Resumen

  • Draft 3 acertó al ordenar que los recursos recuperados recibieran ROA AS0 de AFRINIC solamente al final del proceso de recuperación: iniciar, alegar o tramitar una recuperación no equivale a haber alcanzado un estado final y comprobable.
  • La cadena institucional tiene actores distintos. AFRINIC mantiene un libro privado y puede firmar metadatos dentro de su servicio; un validador calcula un estado técnico; cada red decide después si observa, reduce preferencia, rechaza o no modifica una ruta.
  • Una ROA AS0 correctamente acotada puede ofrecer una advertencia autenticada sobre espacio que no debería tener un origen ordinario. Una afirmación prematura, en cambio, puede trasladar la incertidumbre interna del registro a costes desiguales de conectividad sin resolver ninguna controversia jurídica.
  • Para que la palabra «final» sea auditable, harían falta un comprobante versionado de finalización, aislamiento visible de conflictos, tiempos claros de publicación y retirada, corrección rápida, observación independiente y plena libertad de respuesta para los operadores.

La frase que obligaba a demostrar el final

La aportación propia de Draft 3 cabe en una línea y, sin embargo, esa línea carga con casi todo el peso institucional del documento. El 19 de abril de 2021, Haitham El-Nakhal y Yazid Akanho presentaron la versión 3 de AFPUB-2019-GEN-006. El historial oficial resumió el cambio como una consideración sobre recursos recuperados. El texto indicó que AFRINIC debía añadir esos recursos a sus objetos AS0 solo al final del proceso de recuperación. No dijo al comenzar. No dijo cuando una oficina hubiera formado una opinión. No dijo cuando existiera una pretensión de retorno. Dijo al final.

La diferencia temporal no es decorativa. Antes de ese final puede existir una sucesión privada de comunicaciones, comprobaciones, anotaciones y decisiones todavía incompleta. El registro puede creer que una recuperación procede, puede haber iniciado actuaciones internas o puede estar ajustando su inventario. Nada de ello demuestra, por sí solo, que el estado susceptible de publicación sea definitivo. Después de un final suficientemente acreditado, la afirmación cambia de naturaleza: el libro ya no describe una transición abierta, sino un recurso que el propio servicio registra como recuperado y fuera de la expectativa ordinaria de origen.

Draft 3 reconoció esa diferencia sin desarrollar la prueba necesaria para atravesarla.

Una condición temporal con consecuencias fuera del libro

Una base de datos privada puede corregirse internamente sin que cada anotación provisional produzca consecuencias inmediatas en Internet. Una afirmación firmada y publicada es distinta. Su objetivo es salir del ámbito de la oficina que la crea, llegar a repositorios, ser recogida por validadores y convertirse en un dato que otras redes pueden usar. Por eso el momento de firmar exige más disciplina que el momento de abrir un expediente interno.

La utilidad de la firma procede de que otros no necesitan confiar en una lista informal; su riesgo procede de que esos mismos terceros pueden otorgarle un peso operativo que el emisor no controla una vez distribuida.

AS 0 no es un origen BGP ordinario. En este contexto, una ROA que lo usa expresa la intención negativa de que los prefijos cubiertos no se anuncien con un origen normal. Si aparece un anuncio conflictivo y un validador incorpora el ancla de confianza correspondiente, el resultado de validación puede ser Invalid. Ese término pertenece a la comprobación técnica de origen. No significa que una persona haya perdido un derecho, que una entidad haya cometido un abuso ni que un tribunal haya resuelto una controversia. Tampoco ejecuta por sí mismo una retirada global.

La red receptora conserva la decisión: puede generar una alerta, reducir preferencia, rechazar o mantener su conducta.

Esa separación explica por qué la frase sobre el final importa. AFRINIC no necesitaba controlar cada router para que una clasificación prematura causara fricción. Bastaba con que algunas redes concedieran relevancia a la señal y otras no. Una misma ruta podría seguir siendo visible en una parte de Internet y recibir un trato más restrictivo en otra. El eventual coste no surgiría de una orden central, sino de muchas decisiones locales coherentes con políticas distintas. Precisamente porque el efecto sería distribuido, el dato original tendría que ser excepcionalmente exacto.

