Resumen

  • Draft 2 conservó la emisión propuesta de objetos AS0 sobre inventario disponible o reservado y la retirada previa a una asignación; su única adición demostrada frente a Draft 1 fue la opción de situar esos objetos bajo un TAL separado.
  • La separación sí introducía una cautela material: cada red podía decidir si incorporaba aquella clase especial de señal generada por el registro, y sus resultados podían observarse sin confundirlos con los ROA ordinarios creados por titulares.
  • La prueba de unos cinco minutos describía una operación de publicación o revocación en el lado de AFRINIC, no un plazo universal de corrección en repositorios, validadores, cachés, enrutadores o experiencia del cliente.
  • AFRINIC seguía siendo un contable técnico privado y un coordinador de unicidad; el objeto firmado aportaba evidencia sobre su propio estado registral, mientras cada operador conservaba íntegramente la decisión de vigilar, dar menor preferencia, rechazar o no alterar una ruta.

El minuto cinco y todo lo que ocurre después

La cifra de cinco minutos parece, a primera vista, la respuesta que cualquier responsable de red querría oír. Si un objeto AS0 incorrecto puede retirarse en ese lapso, el error parecería acotado y la transición hacia una asignación legítima parecería segura. Sin embargo, el dato comunicado en AFRINIC-32 tenía un alcance más estrecho: el personal informó de pruebas en las que la revocación tardaba aproximadamente cinco minutos. En la misma conversación apareció la advertencia decisiva de que publicar o revocar el objeto era solo un paso y de que otros factores condicionaban lo observable.

La cifra, por tanto, no describía un reloj de recuperación de Internet. Describía una operación en una parte de un sistema distribuido.

Esa distinción importa porque un ROA con AS0 no actúa directamente sobre un enrutador remoto. Expresa que el prefijo cubierto, incluidos los más específicos pertinentes, no debería utilizarse en el enrutamiento. Un validador puede convertir esa evidencia criptográfica y el anuncio que observa en un estado técnico de validación de origen. Luego una red decide qué hacer con el resultado. Puede emplearlo como alerta, incorporarlo a una investigación, reducir la preferencia, rechazar determinados anuncios o no cambiar su política. No existe un impulso central que atraviese automáticamente la red mundial.

La firma no borra una ruta y el estado Invalid no es una sentencia jurídica sobre quien la anuncia.

Entre la revocación y la experiencia de una red hay varios ritmos. El repositorio debe mostrar el cambio; los validadores deben recuperar y procesar la información; las cachés deben sustituir la vista anterior; los sistemas que consumen el resultado deben actualizarse; y los enrutadores deben aplicar la política local que sus operadores hayan elegido. Dos redes pueden mirar la misma transición en momentos diferentes. Una puede haber obtenido el estado corregido y otra conservar todavía una copia anterior. Incluso dentro de una misma organización, herramientas de supervisión y equipos de encaminamiento pueden no refrescarse a la vez.

Draft 2 no fijó un objetivo extremo a extremo que convirtiera esos ritmos en una garantía común.

La publicación del 30 de julio de 2020 debe leerse con esa geometría. El historial oficial identifica AFPUB-2019-GEN-006-DRAFT02 como la segunda versión y resume su revisión con dos palabras: «Distinct TAL». El cambio demostrado no fue una nueva categoría de espacio, una orden para los operadores ni una sustitución completa del modelo previo. Fue la posibilidad de colocar los objetos AS0 creados por AFRINIC bajo un Trust Anchor Locator diferente. En la fase inicial, decía el texto, esa separación podía hacer que el servicio fuese voluntario y que se midiera de manera independiente.

El modo concreto de ejercer la opción, junto con otros detalles operativos, quedaba en manos del personal de AFRINIC.

Un TAL funciona aquí como una puerta de entrada a una clase de material firmado. Separarlo ofrece a la red receptora una decisión más clara: incorporar o no incorporar el conjunto especial que representa la lectura de AFRINIC sobre su inventario sin asignar. Si los objetos se mezclaran de forma inseparable con autorizaciones ordinarias de los titulares, una red que quisiera validar estas últimas tendría menos margen para declinar aquella señal registral especial. Con el TAL distinto, la elección podía ser explícita.

También podía compararse lo que ocurría con esa fuente activada y desactivada, o medirse su precisión y propagación sin atribuir sus resultados a todo el ecosistema RPKI.

Ese es el mejor argumento a favor de Draft 2 y merece ser aceptado sin reservas retóricas. Para una red que escoge deliberadamente el TAL separado, un objeto AS0 bien delimitado puede transformar una anotación privada del registro —que una porción de espacio está disponible o reservada y no se espera que tenga un origen normal— en evidencia autenticada. La red gana una señal que puede ayudarle a detectar uso inesperado. Los observadores ganan la posibilidad de estudiar esa clase por separado. Y quien no desea asumirla conserva una salida sencilla: no incorpora el TAL.

La cautela no elimina todos los riesgos, pero sí limita la imposición técnica y preserva la adopción voluntaria.

La interpretación del personal aclara qué inventario pretendía cubrir la emisión automática. Incluía espacio IPv4 e IPv6 disponible y reservado, nuevos prefijos recibidos de IANA/PTI con cobertura inmediata y prefijos devueltos o reclamados. El espacio ya asignado a miembros quedaba fuera de esa emisión automática del registro. Por otra parte, un titular podía crear sus propios objetos AS0 para recursos bajo su cuenta. Son superficies diferentes: una es el estado que AFRINIC mantiene sobre su inventario; la otra es una decisión del titular respecto de recursos vinculados a su cuenta.

