Le risque de gouvernance au sein de la couche RPKI d'AFRINIC

Une attestation d'origine de route est censée être le genre de chose qu'un conseil d'administration n'a jamais à discuter. Il s'agit d'une petite déclaration cryptographique, publiée par ou pour un détenteur de ressources réseau, qui indique au reste du système de routage quel système autonome est autorisé à être à l'origine d'un préfixe IP particulier. Les ingénieurs la connaissent sous le nom de ROA, faisant partie de l'infrastructure à clé publique des ressources (RPKI).

Les dirigeants ne la rencontrent généralement qu'après un incident: un client demande pourquoi une route est filtrée, un fournisseur de transit veut une preuve d'autorité, un assureur demande comment le risque de détournement de route est contrôlé, un avocat d'acquisition demande si l'espace d'adressage de la cible peut continuer à fonctionner après la clôture, ou un prêteur demande si les revenus liés à un portefeuille IPv4 reposent sur une chaîne de certificats contrôlée par une institution en difficulté.

C'est là que la RPKI cesse de ressembler à une simple installation de sécurité réseau pour ressembler à un crédit institutionnel. Une ROA n'est pas simplement une ligne dans un système technique. C'est une affirmation selon laquelle l'autorité du registre sur un bloc peut être suffisamment fiable pour que les routeurs, les contreparties et les clients puissent agir en conséquence. La partie qui s'appuie sur cette déclaration peut ne jamais parler au registre. Elle peut seulement voir qu'une route est valide, invalide ou non trouvée sous une chaîne de certificats.

Pourtant, derrière cet état de validation laconique se cache un arrangement social en couches: le registre sait précisément qui détient la ressource; le détenteur ou son opérateur autorisé contrôle le bon compte; les clés et les systèmes de publication concernés sont intacts; la révocation est légale et susceptible de révision; et la continuité institutionnelle est suffisamment solide pour qu'un combat judiciaire, une mise sous séquestre, un effondrement du conseil d'administration ou un défaut d'enregistrement ne modifie pas silencieusement les hypothèses de fonctionnement d'un réseau.

AFRINIC est le test le plus aigu de cet arrangement. L'African Network Information Centre est le registre Internet régional pour l'Afrique et certaines parties de l'océan Indien. Il s'agit d'une organisation mauricienne à but non lucratif, basée sur l'adhésion, qui distribue et enregistre les adresses IPv4, les préfixes IPv6 et les numéros de systèmes autonomes, tout en offrant des services tels que WHOIS, RDAP, DNS inversé, un registre de routage Internet et un programme de certification des ressources pour la RPKI. En temps ordinaire, ce catalogue ressemble à un ensemble de fonctions de registre.

En période de tension, c'est une liste de dépendances. Le même compte de membre qui demande une mise à jour d'enregistrement peut également être le chemin par lequel le matériel de certification est créé. Le même fait de registre qui identifie un détenteur peut déterminer qui peut publier une ROA. Le même conseil d'administration qui autorise les litiges, les budgets et la haute direction peut influencer la stabilité du personnel, des systèmes et des services aux membres nécessaire pour que la publication de la sécurité de routage soit digne de confiance.

Le risque n'est pas qu'AFRINIC puisse éteindre l'Internet africain en émettant une commande spectaculaire. La RPKI est plus subtile que cela, et les réseaux opérationnels disposent de nombreuses couches de résilience. Le risque est que la RPKI transforme la légitimité du registre en une dépendance de routage lisible par machine. Lorsque les opérateurs configurent les routeurs pour rejeter les origines invalides, ils ne font pas seulement confiance à la cryptographie. Ils font confiance à l'institution qui ancre la chaîne cryptographique.

Cette institution doit être ennuyeuse d'une manière spécifique: précise dans ses enregistrements, retenue dans l'exécution, solvable pour fonctionner, légitime pour prendre des décisions, disciplinée pour ne pas utiliser les services de sécurité comme levier, et suffisamment continue pour que les tribunaux ou les séquestres puissent préserver la fonction sans transformer la publication de l'origine de la route en un autre champ de bataille.

L'histoire récente d'AFRINIC rend cette dépendance lisible. Des reportages publics ont décrit des allégations antérieures de corruption de registre d'adresses impliquant de précieux espaces IPv4 africains. Le différend avec Cloud Innovation a transformé l'examen des ressources, l'interprétation de l'utilisation régionale et l'activité commerciale IPv4 en litige. L'Internet Governance Project a rapporté qu'en juillet 2021, un tribunal mauricien a provisoirement gelé jusqu'à 50 millions de dollars américains sur les comptes bancaires d'AFRINIC, une mesure qui menaçait les opérations ordinaires.

La Number Resource Organization a ensuite décrit une ordonnance judiciaire de 2023 nommant un séquestre dont le rôle comprenait la préservation du statu quo, la supervision des élections et le rétablissement d'une gouvernance fonctionnelle. The Register a suivi la crise électorale qui a suivi: un registre sans conseil d'administration ni directeur général normal, des avertissements concernant les identifiants, des préoccupations d'ICANN, des retards de vote, des allégations impliquant des procurations, l'annulation d'une élection en juin 2025, la restauration ultérieure du conseil d'administration et des litiges se poursuivant jusqu'en 2026.

Ces épisodes ne prouvent pas chaque affirmation faite par l'une ou l'autre partie. Ils prouvent que la couche institutionnelle du registre est devenue une surface de risque active.

La RPKI est la partie de cette surface qui mérite une attention particulière car elle comprime la question institutionnelle en une sortie cryptographique. Un enregistrement public de registre peut être vérifié par une personne. Une délégation de DNS inversé peut échouer bruyamment. Les données WHOIS ou RDAP peuvent sembler obsolètes et être interprétées avec prudence. La RPKI est conçue pour l'automatisation. Elle invite les opérateurs à laisser les validateurs transformer des assertions soutenues par le registre en décisions de routage. C'est sa valeur de sécurité. C'est aussi son risque de gouvernance.

Lorsque le registre est digne de confiance, l'automatisation réduit les coûts de détournement et d'erreur. Lorsque la légitimité du registre est contestée, l'automatisation peut transmettre la défaillance institutionnelle plus rapidement et plus silencieusement que ne le faisait l'ancienne dépendance manuelle.

La validation de l'origine de la route reste techniquement utile, et AFRINIC ne devrait pas y renoncer. La question est de savoir quelle économie institutionnelle la RPKI révèle. Elle montre que le registre n'est plus seulement un teneur de registres administratifs dont les entrées peuvent être inspectées après coup. C'est une couche de confiance déléguée dont les certificats peuvent affecter le traitement des routes actives.

Dans une région où la rareté de l'IPv4 a transformé les blocs d'adresses en intrants commerciaux précieux, où la location et les transferts rendent la séparation détenteur/opérateur courante, et où la gouvernance, les tribunaux, la mise sous séquestre, le contrôle des comptes et l'exactitude des enregistrements ont tous été mis à rude épreuve, cette couche de confiance devient un risque de marché et opérationnel à part entière.

Le certificat derrière la route

La RPKI est souvent expliquée comme une réponse technique à un problème de sécurité de routage. Le Border Gateway Protocol permet aux réseaux d'annoncer l'accessibilité aux préfixes IP, mais il n'a pas été conçu à l'origine pour prouver que le système autonome annonceur est autorisé par le détenteur reconnu de la ressource. Des erreurs, des fuites et des détournements peuvent donc se propager car les routeurs voient un chemin, pas une preuve légale ou administrative d'autorité d'origine. La RPKI ajoute une hiérarchie de certification des ressources. En haut se trouvent les ancres de confiance associées aux registres régionaux.

En dessous se trouvent des certificats couvrant les ressources. Une autorisation d'origine de route indique, en substance, qu'un système autonome spécifié peut être à l'origine d'un préfixe spécifié, généralement avec une longueur de préfixe maximale. Les validateurs récupèrent le matériel du dépôt, vérifient les chaînes de certificats et produisent les états sur lesquels les filtres de route peuvent agir.