Lo que la versión conservaba y lo que realmente cambió

El documento mantenía la propuesta de que AFRINIC creara ROA AS0 para espacio IPv4 e IPv6 no asignado ni adjudicado del que fuera administrador en su servicio. También mantenía una distinción importante: un titular podía crear sus propias ROA AS0 para recursos bajo su cuenta o administración, mientras AFRINIC se ocuparía del inventario que no estuviera asignado o adjudicado a miembros. La diferencia separaba la intención negativa expresada por un titular de la afirmación emitida por el registro sobre el estado de su propio inventario.

El diseño preservaba asimismo una regla de secuencia antes de una futura asignación: los objetos AS0 que cubrieran el espacio debían revocarse y desaparecer completamente de los repositorios antes de que AFRINIC lo asignara. Esa exigencia mostraba que una señal negativa no podía coexistir razonablemente con el acto posterior que volvería a hacer esperable un origen ordinario. La retirada no era un detalle de limpieza; era la otra mitad de la exactitud temporal. Publicar tarde podía dejar espacio sin la advertencia deseada. Retirar tarde podía hacer que un recurso recién asignado pareciera incompatible con el registro que acababa de asignarlo.

La posible utilización de un localizador de ancla de confianza distinto seguía presente. Podía permitir que el servicio fuera optativo y se midiera separadamente, al menos en una fase inicial. Pero esa opción no fue la novedad propia de la tercera versión, y tampoco resuelve el problema de finalización. Separar una fuente limita quién la consume y puede contener su radio de efecto. No convierte una clasificación incorrecta en correcta. Una afirmación prematura sigue siendo prematura incluso si llega a menos validadores.

El cambio singular fue la regla aplicable a lo recuperado. El espacio nunca asignado plantea, en principio, una pregunta de inventario: ¿lo registra AFRINIC como disponible o reservado y, por tanto, sin un origen ordinario esperado? El espacio que vuelve desde una relación anterior añade una transición. Hay un antes, un durante y un después. Confundirlos permitiría que el mecanismo de seguridad dejara de describir un resultado y empezara a presionar para producirlo. La frase nueva se opuso a esa confusión: la firma debía seguir al cierre, no anticiparlo.

La defensa más sólida de una advertencia autenticada

Conviene tomar en serio la mejor justificación del mecanismo. Cuando el estado del inventario es exacto, una señal AS0 puede ser más coherente que múltiples listas de bogons mantenidas manualmente, actualizadas a ritmos distintos y distribuidas sin una procedencia criptográfica común. Si un bloque figura de manera fiable como no asignado, no adjudicado o definitivamente recuperado, un anuncio ordinario merece atención. Dar a redes dispuestas a usar la información una prueba legible por máquinas puede reducir ambigüedad, acelerar la detección de orígenes inesperados y hacer visible la intención del administrador del inventario.

No hace falta inflar la función de AFRINIC para reconocer ese valor. Un registro técnico privado puede prestar un servicio útil precisamente porque conserva correspondencias estables entre recursos numéricos y estados administrativos. Puede mantener el inventario, emitir certificados dentro de un ámbito determinado, publicar objetos precisos y corregirlos. Esa labor de coordinación es real y necesaria. Negarla por temor a una extralimitación sería tan impreciso como convertirla en una potestad pública.

Draft 3 introdujo una restricción genuina en favor de esa utilidad. Al esperar hasta el final, reducía el riesgo de que el registro usara una señal de seguridad para adelantar el desenlace de su propio proceso. El mecanismo estaría mejor defendido si comunicara solamente algo que el libro ya pudiera sostener como acabado: «este prefijo se encuentra ahora en el inventario recuperado y, según ese estado final, no se espera un origen ordinario». Esa es una afirmación técnica acotada. No necesita decir quién tuvo razón en todos los desacuerdos posibles ni por qué una relación privada terminó. Necesita ser cierta en el momento de publicarse.