Confundirlas haría parecer más amplia la intervención del registro de lo que realmente se propuso.

La transición hacia una asignación contenía una barrera importante. Antes de asignar el espacio cubierto, el objeto o los objetos AS0 debían revocarse y dejar de ser visibles en los repositorios. Esto reconoce un peligro elemental: no se debe entregar un prefijo para uso ordinario mientras siga publicada una afirmación autenticada de que no debería originarse. La desaparición previa reduce la posibilidad de que la nueva asignación nazca enfrentada a una señal contradictoria. Es una regla sensata, pero no responde por sí sola a cuánto tarda cada parte del sistema en olvidar la vista anterior.

El punto débil aparece cuando un estado del registro es equivocado o se vuelve obsoleto. Si un prefijo se incluye por error, o si la retirada no se observa a tiempo, una red que utilice el TAL puede ver como Invalid un origen legítimo. Esa red todavía controla su reacción. Quizá solo genere una alarma; quizá aplique una preferencia menor; quizá rechace. Pero la voluntariedad de la política no hace desaparecer el coste.

El operador que no creó el error registral puede asumir horas de diagnóstico, consultas al tránsito, presión de clientes, daño reputacional y trabajo de recuperación mientras intenta averiguar si el problema está en su anuncio, en un objeto firmado, en la caché de un validador o en la política de otra red.

Aquí la separación del TAL mejora la reversibilidad de dos maneras limitadas pero reales. Primero, quien no lo ha incorporado no recibe esa clase de señal. Segundo, quien sí lo usa puede aislarla al investigar: puede comprobar si la anomalía depende del conjunto AS0 de AFRINIC y comparar vistas. Sin embargo, un interruptor de entrada no es un procedimiento completo de corrección.

Draft 2 no especificó el comportamiento predeterminado del TAL, la forma exacta del despliegue, la definición de una medición, el período de validez, un canal de emergencia autenticado, la verificación de una reclamación, un objetivo de servicio, la prueba de convergencia de cachés ni la asignación de responsabilidades por pérdidas de operadores o clientes.

Tampoco hay que atribuir al texto resultados que la evidencia no contiene. No queda demostrado aquí que Draft 2 fuera adoptado, desplegado o usado para emitir un objeto AS0 en producción. No se prueba un falso positivo real, una ruta rechazada, una caída, un prefijo afectado, una pérdida para un titular ni un beneficio de seguridad medido. La referencia a espacio devuelto o reclamado procede de la interpretación del personal; no autoriza a importar una redacción posterior ni a suponer cómo se resolvería un estado controvertido o incompleto.

La prudencia consiste en analizar el mecanismo propuesto y sus consecuencias posibles sin convertir posibilidades en sucesos.

La posición institucional es igualmente precisa. AFRINIC tenía control técnico exclusivo para firmar respecto del inventario no asignado dentro de su propio servicio registral. Esa exclusividad no equivale a propiedad ni a autoridad pública. AFRINIC no legislaba, regulaba, juzgaba, castigaba ni confiscaba. Mantenía registros privados, producía metadatos de seguridad y coordinaba su retirada. Los operadores seguían decidiendo qué fuente incorporar y qué política ejecutar. La mejor versión del servicio no necesita elevar al contable a soberano; necesita que el contable sea exacto, transparente, corregible y reemplazable.

La lectura de Heng Lu ayuda a mantener esa frontera. La coordinación útil debe permanecer delgada: conservar identificadores únicos, publicar evidencia comprobable y dejar la decisión operativa cerca de quienes ejecutan las redes. El código que funciona y las observaciones reales pesan más que una promesa abstracta. En este caso, la prueba de cinco minutos sirve como dato acotado sobre una operación, mientras la ausencia de una medición extremo a extremo impide elevarla a garantía. La adopción voluntaria mediante el TAL separado es valiosa precisamente porque reconoce que la confianza técnica debe ganarse y poder retirarse.

NRS añade la perspectiva de los miembros y la necesidad de una corrección inspeccionable. Puede comparar el estado registral, la publicación firmada y lo que ven redes independientes; puede facilitar salida y redundancia; puede documentar si una corrección llega a distintos puntos. No por ello se convierte en asignador, firmante de AFRINIC ni autoridad sobre rutas. Su función útil es reducir la dependencia de una sola mirada y dar a los operadores evidencia externa con la que contrastar el relato del editor.

LARUS sitúa el problema donde duele: en la continuidad del operador y del cliente. Una diferencia temporal entre el registro y las cachés puede aparecer, para el usuario final, como un servicio intermitente o inaccesible. Quien atiende al cliente necesita tiempos, puntos de observación, contactos y estados de corrección, no una afirmación vaga de que el objeto ya fue retirado. BTW, por su parte, aporta el criterio de realidad verificable: separar lo que el documento propuso, lo que el personal probó y lo que no se observó.

Su análisis general sobre AS0 marca un límite temático; aquí la cuestión más estrecha es si el TAL distinto hizo el error más voluntario, visible y reversible.

La respuesta inicial es asimétrica. Sí hizo más voluntaria la recepción y más posible la medición separada. También facilitó un diagnóstico que pudiera identificar esa fuente especial. No demostró, en cambio, una recuperación rápida para todas las redes ni un reparto completo de responsabilidades. Cinco minutos podían cerrar la operación del editor; el resto del camino seguía sin un reloj común.