Les mécanismes importent car ils révèlent la dépendance économique. La déclaration d'origine de la route est cryptographique, mais l'autorité derrière elle est institutionnelle. Un validateeur ne sait pas par lui-même si une entreprise à Lagos, Maurice, Johannesburg, Nairobi, Dubaï ou Hong Kong a la meilleure revendication contractuelle sur un bloc. Il sait si un objet publié remonte à une ancre de confiance reconnue et correspond aux données mises à disposition via ce système. Le certificat n'élimine pas le besoin d'un registre. Il rend la reconnaissance du registre plus difficile, plus portable et plus automatisable.

Dans un modèle de RPKI hébergée, le registre ou ses systèmes peuvent créer et publier le matériel de certification après que le membre utilise un portail ou un compte pour exprimer l'autorisation souhaitée. Dans un modèle délégué, un membre peut gérer davantage sa propre opération de certification, mais la chaîne commence toujours par l'ancre de confiance du registre et la relation de certificat de ressource. Dans les deux cas, le rôle du registre n'est pas accessoire. C'est la racine institutionnelle qui permet aux parties prenantes de traiter un objet cryptographique comme significatif.

Si les enregistrements de ressources du registre sont erronés, si le contrôle du compte est compromis, si l'autorité d'un membre est contestée, si un certificat est révoqué sans procédure claire, ou si la publication est interrompue, la couche de sécurité de routage hérite du problème.

Cela diffère de la cybersécurité ordinaire. Un pare-feu, un magasin de clés ou un routeur peut être audité comme un actif sous le contrôle de l'opérateur. La RPKI est en partie sous le contrôle de l'opérateur et en partie sous un arrangement de confiance régional. L'opérateur peut choisir de créer une ROA, de maintenir son ensemble de routes, de sécuriser ses comptes et de surveiller les invalides. Il ne peut pas déterminer par lui-même si le registre régional reste légitime, solvable, capable de publier, prudent dans la révocation ou à l'abri des litiges.

Une chaîne de certificats est donc un bien hybride: en partie logiciel, en partie droit des registres, en partie relation avec les membres, en partie confiance du marché.

Ce caractère hybride est facile à manquer lorsque la RPKI fonctionne. Un état d'origine de route valide semble propre. Un ingénieur réseau voit que le préfixe est couvert, que le système autonome d'origine correspond et que le validateeur est satisfait. Un fournisseur de transit peut augmenter la préférence des routes valides ou filtrer les invalides. Un client peut demander une posture de sécurité de routage dans le cadre d'un achat. Un conseil d'administration peut accepter une brève assurance que l'entreprise a « implémenté la RPKI ». Mais cette phrase cache l'institution derrière l'implémentation.

Elle ne dit rien sur qui peut modifier la ROA demain, ce qui se produit si le détenteur perd l'accès au portail, si un preneur peut obtenir l'autorisation appropriée d'un bailleur, comment un transfert contesté est géré, si une ordonnance judiciaire restreint les modifications, ou si un séquestre peut maintenir les services de certification neutres.

L'analogie économique est une lettre de crédit plutôt qu'un cadenas. La cryptographie vérifie que la lettre est authentique. Le marché demande toujours si la banque la soutient. Si la banque est bien gouvernée, capitalisée et légalement supervisée, la lettre est digne de confiance. Si la banque est sous séquestre, se bat pour les signataires et fait l'objet d'ordonnances de gel, la même forme technique comporte un risque différent. Dans la RPKI, le registre n'est pas une banque, mais il remplit une fonction de confiance connexe pour la dépendance à l'origine de la route.

Le marché se soucie moins des slogans institutionnels que de savoir si la revendication survivra au stress.

C'est pourquoi l'histoire de la RPKI d'AFRINIC ne peut être séparée de son histoire de gouvernance. Le matériel de service public d'AFRINIC place la RPKI aux côtés de la gestion des ressources, du DNS inversé, de WHOIS, de RDAP et de l'IRR. C'est exact, mais cela sous-estime le caractère spécial de la RPKI. WHOIS et RDAP publient des informations. Le DNS inversé délègue une fonction de nommage. Les objets IRR guident la politique de routage, souvent avec prudence car la qualité des données varie. La RPKI demande aux routeurs de se fier à l'autorité cryptographique des ressources.

Plus les réseaux traitent les invalides comme des routes à rejeter, plus la RPKI transforme la reconnaissance institutionnelle en résultat opérationnel.

La conséquence est un nouveau type de diligence. Une entreprise qui achète ou loue de l'espace IPv4 dans la région d'AFRINIC ne demande pas seulement si le bloc est routé, les contacts sont actuels, la réputation d'abus est propre et le DNS inversé peut être délégué. Elle demande qui peut publier des ROA, si les ROA peuvent être transférées ou réémises rapidement, si les routes des clients pourraient devenir invalides en cas de litige sur le registre, et si la continuité du registre elle-même pourrait affecter la publication. Pour un opérateur réseau, ces questions sont techniques.

Pour un directeur financier, ce sont des questions de protection des revenus. Pour un avocat, ce sont des questions d'autorité et de responsabilité. Pour un conseil d'administration, c'est un risque d'entreprise.

La RPKI force ainsi un changement de vocabulaire. La question importante n'est pas simplement « l'adoption de la sécurité ». C'est la confiance institutionnelle déléguée. Un système de sécurité de routage ne peut pas être jugé uniquement par le nombre de préfixes avec ROA ou par le nombre de réseaux filtrant les invalides. Il doit également être jugé par la résilience et la retenue de l'autorité qui peut émettre, héberger, révoquer, suspendre, préserver ou ne pas publier le matériel sous-jacent.

AFRINIC est une étude de cas car sa crise montre ce qui se produit lorsque l'environnement corporatif et juridique de l'ancre de confiance n'est plus invisible.

Pourquoi AFRINIC rend visible le marché caché

AFRINIC n'est pas important pour cette question parce qu'il est particulièrement incapable de gérer des services techniques. Les archives publiques suggèrent le contraire à certains égards: le personnel a maintenu de nombreux services en fonctionnement à travers des années de tumulte. AFRINIC est important car il expose des conditions que de nombreux systèmes de registre préfèrent garder abstraites. C'est une société privée basée sur l'adhésion, régie par le droit national. Elle exerce une fonction de coordination régionale avec des effets transfrontaliers.

Ses membres ne peuvent pas simplement déplacer leurs ressources africaines vers un autre registre régional si la gouvernance devient inconfortable. Elle administre des ressources IPv4 rares dont la valeur marchande peut éclipser les frais d'adhésion annuels. Elle offre des services de confiance technique qui dépendent du même système de reconnaissance que les tribunaux, les membres et les plaideurs ont contesté.

Cette combinaison rend le marché institutionnel inhabituellement visible. Dans un registre stable, la RPKI apparaît comme un service standard. Dans le cas d'AFRINIC, les événements environnants rendent chaque hypothèse explicite. Qui parle pour le registre lorsqu'il n'y a pas de conseil d'administration normal? Qui contrôle les budgets si les comptes bancaires sont gelés? Qui supervise le personnel pendant la mise sous séquestre? Qui vérifie l'autorité des membres lorsque les identifiants électoraux sont contestés? Qui décide si l'utilisation des ressources par un membre enfreint la politique?

Qui préserve la publication de la RPKI si un litige demande des ordonnances affectant les comptes, les ressources ou le contrôle corporatif? Qui empêche un différend sur les sièges au conseil d'administration de se transformer en un différend sur la confiance opérationnelle?

La réponse ne peut pas simplement être « la communauté ». Ce mot fait un travail utile dans l'élaboration des politiques, mais la RPKI nécessite une autorité opérationnelle responsable. Une partie prenante dans un autre pays ne peut pas inspecter un consensus sur une liste de diffusion avant d'accepter ou de rejeter une route. Elle voit un objet dans un dépôt et un résultat de validation.

Le système repose donc sur une chaîne plus étroite de faits institutionnels: la ressource a été allouée ou attribuée; le détenteur ou l'opérateur autorisé a l'autorité; le compte est sécurisé; le matériel de certification a été publié sous un contrôle approprié; et le registre reste capable de remplir sa fonction. Le langage communautaire peut expliquer comment les politiques émergent. Il ne gère pas par lui-même le contrôle des clés.

