. El objeto no necesita tener fuerza jurídica ni control directo sobre BGP para ejercer influencia. Basta con que redes independientes hayan decidido utilizar resultados de validación en sus políticas. La influencia viaja por una cadena de actos separados: AFRINIC clasifica; el servicio RPKI firma y publica; los validadores obtienen y evalúan; los operadores interpretan; los routers aplican configuraciones locales; usuarios y clientes experimentan el resultado agregado.

El punto en el que una clasificación privada alcanza el encaminamiento no es una orden central, sino la suma de dependencias voluntarias construidas alrededor de una señal común.

Por eso, la calidad del mecanismo no se mide solo por la facilidad para publicar. También se mide por la capacidad de detener, explicar y revertir una afirmación negativa. Una propuesta que hace sencilla la creación del objeto pero deja opaca su retirada está incompleta. En un sistema distribuido, «retirado» no puede significar únicamente que alguien cambió una fila interna. Debe existir una secuencia inteligible: el estado legítimo cambia o se descubre un error; la cobertura negativa se retira o reemplaza; el repositorio refleja la acción; observadores independientes comprueban lo que reciben; los operadores pueden reevaluar la ruta.

Sin esa cadena, el registro puede considerar resuelto un problema mientras una parte de las redes sigue viendo la señal anterior.

El mejor argumento a favor, sin caricaturas

La crítica seria debe empezar por admitir que el primer borrador trataba de responder a un problema real. El espacio genuinamente no asignado no debería aparecer con un origen público ordinario. Una ruta que lo presenta merece, como mínimo, atención. Los operadores pueden intentar detectarla comparando anuncios con datos de asignación, pero mantener listas propias exige trabajo, sincronización y decisiones sobre qué fuente creer. Esas listas pueden quedarse anticuadas, diferir entre redes o carecer de una procedencia autenticada. RPKI ofrece un canal ya diseñado para expresar y verificar autorizaciones de origen.

Usar AS0 como señal de que no se espera un origen ordinario inserta la advertencia en ese canal conocido.

AFRINIC también ocupaba una posición funcional plausible para prestar ese servicio estrecho. Su actividad registral incluía el dato que la propuesta pretendía expresar: qué espacio aparecía como no asignado dentro del ámbito pertinente. Si se busca una fuente para convertir esa condición en una señal firmada, el servicio que mantiene el libro correspondiente tiene una ventaja informativa. No porque posea soberanía sobre las redes, sino porque conoce —o debe conocer— el estado que administra.

La legitimidad técnica del acto deriva de una tarea concreta de contabilidad y publicación, no de una supuesta autoridad sobre África ni de una voluntad colectiva elevada a ley.

En su versión más sólida, la idea reduce costes de coordinación. Un operador puede consumir un conjunto autenticado y coherente con su infraestructura de validación, en lugar de ensamblar una lista negativa mediante consultas y reglas particulares. La señal permite descubrir una anomalía con rapidez y relacionarla con un estado registral declarado. Puede utilizarse inicialmente para alertar a un equipo, pedir una verificación o elevar la observación, sin convertirla de inmediato en descarte automático.

Ese empleo gradual hace posible recopilar evidencia sobre exactitud, conflictos y tiempos de convergencia antes de adoptar una política más severa.

Además, negar todo valor a una señal negativa obligaría a ignorar una asimetría conocida: quien origina espacio que nadie tiene asignado puede aprovechar la falta de una autorización positiva sin que la ausencia de ROA distinga por sí sola una anomalía. El propósito de AS0 es hacer explícita una expectativa que, de otro modo, queda dispersa en bases de datos y conocimiento operativo. Para una red que desea vigilar esa clase de anuncio, una aserción autenticada puede ser mejor insumo que el silencio.

Pero el argumento benigno contiene su propia condición. La fuente debe acertar. Una lista privada defectuosa ya crea problemas para quien la usa; una señal firmada y distribuida puede coordinar a múltiples redes alrededor del mismo defecto. Cuanto mayor sea la confianza operativa en el canal, mayor será la obligación de que el dato de entrada sea exacto y de que el error sea reversible. La seguridad obtenida por autenticación no compensa una clasificación material incorrecta. Solo hace más fiable la atribución de esa clasificación al emisor.

Aceptar la utilidad, entonces, no exige aceptar poder sin límites. Exige precisamente lo contrario: convertir el servicio en una práctica mensurable. Debe poder saberse qué estado originó el objeto, qué cobertura pretende, qué conflictos se comprobaron, cuándo cambió, cuándo se retiró y cuándo dejaron de observarlo validadores independientes. La respuesta responsable al riesgo no es abandonar la seguridad de rutas, sino impedir que la confianza en una firma oculte la fragilidad de los datos y los procesos que la preceden.

Lo que está demostrado y lo que no

El expediente disponible permite afirmar un núcleo bien delimitado. La serie identifica el instrumento AFPUB-2019-GEN-006-DRAFT01 y sitúa la publicación del primer borrador el 4 de noviembre de 2019. Ese borrador propuso que AFRINIC originara ROA con AS0 para espacio que constaba como no asignado en sus datos de servicio. Los estándares de RPKI y validación de origen permiten explicar qué expresa AS0, cómo se forman los estados de validación y por qué la respuesta final corresponde a cada operador.

El expediente no permite afirmar que la propuesta fuera adoptada, ratificada, aplicada o convertida en una emisión de producción. Tampoco prueba que una ruta concreta fuera rechazada, que un titular sufriera daños, que se redujeran anuncios indebidos ni que hubiese un incidente de retirada. No verifica el autor del primer borrador, el texto exacto de sus cláusulas, un plazo concreto, una cantidad de prefijos, el número de participantes, una votación, una objeción determinada, una evaluación del personal o una fecha de implementación.