La restricción también protege la credibilidad futura del emisor. Una fuente negativa resulta valiosa en la medida en que sus consumidores pueden confiar en que el conjunto cubierto no mezcla espacio inequívocamente disponible con recursos cuyo estado todavía se discute. Si esa mezcla ocurre, cada operador debe compensar la incertidumbre del registro con excepciones, comprobaciones paralelas o menor confianza. Una sola inclusión errónea puede no destruir un servicio, pero expone la asimetría: el editor conoce el razonamiento interno; el operador remoto solo ve el objeto firmado y las consecuencias de su propia política.

La prueba que falta detrás de la palabra «final»

El mérito de la frase no elimina su vacío. El documento público no definió una prueba verificable para saber cuándo terminaba una recuperación. No fijó qué evidencia debía revisarse, cómo se representaba una reclamación conflictiva, quién podía declarar el cambio dentro del proceso privado, qué vía de objeción existía, cuánto tiempo podía durar una corrección urgente ni cómo terceros comprobarían que la firma y el repositorio reflejaban la rectificación. La evaluación del personal describió cambios de inventario, automatización, controles y supervisión, pero tampoco convirtió «el final» en un estado público reproducible.

No se debe llenar ese vacío inventando un procedimiento. El material disponible no demuestra los pasos jurídicos o contractuales de una recuperación concreta. No identifica un titular, un prefijo, una notificación, una apelación, una controversia real ni un responsable que hubiera cerrado un caso. Tampoco permite concluir que no existiera algún documento interno adicional. La ausencia en el registro público consultado es una incertidumbre, no una prueba de inexistencia. El análisis debe permanecer en ese límite.

Sí es posible, en cambio, evaluar la arquitectura que el texto deja entrever. Si el inicio y el final son estados diferentes, el paso entre ambos requiere un rastro. Sin ese rastro, una persona fuera de AFRINIC no puede distinguir entre un recurso que atravesó una secuencia completa y otro que fue trasladado de categoría porque una anotación interna lo dio por hecho. La firma criptográfica certifica la procedencia del objeto; no certifica por sí sola la calidad del razonamiento que produjo el estado de origen. La exactitud institucional debe construirse antes de firmar.

Un ejemplo hipotético aclara el límite sin atribuir un incidente. Imaginemos que una oficina inicia una recuperación y la automatización interpreta el inicio como un resultado. El prefijo pasa al conjunto AS0 mientras todavía existe una cuestión no resuelta sobre su estado. Algunos validadores clasifican un anuncio ordinario como Invalid; algunas redes aplican una política restrictiva. Aunque AFRINIC corrija luego el libro, quedan preguntas sobre la retirada del objeto, la propagación del cambio y la duración de las vistas desactualizadas. La dificultad no prueba que aquello haya sucedido.

Muestra por qué Draft 3 hizo bien en posponer la publicación y por qué necesitaba definir mejor su condición de salida.

Un objeto de estudio deliberadamente estrecho

Este análisis se ocupa únicamente del umbral de finalización de Draft 3 y del riesgo de que una clasificación todavía provisional produzca un falso positivo. El texto público no demuestra una implementación, un objeto emitido, la adopción por un operador, un prefijo afectado, el rechazo de una ruta, una pérdida ni un beneficio medido.

Ese recorte evita una historia retrospectiva engañosa. Saber que hubo acontecimientos posteriores no autoriza a leerlos dentro de la tercera versión. El acto aquí comprobado es la publicación de un texto y una modificación concreta. No prueba que AFRINIC llegara a emitir un objeto en producción, que un operador adoptara la fuente, que un prefijo resultara afectado, que una ruta fuera rechazada, que alguien sufriera una pérdida o que hubiera un beneficio medido. La prudencia probatoria no debilita la crítica; la vuelve más precisa.

La pregunta relevante queda así delimitada: ¿qué condiciones necesita un registro privado para transformar un estado de inventario en una afirmación negativa firmada sin convertir una transición abierta en una decisión operativa que otros tratarán como final? Draft 3 ofreció la intuición correcta —esperar—, pero no publicó el método mediante el cual cualquiera pudiera comprobar que la espera había terminado. Esa omisión se vuelve más clara cuando se sigue, paso a paso, el recorrido desde el libro hasta las decisiones locales de las redes.