La réponse ne peut pas non plus être simplement « les tribunaux ». Les tribunaux sont essentiels car AFRINIC n'est pas souverain et ses membres ont besoin de recours en vertu de la loi. La nomination d'un séquestre à Maurice était une mesure de continuité supervisée par le tribunal, pas une panne d'Internet. Elle a montré que les institutions juridiques ordinaires peuvent préserver une société privée exerçant une fonction technique d'intérêt public. Pourtant, les tribunaux ne sont pas des opérateurs de routage et ne devraient pas être invités à reconcevoir la RPKI sous pression d'urgence.

Un tribunal peut restreindre une action corporative, nommer un séquestre, ordonner une clarification, entendre des arguments de liquidation ou trancher des revendications contractuelles. Il ne peut pas être la source quotidienne de confiance que chaque ROA reste opérationnellement neutre.

Le problème économique est que la RPKI réduit la tolérance au retard. Un processus judiciaire lent peut être supportable pour une demande de dommages et intérêts. Un différend lent entre membres peut être supportable pour une élection. Un transfert lent peut être coûteux mais négociable. Un problème de publication d'origine de route peut devenir visible en quelques minutes ou heures s'il modifie l'état de validation et que les réseaux l'appliquent. Même si aucune invalidation spectaculaire ne se produit, la possibilité change le comportement. Les clients demandent des assurances aux fournisseurs.

Les bailleurs construisent des clauses autour du maintien des ROA. Les acheteurs exigent des conditions de livraison. Les fournisseurs de transit demandent une hygiène de routage. Les services cloud surveillent les états invalides. La condition institutionnelle du registre devient donc une partie de la discussion sur le niveau de service.

La crise d'AFRINIC montre également comment la RPKI peut se trouver à l'intersection de trois différends souvent séparés: la légitimité de la gouvernance, l'exactitude des enregistrements et l'utilisation commerciale. La légitimité de la gouvernance demande si le conseil d'administration, le séquestre, le personnel et les processus corporatifs sont habilités à agir. L'exactitude des enregistrements demande si le registre connaît le véritable détenteur et les contacts autorisés.

Les différends sur l'utilisation commerciale demandent si la location, les transferts ou les clients hors région d'un détenteur sont conformes à la politique et aux accords. La RPKI a besoin que les trois soient stables. Si la légitimité est contestée, l'autorité de publication est remise en question. Si les données sont erronées, le mauvais acteur peut créer ou retenir une ROA. Si l'utilisation commerciale est contestée, le registre peut être tenté de traiter la certification comme un point de contrôle plutôt que comme un service de sécurité neutre.

Cette tentation est la plus importante. La RPKI ne devrait pas devenir une arme d'exécution. Un registre doit pouvoir corriger une fraude, suspendre des comptes compromis, se conformer à des ordonnances légales et empêcher une certification frauduleuse. Mais s'il peut utiliser la publication d'origine de route comme levier dans des différends ordinaires sur les frais, l'interprétation des politiques, la location, les transferts ou la politique des membres, la couche de confiance devient une couche de contrôle.

Les opérateurs sont alors confrontés à un choix: adopter la RPKI pour la sécurité ou limiter l'adoption pour éviter de dépendre d'un registre dont ils ne font pas confiance au pouvoir discrétionnaire. Ce serait un résultat pervers: un outil de sécurité affaibli par le risque de gouvernance.

Les faits particuliers d'AFRINIC donnent de la force à ce problème. Les allégations de corruption de registre d'adresses de 2019 ont fait de l'intégrité du grand livre une préoccupation réelle. Le différend avec Cloud Innovation a rendu l'utilisation commerciale de l'IPv4 et l'interprétation des politiques explosifs sur le plan économique. Le gel de compte rapporté en 2021 a rendu la solvabilité institutionnelle et la trésorerie d'exploitation visibles. La mise sous séquestre a rendu la continuité judiciaire visible. Les différends électoraux de 2025 ont rendu l'autorité des membres et la légitimité du conseil d'administration visibles.

Les litiges se poursuivant jusqu'en 2026 ont rendu le rétablissement incomplet. Chaque épisode touche à une condition préalable de la RPKI de confiance: des enregistrements précis, des comptes fiables, une exploitation solvable, une autorité légale, une supervision légitime et une publication stable.

Le résultat n'est pas un argument contre la RPKI. C'est un argument pour traiter la RPKI comme une infrastructure de confiance critique plutôt que comme un simple ajout au registre. Dans la région d'AFRINIC, et finalement dans chaque région, la certification de l'origine de la route a besoin d'une constitution de continuité propre. Elle devrait être isolée de l'exécution discrétionnaire. Elle devrait avoir une autorité d'urgence documentée. Elle devrait protéger la publication pendant le stress corporatif. Elle devrait distinguer la compromission de compte du différend entre membres.

Elle devrait donner aux détenteurs de ressources et aux parties prenantes un préavis clair des modifications. Elle devrait être auditée comme un service à haute conséquence, pas seulement comptée comme une métrique d'adoption.

AFRINIC rend le problème visible car sa crise a compressé des années de débat abstrait sur la gouvernance en questions pratiques que les réseaux peuvent comprendre. Si la route est valide parce que la chaîne de confiance du registre le dit, que se passe-t-il lorsque le registre lui-même est devant les tribunaux?

La rareté transforme la publication en levier

Le risque de gouvernance de la RPKI est plus aigu en IPv4 qu'en IPv6 car la rareté donne un prix à chaque contrôle administratif. L'espace d'adressage IPv6 est suffisamment abondant pour que la perte, le retard ou le différend autour d'une allocation soit grave mais généralement pas un événement de rareté à l'échelle du marché. L'IPv4 est différent. Le propre matériel d'épuisement d'AFRINIC indique que la région est entrée dans la phase 1 d'atterrissage en douceur en mars 2017 et dans la phase 2 en janvier 2020.

Il décrit l'IPv4 comme rare et explique que la politique d'allocation de la région est passée à des phases contraintes après l'épuisement mondial. Un reportage public ultérieur en 2026 a cité un dirigeant d'AFRINIC déclarant que le registre avait encore 773 376 adresses IPv4 non allouées et exprimant son désir d'atteindre zéro pour que la conversation puisse passer à l'IPv6. Cette aspiration ne supprime pas le problème de transition. Elle le confirme.

L'IPv4 reste la couche de compatibilité pour une grande partie de l'Internet commercial. Les entreprises, les plateformes de contenu, les sociétés d'hébergement, les réseaux de consommateurs, les services publics, les systèmes anti-abus et les environnements clients hérités comptent toujours sur l'accessibilité IPv4. Le déploiement de l'IPv6 est important et devrait se poursuivre, mais l'IPv6 n'est pas un simple substitut d'actif dans la réalité commerciale actuelle. Une entreprise qui a besoin d'IPv4 prêt pour le client ne peut pas toujours le remplacer par un discours stratégique sur l'avenir.

Elle doit acheter, louer, transférer, nettoyer, router et certifier des numéros rares aujourd'hui.

La rareté change la signification d'une ROA. Dans un système abondant, une autorisation d'origine de route erronée ou retardée peut être un défaut opérationnel. Dans un système rare, elle peut compromettre un flux de revenus adossé à des actifs. Un bloc IPv4 propre avec un enregistrement stable, un DNS inversé, des contacts d'abus et une autorité RPKI peut soutenir des clients d'hébergement, une capacité cloud, une connectivité d'entreprise, des services gérés, des hypothèses financières et des revenus de location.

Un bloc dont le statut ROA dépend d'un compte de détenteur contesté, d'un transfert litigieux, d'une autorité de bailleur peu claire ou d'un dossier d'exécution du registre comporte une décote. La même longueur de préfixe peut avoir une qualité économique différente selon la confiance entourant la publication.

Les transferts et la location rendent cela plus complexe. Un détenteur peut conserver la relation avec le registre tandis qu'un client ou un preneur exploite la route. Un acheteur peut vouloir qu'une ROA change d'origine après la clôture. Un courtier peut avoir besoin de prouver que le vendeur peut fournir non seulement un contrat privé, mais aussi une autorité d'origine de route reconnue par le registre. Un preneur peut avoir besoin que le bailleur publie une ROA pour le système autonome du preneur, ou peut avoir besoin d'un contrôle délégué dans des conditions claires.