Los borradores posteriores existen, pero sus cambios y su trayectoria no pueden proyectarse hacia atrás para rellenar los silencios del primero.

Esa limitación no deja al artículo sin objeto. Al contrario, obliga a distinguir entre historia documental y análisis institucional. El hecho histórico es la publicación de una propuesta que conectaba el estado «no asignado» con una señal AS0. El análisis examina la consecuencia lógica y operativa de esa conexión: si el estado de origen está equivocado o no se retira antes de una transición legítima, una red que confía en el objeto puede ver Invalid para un origen ordinario. Se trata de un riesgo causal deducible del mecanismo, no de una afirmación de que el daño ocurrió.

Esta disciplina importa porque las narraciones sobre infraestructura suelen confundir capacidad con acontecimiento. Que un objeto pueda influir en una decisión no demuestra que haya influido en un caso específico. Que un operador pueda rechazar Invalid no demuestra que todos lo hagan. Que un registro publique una propuesta no demuestra consenso ni mandato. Y que una decisión técnica tenga consecuencias económicas no la convierte en acto estatal. El análisis es más fuerte cuando cada verbo conserva su escala: proponer no es adoptar; firmar no es juzgar; validar no es prohibir; observar un riesgo no es documentar un incidente.

También existe una razón práctica para no inventar precisión. Un plazo exacto o una regla concreta tomados de versiones posteriores podría alterar la evaluación del primer borrador. Haría parecer que una salvaguardia estaba presente antes de que la documentación disponible lo demostrara, o atribuiría al texto inicial un defecto que quizá perteneciera a otro momento. La pregunta exclusiva de este ensayo es anterior a esas revisiones: ¿qué debía tener un diseño correcto para que la primera señal fuese reversible? Responderla exige principios y secuencias operativas, no citas de cláusulas no verificadas.

La cadena que convierte un dato en impacto

El mecanismo comienza con una clasificación. En el libro que mantiene AFRINIC, un conjunto de espacio aparece como no asignado. En el diseño propuesto, esa condición selecciona la cobertura de AS0. El paso siguiente es la firma: el estado interno deja de ser únicamente información consultable y queda expresado en un objeto RPKI. Después llega la distribución: repositorios y validadores hacen que el objeto esté disponible para quienes aceptan la cadena pertinente. Solo entonces interviene la elección del operador, que decide qué peso dar al resultado de validación.

Cada eslabón tiene una pregunta de control diferente. Para la clasificación: ¿la fuente refleja fielmente el estado actual y resuelve inconsistencias antes de publicar? Para la firma: ¿el alcance del objeto coincide exactamente con lo que la fuente justifica, incluidos los límites de cobertura? Para la distribución: ¿se puede observar qué versión está disponible y cuándo converge una retirada? Para la política local: ¿la red comprende el significado y las limitaciones de Invalid? Para la transición: ¿la aserción negativa desaparece antes de que un uso legítimo necesite anunciarse?

Para la corrección: ¿hay un canal autenticado, urgente y verificable que no dependa de persuadir a una institución de que está administrando una controversia pública?

Cuando el dato es correcto, la cadena produce una advertencia: un anuncio ordinario bajo esa cobertura no coincide con lo que el registro afirma. El operador puede investigar, vigilar, reducir preferencia, rechazar o adoptar otra respuesta. La economía del mecanismo resulta favorable si la señal evita trabajo manual, acelera la detección y tiene pocos errores. Pero cuando el dato es incorrecto o está obsoleto, la misma cadena distribuye el defecto. La firma no lo cura. Puede hacerlo más consistente, más atribuible y más fácil de consumir, lo cual es útil para la seguridad, pero también más eficaz para propagar una premisa equivocada.

La diferencia entre una advertencia y un perjuicio aparece en el último tramo. RPKI no entra por sí sola en la tabla de encaminamiento para borrar una ruta. Una red puede utilizar Invalid solo como telemetría. Otra puede reducir la preferencia. Otra puede rechazarlo. Otra puede no desplegar validación. Por eso no existe un resultado uniforme. Un origen legítimo bajo una cobertura errónea podría seguir siendo visible desde unas redes y perder alcance desde otras.

Esa fragmentación puede complicar el diagnóstico: el servicio parece funcionar desde ciertos puntos mientras falla desde otros, y el afectado debe relacionar síntomas distribuidos con una clasificación registral que no controla.

En consecuencia, el riesgo no debe describirse como una confiscación ni como una prohibición central. Es una transferencia potencial de costes. Un operador que no provocó el error puede asumir horas de diagnóstico, comunicaciones con proveedores, ajustes temporales, reclamaciones de clientes y daño reputacional. Un proveedor de tránsito puede tener que explicar por qué sus políticas difieren de las de otro. Un recurso recién habilitado puede afrontar incertidumbre sobre cuándo está listo para anunciarse. El registro, mientras tanto, puede haber corregido su vista interna sin saber si todos los observadores han recibido la retirada.

La asimetría consiste en que el emisor controla el dato y el objeto, mientras terceros soportan buena parte de la consecuencia operativa.

De ahí que la retirada sea una función de seguridad, no una tarea administrativa secundaria. En una afirmación negativa, publicar establece una expectativa de ausencia. Retirar permite que aparezca un origen legítimo sin chocar con esa expectativa. Si la retirada sucede después del cambio, se abre una ventana de contradicción. Si sucede antes pero nadie mide su propagación, existe incertidumbre sobre la vista de los operadores. Y si el diseño carece de una forma clara de demostrar qué se retiró, cuándo y con qué resultado, la corrección depende de confianza institucional precisamente cuando esa confianza está bajo prueba.