Resumen

  • La solicitud ACSP 2011.17 pidió que cada clave API pudiera limitarse por acción, lectura o escritura y POC representado. ARIN aún la marca Open.
  • ARIN calculó en abril de 2012 unos 1.458.000 dólares de ingeniería y dejó su último comentario público sobre la solicitud en abril de 2018.

La seguridad de una llave depende de las puertas que abre. La de una clave API también. En abril de 2011, Mike Joseph observó que la automatización de ARIN exigía guardar una credencial en un sistema donde podían verla personas distintas de su titular. Su petición al registro no proponía abandonar la automatización. Pedía que el alcance de cada clave se ajustara al trabajo concreto de la máquina.

Joseph enumeró los cortes. Permitir unas acciones RESTful o de plantilla y otras no. Distinguir lectura de escritura por tipo de modificación. Atar la clave a un POC específico, en lugar de permitirle actuar por todos los POC asociados a la cuenta de ARIN Online. Ese último punto importa en una organización grande: una cuenta puede reunir responsabilidades distintas, mientras que un proceso de software solo necesita una fracción. Sin el límite, el diseño de permisos del registro empuja al operador a crear cuentas de rol o a confiar una credencial más amplia a la máquina.

ARIN contestó primero con una propuesta de consulta comunitaria. En abril de 2012, su personal estimó aproximadamente 1.458.000 dólares de trabajo de ingeniería, además de comunicaciones y documentación, y advirtió sobre complejidad y confusión para usuarios. En 2018 indicó que la sugerencia no estaba en el plan de trabajo de ese año y entraría en la consulta sobre propuestas abiertas. La lista ACSP vigente todavía muestra 2011.17 como Open. Aquella cifra es una estimación histórica, no una cotización del sistema actual.

El manual vigente de claves explica que la credencial identifica al usuario, no vence por sí sola y puede desactivarse. Una sola clave puede servir para varias interacciones; varias claves permiten rastrear solicitudes de forma local. El manual menciona registros, DNS, RPKI, DNS inverso y descargas restringidas. Para una llamada REST, también exige que la cuenta esté vinculada con un POC autorizado. Identidad y autoridad del POC son dos controles. Joseph pedía un tercero: un límite dentro de la propia clave.

El manual no describe esos límites por clave y la ficha pública no registra una decisión posterior a 2018. Una especificación actual de permisos granulares o una resolución formal de 2011.17 cambiaría el diagnóstico. Hasta entonces, el registro muestra cómo se genera y se apaga la llave; deja sin cierre público la pregunta sobre cuántas puertas debe abrir mientras funciona.