Si le registre traite la délégation commerciale comme suspecte par défaut, ou si l'interprétation de la politique concernant l'utilisation hors région est incertaine, les parties ne peuvent pas traiter la RPKI comme une couche de sécurité neutre. Elles doivent la traiter comme un possible point d'étranglement.

Le conflit d'AFRINIC avec Cloud Innovation se situe à cette intersection. Des analyses publiques ont décrit le différend comme impliquant des millions de numéros IPv4, des allégations d'AFRINIC selon lesquelles l'utilisation violait les attentes du contrat de service ou de la politique, et la position de Cloud Innovation selon laquelle AFRINIC exerçait un contrôle indu sur une entreprise utilisant un espace d'adressage rare. Les mérites juridiques exacts appartiennent aux tribunaux et aux contrats. La leçon économique est visible sans les trancher.

Lorsqu'un registre peut menacer la position de ressources d'un grand détenteur, l'autorité d'origine de route devient une partie de l'ensemble de recours perçu, même si le différend immédiat est formulé autour des conditions d'adhésion ou d'allocation. Chaque détenteur se demande alors si un service de certification pourrait devenir un dommage collatéral.

Le risque ne se limite pas à la révocation. La non-publication peut être tout aussi importante. Si un service de registre est indisponible, si un compte portail est suspendu, si un séquestre gèle les demandes de modification, si le personnel hésite à traiter les mises à jour RPKI d'un membre contesté, ou si une ordonnance judiciaire est interprétée avec prudence, un détenteur peut être incapable de créer ou d'ajuster des ROA à temps pour un changement de réseau. Dans un monde de validation d'origine de route, le retard n'est pas neutre.

Il peut contraindre une migration, ralentir l'intégration des clients, compliquer un transfert, saper la planification de la redondance ou forcer les opérateurs à choisir entre annoncer une route sans couverture ROA et retarder le service.

Plus les réseaux rejettent les routes invalides, plus cela compte. Le but de la RPKI est de rendre les erreurs d'origine suffisamment coûteuses pour dissuader les détournements et les fuites. Mais l'application change la structure de négociation. Si un client sait que le préfixe d'un fournisseur pourrait devenir invalide parce que le fournisseur manque d'un contrôle ROA fiable, le client peut exiger une garantie contractuelle plus forte ou choisir un autre fournisseur. Si un acheteur ne peut pas être sûr que la clôture inclura une publication d'origine de route propre, il peut retarder le paiement ou exiger des indemnités.

Si un bailleur ne peut pas garantir le maintien de la ROA pour l'origine du preneur, le prix de la location change. Si une banque voit que les revenus adossés à des adresses dépendent du pouvoir discrétionnaire du registre, le prêt reçoit une décote de gouvernance.

C'est un levier institutionnel même lorsque personne n'a l'intention de l'utiliser. Un registre peut ne pas militariser délibérément la RPKI. Le simple fait que la publication dépende de l'autorité reconnue par le registre lui donne un pouvoir latent. Dans un environnement de grande confiance, le pouvoir latent est acceptable car il est contraint par des normes, des contrats, une procédure régulière et une discipline de réputation. Dans un environnement de faible confiance, le pouvoir latent est évalué comme un risque. La crise d'AFRINIC a abaissé la tolérance du marché à l'hypothèse d'une contrainte bienveillante.

Les assurances officielles sur la continuité sont des preuves utiles d'intention, mais elles ne peuvent pas clore la question analytique. La déclaration du NRO sur la mise sous séquestre indiquait que le séquestre aiderait à garantir que les membres continuent de recevoir les services du registre. Cela importe. Mais la confiance dans l'origine de la route nécessite plus qu'une déclaration générale de continuité de service.

Elle nécessite des garanties spécifiques au service: ce qui arrive aux ROA hébergées pendant la mise sous séquestre; qui peut autoriser les modifications; si les ressources contestées restent dans un état d'attente; quel préavis est donné avant la révocation; comment l'intégrité de la publication est surveillée; si le personnel peut traiter les demandes urgentes de sécurité de routage; et comment un membre peut faire appel d'une décision affectant la certification assez rapidement pour les besoins opérationnels.

La rareté modifie également les incitations politiques. Une région avec une IPv4 rare peut être tentée de traiter la mobilité des ressources et l'utilisation commerciale comme une politique économique régionale. Le langage peut être la gestion, la conservation ou le développement. L'effet peut être le contrôle sur qui peut monétiser, louer, transférer ou router des adresses. La RPKI ne devrait pas être le mécanisme par lequel ce contrôle est introduit clandestinement dans le routage. Si un débat politique veut limiter les transferts, il devrait le dire et faire face à l'examen.

Si un différend contractuel concerne une violation, il devrait utiliser des recours juridiques proportionnés. Le système d'origine de route devrait rester une couche de sécurité et d'autorité, pas une couche d'autorisation de marché déguisée.

Le cas d'AFRINIC transforme donc une question d'adoption technique en une question de conception de gouvernance. L'IPv4 rare rend chaque canal de publication contrôlé par le registre économiquement significatif. La RPKI est le canal le plus aigu car ses sorties peuvent être appliquées automatiquement par d'autres. Un registre crédible doit prouver que l'adoption de la RPKI n'augmentera pas la dépendance à l'égard d'une autorité arbitraire. Il doit montrer que la route la plus sécurisée est aussi la route la plus protégée institutionnellement.

Cloud Innovation et la prime de continuité

Le différend Cloud Innovation est souvent raconté comme un choc entre un registre régional et un grand détenteur commercial de ressources IPv4 africaines. C'est vrai mais incomplet. Pour l'analyse de la RPKI, le différend importe car il montre comment un désaccord sur l'utilisation des ressources peut devenir une prime de continuité appliquée aux services de confiance technique. Le marché n'a pas à décider si AFRINIC ou Cloud Innovation a raison sur chaque point juridique.

Il doit seulement observer que l'exécution du registre, les recours judiciaires, les gels de comptes bancaires, le statut de membre, le contrôle des comptes et la légitimité institutionnelle sont devenus liés. Une fois liés, chaque contrepartie dépendante de la certification doit se demander jusqu'où le lien peut s'étendre.

Les reportages publics de l'Internet Governance Project en 2021 ont décrit l'action d'AFRINIC contre Cloud Innovation comme une réponse façonnée par des problèmes antérieurs de gouvernance et d'intégrité des enregistrements, mais critiquée comme une réaction excessive basée sur des prémisses politiques faibles et une mauvaise gestion des risques. Il a également critiqué la réponse juridique de Cloud Innovation comme destructrice. Ce compte rendu équilibré est utile car le problème institutionnel n'est pas unilatéral. Un registre qui n'applique jamais les règles inviterait à la fraude, aux faux enregistrements et aux mauvais usages.

Un membre qui peut immobiliser un registre régional par le biais de litiges crée un risque systémique. Mais un registre qui utilise un pouvoir discrétionnaire aux conséquences lourdes contre des ressources actives crée le risque en miroir. La RPKI se situe entre ces risques.

Le gel signalé jusqu'à 50 millions de dollars américains sur les comptes bancaires d'AFRINIC a rendu le problème inévitable. Un gel bancaire ne modifie pas directement une ROA, mais il change la capacité de l'institution à fonctionner, payer le personnel, maintenir les systèmes et rassurer les membres. Un séquestre peut préserver la continuité, mais la mise sous séquestre elle-même signale que la gouvernance ordinaire a échoué. Une élection du conseil d'administration peut restaurer l'autorité formelle, mais si l'élection est retardée, contestée, suspendue, annulée ou relitigée, chaque étape devient un événement de confiance.

Les parties prenantes de la RPKI n'ont pas besoin de suivre chaque plaidoirie pour comprendre la question fondamentale: l'institution de l'ancre de confiance est-elle suffisamment stable pour que la publication de l'origine de la route reste neutre et fiable?

La prime de continuité est le coût ajouté aux transactions autrement normales parce que cette question existe. Elle apparaît lorsqu'un acheteur d'espace administré par AFRINIC exige des représentations supplémentaires sur le contrôle de la RPKI. Elle apparaît lorsqu'un preneur demande si le bailleur peut maintenir les ROA pendant toute la durée du bail. Elle apparaît lorsqu'un client cloud demande si les adresses d'un fournisseur sont exposées à une action du registre. Elle apparaît lorsqu'un fournisseur de transit demande la preuve que l'origine est correctement autorisée.

Elle apparaît lorsqu'un prêteur décote les revenus soutenus par des avoirs d'adresses contestés ou politiquement sensibles. Elle apparaît lorsque les ingénieurs passent du temps à surveiller le risque institutionnel plutôt que seulement le risque de routage.

Cette prime n'est pas irrationnelle. Dans la RPKI, la différence entre valide et invalide peut être décisive sur le plan opérationnel pour les réseaux qui appliquent la validation de l'origine de la route. Un détenteur de ressources qui perd la capacité de publier des ROA correctes peut encore être en mesure d'annoncer des routes, mais certaines contreparties peuvent traiter ces routes avec suspicion ou les rejeter si des états invalides contradictoires apparaissent. Un détenteur qui ne peut pas mettre à jour les ROA pendant une migration d'origine peut faire face à des retards.

Un détenteur pris dans un différend de transfert peut être incapable de fournir la condition de sécurité de routage attendue à la clôture. Si suffisamment de grands réseaux traitent la RPKI comme une hygiène normale, un mauvais contrôle de la RPKI devient un défaut commercial.

Le différend d'AFRINIC avec Cloud Innovation souligne également l'importance de séparer l'exécution de la neutralité du service. Supposons qu'un registre croie qu'un détenteur a violé les termes de l'accord. Le registre peut avoir besoin d'enquêter, de demander des informations, de placer un drapeau de différend, de demander une aide judiciaire ou, dans les cas extrêmes, de poursuivre la résiliation.

Mais la neutralité du service pose une question plus étroite: tant que le différend n'est pas résolu, les services de sécurité nécessaires à la protection du réseau actif doivent-ils être maintenus à moins qu'une raison juridique ou technique spécifique n'exige le contraire? La réponse devrait généralement être oui. Sinon, le registre peut créer exactement l'instabilité qu'il prétend empêcher.

Le même principe s'applique au contrôle des comptes. Si un compte de membre est compromis, les modifications RPKI doivent être gelées ou inversées selon les besoins. Si un membre refuse de payer les frais, il peut y avoir des conséquences contractuelles. Si un membre est dans un différend de politique, le registre peut restreindre certaines transactions. Mais les conditions qui affectent la publication de l'origine de la route doivent être explicites.

Un détenteur doit savoir si le non-paiement, l'examen des ressources, la retenue de transfert, la restriction judiciaire, le différend de succession corporative ou l'abus présumé peuvent affecter la publication RPKI, et dans quel ordre. L'ambiguïté est coûteuse car elle laisse chaque différend jeter une ombre sur la confiance en la sécurité de routage.

C'est particulièrement important là où le détenteur et l'opérateur diffèrent. La location d'IPv4, les affectations de clients, l'hébergement géré et les opérations réseau externalisées impliquent souvent une partie qui détient la relation avec le registre et une autre qui a besoin de l'autorité d'origine de route pour le service. La RPKI peut soit rendre cette relation plus sûre en rendant l'autorité explicite, soit plus fragile en forçant chaque arrangement commercial à travers un pouvoir discrétionnaire opaque du registre. Un registre n'a pas besoin de bénir chaque location comme une politique de marché.

Il a besoin d'un moyen clair de permettre au détenteur reconnu d'autoriser les origines opérationnelles sans transformer chaque autorisation en un procès idéologique sur la commercialisation de l'IPv4.

Le conflit Cloud Innovation montre le coût de ne pas construire cette frontière tôt. Une fois que l'exécution est mélangée avec des arguments sur l'utilisation régionale, la propriété des adresses, la location, les tactiques de litige, la survie du registre et le contrôle du conseil d'administration, chaque service technique est soupçonné d'avoir un poids politique caché. Même si le personnel d'AFRINIC continue à exécuter les systèmes professionnellement, les contreparties ne peuvent pas ignorer le contexte institutionnel. La couche de confiance est devenue politiquement et juridiquement bruyante.

La bonne leçon n'est pas que les registres doivent éviter l'exécution. C'est que l'exécution doit être isolée de la continuité de la sécurité de routage.

Un modèle sérieux de gouvernance de la RPKI stipulerait que les services de certification pour les ressources actives existantes sont présumés maintenus pendant les différends; que les restrictions sévères nécessitent des motifs juridiques ou de sécurité définis; que les actions d'urgence sont enregistrées et révisables; que les changements de publication sont notifiés; que la continuité de l'origine de la route pour les utilisateurs en aval innocents est prise en compte; et que le registre ne peut pas utiliser la RPKI comme levier économique dans un combat plus large.

Un tel modèle protégerait à la fois le registre et le membre, car il réduirait l'incitation à traiter chaque lettre d'exécution comme une menace pour les routes actives.

La crise d'AFRINIC a transformé cela de la théorie à la pratique du marché. La prime existe maintenant parce que les entités peuvent imaginer la chaîne du différend à l'institution à la publication à la route. La sécurité de la RPKI ne peut pas mûrir dans un tel environnement à moins que la chaîne ne soit rendue plus sûre.

Mise sous séquestre, élections et autorité de signature

La mise sous séquestre est un dispositif juridique, mais dans le contexte d'un registre, c'est aussi une question de savoir qui peut signer. Non seulement qui peut signer un chèque, un contrat ou une résolution du conseil d'administration, mais qui peut autoriser les conditions institutionnelles dans lesquelles les certificats sont émis, maintenus et publiés.

La déclaration du NRO en 2023 indiquait que la Cour suprême de Maurice avait nommé un séquestre pour AFRINIC, avait restreint les actions de relocalisation ou de prise de contrôle, et avait chargé le séquestre de préserver les actifs du statu quo, de superviser les élections et de faciliter un conseil d'administration et un directeur général appropriés. En tant que description factuelle, c'est central. Cela montre que la supervision judiciaire était destinée à préserver la continuité plutôt qu'à liquider la fonction de registre.

Pour la RPKI, cependant, la préservation doit être traduite en autorité opérationnelle. Un séquestre préservant des actifs n'est pas automatiquement un modèle de gouvernance de la sécurité de routage. Si les services RPKI hébergés continuent, sous quelle autorité opérationnelle déléguée le personnel agit-il? Si un membre contesté demande une mise à jour de ROA, s'agit-il d'une demande de service ordinaire, d'un changement au statu quo ou d'une décision nécessitant un examen juridique? Si un certificat doit être révoqué en raison d'une compromission, qui approuve l'action d'urgence?

Si un transfert est conclu pendant la mise sous séquestre, un nouveau matériel d'origine de route peut-il être créé à temps? Si une ordonnance judiciaire restreint certains changements de membres, comment cette restriction se traduit-elle dans la publication RPKI? Ces questions ne sont pas académiques. Elles sont la traduction opérationnelle de la détresse corporative.

Un registre sain répond à la plupart d'entre elles avant la crise. Il dispose de contrôles internes, d'une autorité déléguée, de catégories de services documentées, de plans de réponse aux incidents, de journaux d'audit, de règles de notification aux membres et de voies d'escalade. Un registre en détresse y répond sous pression. La période de mise sous séquestre d'AFRINIC importe donc non pas parce qu'elle a nécessairement provoqué une défaillance de la RPKI, mais parce qu'elle a révélé l'absence d'une constitution de continuité largement comprise pour la couche de confiance.

Le public a appris que le registre pouvait être placé sous séquestre; il n'a pas appris, avec la même clarté, comment chaque service technique critique était isolé du conflit corporatif.

La séquence électorale de 2025 a étendu le problème de la mise sous séquestre à la légitimité. The Register a rapporté qu'AFRINIC n'avait pas pu élire un conseil d'administration depuis 2022 et qu'un séquestre prévoyait des élections pour juin 2025, nommant d'éminents avocats britanniques pour superviser les nominations au milieu de préoccupations d'ingérence. Il a ensuite rapporté les préoccupations d'ICANN, un processus judiciaire, la poursuite du vote, puis la suspension et l'annulation après des allégations concernant des procurations et des documents d'électeurs.

Des reportages ultérieurs ont décrit une nouvelle élection qui a produit des administrateurs mais a laissé possibles des contestations judiciaires, des enquêtes gouvernementales et un malaise autour de l'influence. Ces détails importent pour la RPKI car la légitimité du conseil d'administration est la couche de gouvernance au-dessus de la confiance opérationnelle.

Le conseil d'administration ne crée pas chaque ROA. Il ne devrait pas. Mais le conseil d'administration fixe les conditions dans lesquelles la politique de certification, la réponse juridique, le statut des membres, les budgets, le personnel, les contrôles de sécurité et les communications de crise sont gérés. Si la légitimité du conseil d'administration est contestée, les décisions concernant les actions sévères contre les membres ou la politique affectant la certification deviennent plus faciles à contester. Si le conseil d'administration est absent, le personnel peut devenir prudent.

Si un séquestre est l'autorité pratique, chaque décision sensible risque d'être qualifiée comme allant au-delà de la préservation. Si ICANN ou un autre organisme externe intervient, les membres peuvent se demander si la gouvernance corporative locale ou la coordination mondiale est aux commandes. La RPKI a besoin d'une réponse ennuyeuse à qui peut agir. L'histoire électorale d'AFRINIC a rendu la réponse moins ennuyeuse.

Ce n'est pas un plaidoyer pour la technocratie au détriment du droit. La responsabilité juridique est nécessaire. Un registre qui contrôle des ressources rares et des services de confiance doit être soumis aux tribunaux, aux contrats et au contrôle des membres. Le problème n'est pas que les tribunaux peuvent superviser AFRINIC. Le problème est que la publication de la sécurité de routage n'a pas de tolérance pour un vide de gouvernance. Le droit peut revoir l'autorité; il ne peut pas se substituer à la confiance opérationnelle quotidienne.

Si chaque acte contesté du conseil d'administration peut remettre en question la légitimité de la posture de sécurité de l'institution, le registre a besoin d'une séparation plus forte entre la contestation corporative et l'exploitation des services critiques.

Cette séparation peut être conçue. Les opérations RPKI peuvent être placées sous un mandat de continuité de service défini qui survit aux lacunes du conseil d'administration, sous réserve d'audit et de supervision d'urgence. Les modifications de certification peuvent être classées: création, suppression ou modification de ROA autorisées par les membres de routine; urgence de sécurité; transfert de ressource; ressource contrainte par un tribunal; autorité de membre contestée; suspicion de compromission de compte; action d'exécution sévère. Chaque classe peut avoir un approbateur documenté et une règle de notification.

Les séquestres peuvent hériter d'un manuel plutôt que d'en improviser un. Les conseils d'administration peuvent superviser la politique et les budgets sans microgérer les objets d'origine de route. Les tribunaux peuvent voir quelles actions préservent le statu quo et lesquelles modifient les droits.

La crise d'AFRINIC suggère qu'une telle conception n'est pas facultative. Une ancre de confiance de registre est un point de dépendance institutionnelle unique même si le routage de l'Internet est distribué. Les validateurs du monde entier récupèrent du matériel en supposant que la hiérarchie reflète une autorité de ressource stable. Si l'institution derrière la hiérarchie ne peut pas montrer comment l'autorité survit à la mise sous séquestre, à des élections contestées ou à des litiges, les opérateurs doivent soit accepter un risque caché, soit réduire la dépendance. Ni l'un ni l'autre n'est souhaitable.

Le marché posera des questions simples. Si AFRINIC n'a pas de conseil d'administration, un membre peut-il encore créer une ROA? Si un séquestre est en charge, un bénéficiaire de transfert peut-il obtenir l'autorité d'origine de route? Si les identifiants de vote d'un membre sont contestés, cela affecte-t-il son compte technique? Si un tribunal remet en question ultérieurement une élection du conseil d'administration, qu'advient-il des décisions de certification prises entre-temps?

Si ICANN menace un examen de conformité, un autre registre peut-il intervenir pour les fonctions de registre d'urgence, et cela inclurait-il le matériel de confiance RPKI? Les archives publiques actuelles donnent des réponses institutionnelles partielles mais pas une constitution complète au niveau du service. Cet écart est le risque.

La leçon plus large est que l'autorité de signature dans la gouvernance de l'Internet n'est pas seulement cryptographique. Les clés cryptographiques sont contrôlées par des personnes, des contrats, des comptes, des entités corporatives, des tribunaux et des budgets. Si ces couches échouent, la clé peut toujours signer mathématiquement. La question du marché est de savoir s'il doit faire confiance à la signature comme légitime sur le plan institutionnel. La mise sous séquestre et le stress électoral d'AFRINIC rendent cette question inévitable.

Intégrité des enregistrements et dépendance cryptographique

La RPKI ne peut être aussi fiable que les faits du registre qui la sous-tendent. La cryptographie protège l'authenticité d'une déclaration; elle ne prouve pas que l'enregistrement sous-jacent du registre est vrai. Si un faux détenteur est enregistré, le système peut publier fidèlement une fausse autorité. Si un contact autorisé est obsolète, la mauvaise personne peut contrôler la publication. Si les ressources d'une société dormante ont été déplacées via une documentation inappropriée, une ROA peut rendre la route résultante plus propre que l'historique ne le mérite.

C'est pourquoi l'épisode signalé de corruption de registre d'adresses d'AFRINIC est directement pertinent pour le risque de gouvernance de la RPKI, même si les reportages publics n'étaient pas principalement axés sur la RPKI.

KrebsOnSecurity a rapporté en 2019 que des allégations découlant d'une enquête de plusieurs années impliquaient de précieux blocs IPv4 africains associés à des entités dormantes ou disparues, des sociétés liées à un ancien coordinateur de politique d'AFRINIC, et une valeur marchande estimée à plus de 50 millions de dollars américains pour les adresses affectées identifiées par le chercheur Ron Guilmette. Le rapport indiquait que le directeur général d'AFRINIC à l'époque avait reconnu avoir connaissance des allégations et avait déclaré que l'organisation enquêtait.

Ce sont des allégations et des rapports, pas un compte rendu judiciaire final de chaque fait. Mais la signification économique est claire: une fois que l'IPv4 a un prix de marché, des enregistrements de registre faibles deviennent une forme de risque de garde.

La RPKI amplifie le risque de garde car elle donne à l'autorité reconnue par le registre une expression cryptographique. Un changement de base de données frauduleux importait auparavant car il affectait WHOIS, la confiance dans les transferts, les contacts d'abus et les revendications de contrôle. Avec la RPKI, il peut également affecter quel système autonome peut être autorisé à être à l'origine du préfixe. Le système n'est pas conçu pour enquêter sur l'historique de succession corporative ou la fraude des sociétés dormantes au moment de la validation. Il repose sur le registre pour avoir effectué ce travail correctement.

Un validateeur qui voit une ROA valide n'a pas de mémoire indépendante de l'allocation originale, de l'historique de fusion, de l'officier qui a signé un formulaire, ou des identifiants du personnel utilisés pour modifier un enregistrement.

Cela ne rend pas la RPKI intrinsèquement dangereuse. Cela signifie que la RPKI doit être associée à une gouvernance des enregistrements plus solide. Un registre de haute qualité peut utiliser la RPKI pour réduire le risque de détournement précisément parce qu'il dispose d'enregistrements fiables et de comptes de membres sécurisés. Un registre faible peut utiliser la même machinerie cryptographique pour durcir les erreurs. La différence est la discipline institutionnelle, pas les mathématiques.

Le défi d'AFRINIC est double. Il doit réparer et protéger les enregistrements historiques parce que les reportages publics ont fait de la corruption des enregistrements une préoccupation crédible. Il doit également éviter de transformer la réparation des enregistrements en un pouvoir discrétionnaire illimité qui menace les détenteurs légitimes. Les deux conditions importent pour la RPKI. Si la réparation des enregistrements est trop faible, une autorité fausse ou compromise peut être certifiée.

Si la réparation est trop large et imprévisible, les détenteurs peuvent craindre que la certification soit provisoire en fonction de l'interprétation future par le registre de l'utilisation ancienne, du besoin ancien ou de l'ancienne politique. La confiance nécessite un chemin étroit entre ces risques.

Ce chemin commence par séparer la vérité de la préférence. Un registre a toutes les raisons de vérifier si un détenteur existe, si un représentant est autorisé, si un successeur corporatif a une documentation valide, si un compte a été compromis, si une source de transfert est le détenteur reconnu, si une ordonnance judiciaire restreint une action, et si une ROA demandée correspond à la ressource enregistrée. Ce sont des questions d'autorité. Elles sont directement pertinentes pour la RPKI.

Un registre devrait être beaucoup plus prudent quant à l'utilisation de la publication RPKI pour surveiller si le modèle commercial du détenteur, sa stratégie de location, sa géographie client ou sa vision des marchés IPv4 lui plaît. Ce sont des différends politiques ou commerciaux, pas automatiquement des défauts de certification.

Le contrôle des comptes est un risque particulier. La RPKI est opérationnellement puissante car un identifiant de portail ou une clé déléguée peut changer l'état de l'origine de la route. Si un compte de membre est volé, contraint, acheté, utilisé à mauvais escient par un ancien employé ou manipulé via une procuration contestée, l'autorité d'origine de route peut être affectée. Les controverses électorales d'AFRINIC en 2025 impliquaient des allégations concernant des identifiants et des procurations dans le contexte du vote. Ces allégations ne prouvent pas par elles-mêmes une compromission de compte RPKI.

Elles illustrent cependant pourquoi les contrôles d'autorité des membres sont importants. Un registre qui ne peut pas vérifier de manière convaincante qui peut voter, nommer un proxy ou agir pour un membre aura du mal à rassurer le marché sur le fait que toutes les actions de compte à haute conséquence sont protégées.

La réponse n'est pas de publier sans discernement des informations privées sur les membres. C'est de construire des contrôles d'autorité audibles. Pour la RPKI, cela signifie une authentification forte, une séparation claire des rôles, une confirmation des modifications, des journaux infalsifiables, un double contrôle pour les actions sévères, des procédures de verrouillage d'urgence, une notification aux membres et un examen indépendant après des modifications contestées. Cela signifie également séparer l'autorité de vote de l'autorité technique.

Une personne qui peut voter lors d'une élection ne devrait pas automatiquement être en mesure de modifier les autorisations d'origine de route, à moins que le membre n'ait expressément accordé ce rôle opérationnel. Un avocat avec une procuration pour la représentation corporative peut ne pas être l'ingénieur réseau qui devrait contrôler les ROA. L'autorité doit être granulaire.

L'exactitude des enregistrements affecte également les relations bailleur-preneur. Si un détenteur loue des adresses à un opérateur, l'enregistrement du registre peut encore montrer le détenteur tandis que la RPKI autorise l'origine de l'opérateur. Ce n'est pas nécessairement un défaut; cela peut être une expression précise de la délégation commerciale. Mais cela nécessite de la clarté. L'enregistrement devrait montrer suffisamment de responsabilité pour les abus, les contacts et l'autorité sans forcer chaque terme commercial dans la base de données publique.

La ROA devrait être comprise comme une autorisation opérationnelle, pas un transfert de titre. Si le bail prend fin, le détenteur devrait pouvoir retirer ou modifier la ROA. Si le bail est contesté, la continuité des clients en aval peut avoir besoin d'une fenêtre de guérison définie. Sans de telles règles, la RPKI devient un amplificateur de différends.

L'histoire signalée de corruption d'enregistrement d'AFRINIC devrait donc pousser l'institution vers une gouvernance de certification plus précise, pas vers une suspicion générale de toute utilisation commerciale des adresses. La leçon d'un scandale d'enregistrement est que l'autorité factuelle doit être vérifiée. Ce n'est pas que le registre devrait utiliser les services de sécurité de routage comme un contrôle économique général. Un écosystème RPKI sain a besoin à la fois de preuves plus solides et d'un pouvoir discrétionnaire plus étroit.

Le marché jugera par le comportement. Si AFRINIC peut montrer que les modifications RPKI sont traçables à une autorité vérifiée, que les ressources contestées sont traitées via des catégories de statut transparentes, que les actions de certification sévères sont rares et motivées, et que les autorisations opérationnelles ordinaires sont traitées dans des délais indiqués, la confiance augmentera. Si la certification semble vulnérable à la politique, à l'humeur d'exécution, à des contrôles de compte faibles ou à une réparation opaque des enregistrements, la confiance diminuera.

Une couche de confiance cryptographique ne peut pas dépasser la qualité institutionnelle des enregistrements qu'elle certifie.

Révocation, non-publication et le risque silencieux d'invalidité

La crainte dramatique dans la gouvernance de la RPKI est la révocation: le registre ou l'autorité de certification retire le matériel de certification et une route qui était valide devient invalide ou non couverte. Ce risque est réel, mais il n'est qu'une partie du problème.

Les risques plus silencieux sont souvent plus probables et plus importants commercialement: un membre ne peut pas publier une ROA nécessaire; une ancienne ROA reste en place après un changement d'activité; une nouvelle origine ne peut pas être autorisée avant une migration; un bénéficiaire de transfert attend la certification; une ressource contestée reste en suspens; un dépôt de publication échoue; un validateeur voit du matériel obsolète; ou un registre hésite à traiter une demande parce que l'autorité juridique n'est pas claire.

Dans l'économie du routage, l'inaction peut être une action. Un opérateur de centre de données déplaçant des clients vers un nouveau système autonome a besoin de modifications ROA en temps opportun. Un fournisseur cloud répartissant le trafic entre des fournisseurs en amont peut avoir besoin d'ajustements de préfixe maximum. Un acheteur finalisant un transfert IPv4 peut avoir besoin d'une autorité d'origine de route immédiate pour intégrer les clients. Un bailleur autorisant l'origine d'un preneur peut avoir besoin d'une publication prévisible pendant toute la durée du terme.

Si le registre ne peut pas agir, l'opérateur peut faire face à des annonces invalides, à des annonces non validées moins sécurisées, à un filtrage de route par des réseaux stricts ou à un service retardé. L'absence de décision défavorable n'élimine pas le coût.

Le stress institutionnel d'AFRINIC rend le risque de non-publication plausible même sans preuve de mauvaise conduite spécifique à la RPKI. Un gel bancaire peut affecter le personnel et les systèmes. Un séquestre peut créer de la prudence autour des modifications qui pourraient être considérées comme modifiant le statu quo. Un vide au conseil d'administration peut laisser le personnel incertain quant aux décisions sensibles. Les litiges peuvent amener les avocats à examiner des actions qui étaient auparavant routinières. Les différends électoraux peuvent remettre en question l'autorité des membres.

Une demande de liquidation peut soulever des craintes de continuité. Chaque condition peut ralentir la couche de service opérationnel même si toutes les personnes impliquées veulent préserver l'Internet.

C'est pourquoi les pare-feu de service sont importants. Un registre devrait distinguer entre les modifications qui préservent la continuité opérationnelle en direct et les modifications qui modifient les droits de ressource. La mise à jour d'une ROA pour refléter une migration réseau déjà autorisée peut être une préservation de la continuité. La création d'une ROA pour une partie dont l'autorité est contestée peut nécessiter une mise en attente et un examen. La suppression d'une ROA en raison d'une compromission de compte avérée peut être une action de sécurité d'urgence.

La suppression d'une ROA en raison d'un différend commercial non résolu peut être un excès à moins qu'un tribunal ou une règle claire ne l'exige. Le registre doit classer l'action, pas simplement traiter toutes les modifications RPKI comme des privilèges discrétionnaires.

La gouvernance de la révocation devrait être particulièrement stricte. Dans un système où les réseaux de confiance peuvent abandonner les routes invalides, la révocation peut avoir des effets en aval au-delà du membre immédiat. Elle peut affecter les clients, l'accessibilité du contenu, l'accès des entreprises, les services publics et la réputation. Certaines révocations sont nécessaires: clés compromises, fausse autorité, retour de ressource, transfert terminé, certification en double, ordonnance judiciaire ou fraude prouvée. Mais nécessaire ne signifie pas occasionnel.

Le registre devrait avoir des motifs définis, un préavis lorsque c'est possible, des exceptions d'urgence, des périodes de guérison lorsque c'est sûr, une journalisation, un appel et une divulgation post-incident au moins en agrégat. Un certificat d'origine de route ne devrait pas être plus facile à perturber qu'un abonnement à une liste de diffusion.

La gouvernance de la non-publication est plus difficile car elle se cache souvent derrière le retard. Un registre peut nuire à la confiance sans prendre de décision formelle défavorable. Il peut simplement ne pas traiter une demande. Dans un cadre commercial normal, le retard peut être mesuré par rapport à une norme de service. Dans un cadre de registre en détresse, le retard peut être expliqué par une prudence juridique, une autorité manquante, une pénurie de personnel, une maintenance du système ou une incertitude politique. Le marché ne se soucie pas de la catégorie interne applicable si le résultat est un déploiement client manqué.

La RPKI a besoin d'engagements de service limités dans le temps et de voies d'escalade précisément parce que la validation automatisée du routage comprime le coût du retard.

La crise de gouvernance plus large d'AFRINIC soulève également la question de la substitution d'urgence. The Register a rapporté qu'ICANN avait averti en 2025 que si AFRINIC échouait à un examen de conformité, un autre registre régional pourrait être invité à intervenir en tant que registre d'urgence pour l'Afrique. Cette possibilité a été décrite dans le contexte des préoccupations concernant l'élection et le mandat d'AFRINIC, pas comme un plan de reprise après sinistre pour la RPKI.

Elle soulève pourtant la question évidente: si un registre d'urgence devait jamais préserver les services de numérotation, comment le matériel de confiance RPKI serait-il migré ou maintenu? Les ancres de confiance changeraient-elles? Les ROA existantes resteraient-elles valides? Qui notifierait les parties prenantes? Comment les détenteurs prouveraient-ils leur autorité? Comment les tribunaux mauriciens interagiraient-ils avec un plan de continuité inter-registre?

Ces questions ne devraient pas être laissées pour le jour de la crise. La valeur de la RPKI dépend d'une certitude routable. Si la continuité d'urgence oblige les validateurs, les opérateurs, les détenteurs et les tribunaux à interpréter de nouvelles relations de confiance sous pression, le système transmettra la confusion. Un plan de défaillance de registre devrait inclure la continuité de la RPKI en tant que service de premier ordre, pas comme une annexe.

Il devrait définir comment les dépôts de publication sont préservés, comment les clés sont protégées, comment l'accès des membres est maintenu, comment la validité des certificats est gérée, comment les révocations sont gelées ou autorisées, et comment les parties prenantes sont informées de ce à quoi faire confiance.

Le risque silencieux d'invalidité interagit également avec l'assurance et la conformité. Les grandes entreprises demandent de plus en plus aux fournisseurs leur posture de sécurité de routage. Un fournisseur qui ne peut pas prouver un contrôle RPKI stable peut échouer à un examen de fournisseur. Un questionnaire d'assurance cyber peut demander des mesures de prévention de détournement de route. Un client réglementé peut exiger un routage sécurisé pour des services sensibles. Dans de tels contextes, le risque de gouvernance du registre devient un coût de conformité.

Les ressources administrées par AFRINIC peuvent être techniquement saines, mais si le détenteur ne peut pas donner d'assurances convaincantes sur la continuité des ROA en cas de différend, l'entreprise peut perdre des clients ou accepter des conditions moins avantageuses.

Ce n'est pas parce que la RPKI est mauvaise. C'est parce que la RPKI fonctionne: elle a rendu l'autorité d'origine suffisamment visible pour être gouvernée. Le problème est que l'autorité visible doit être soutenue par des garanties institutionnelles visibles. La crise d'AFRINIC rappelle que la cryptographie peut rendre un problème de confiance plus précis sans le faire disparaître.

Le meilleur résultat serait ennuyeux. Les ROA devraient être créées, modifiées et retirées selon des règles suffisamment claires pour que les entreprises ordinaires puissent s'y fier, que les tribunaux puissent les comprendre et que le personnel du registre puisse les appliquer sous stress. Un détenteur en règle ne devrait pas craindre que la publication de l'origine de la route soit entraînée dans un combat politique. Un registre ne devrait pas craindre que la préservation d'un service RPKI en direct l'empêche d'agir contre la fraude.

Les parties prenantes ne devraient pas avoir besoin de savoir quel différend électoral ou ordonnance judiciaire se cache derrière un état de validation. Elles devraient pouvoir faire confiance au fait que les règles de continuité du service séparent la sécurité de routage du combat institutionnel.

Pourquoi ce n'est pas une histoire de WHOIS, RDAP ou DNS inversé

Les services de registre d'AFRINIC sont étroitement liés, il est donc tentant d'intégrer la RPKI dans une histoire générique de risque au niveau du registre. Cela manquerait ce qui rend la certification d'origine de route distincte. L'exactitude des enregistrements concerne la vérité, l'actualité, l'attribuabilité et la fiabilité des faits sous-jacents du registre. Le DNS inversé concerne la délégation de noms et les conséquences opérationnelles pour le courrier, les diagnostics et la réputation du réseau. WHOIS et RDAP concernent l'accès public aux enregistrements, la contactabilité et la diligence.

Le risque générique au niveau du registre concerne la prime globale créée lorsque le teneur de registre devient instable ou discrétionnaire. La RPKI est différente car elle transforme l'autorité reconnue en preuve cryptographique de routage.

Cette différence change à la fois la vitesse et l'opacité. Un contact WHOIS obsolète peut être remarqué par un avocat ou un bureau d'abus. Un problème de DNS inversé peut être diagnostiqué dans les journaux de messagerie. Une incohérence RDAP peut être discutée lors d'une diligence. Une erreur ROA peut être convertie par des validateurs et des filtres de route en traitement de route sur de nombreux réseaux. L'entreprise affectée peut en prendre connaissance pour la première fois par des plaintes d'accessibilité, des alertes de surveillance ou un rejet de route par un fournisseur de transit.

La RPKI n'est pas simplement une autre interface publique. C'est une couche d'autorisation lisible par machine.

Cela change également le public de confiance. WHOIS et RDAP sont lus par des humains et des outils, mais leurs utilisateurs savent généralement que les données du registre peuvent être désordonnées. Les données IRR sont utilisées par les systèmes de routage, mais de nombreux opérateurs les traitent avec prudence car la qualité des objets varie. La RPKI aspire à une assurance plus forte. Son but est de rendre l'autorité d'origine plus fiable que les revendications de routage informelles. Cette aspiration rend les faiblesses de gouvernance plus conséquentes.

Si la RPKI est traitée comme une grande confiance mais que sa base institutionnelle est de faible confiance, l'écart devient dangereux.

L'exactitude des enregistrements reste fondamentale. Un registre ne peut pas publier de matériel RPKI fiable s'il ne sait pas qui détient quoi. Les allégations signalées de corruption de registre d'adresses d'AFRINIC importent donc. Mais la question de l'exactitude de la base de données demande si l'enregistrement lui-même peut régler la confiance du marché. La question RPKI demande ce qui se produit lorsque cet enregistrement est utilisé pour publier une autorité cryptographique de routage. C'est la différence entre un cadastre et un verrou numérique lié au cadastre. Si le cadastre est erroné, les deux échouent.

Mais le verrou ajoute une nouvelle conséquence opérationnelle.

Le DNS inversé est également lié mais distinct. Une délégation de DNS inversé peut être précieuse pour la réputation du courrier, les opérations client et les diagnostics. Elle dépend des affectations enregistrées et de l'autorité appropriée. Pourtant, un problème de DNS inversé affecte généralement la confiance au niveau de l'application et les attentes de nommage. La RPKI affecte la validation de l'origine de la route. Si une route devient invalide sous un filtrage strict, le problème d'accessibilité peut être plus large et plus immédiat.

La continuité du nommage et la confiance dans l'origine de la route dépendent toutes deux de la gouvernance du registre, mais elles ne font pas défaut de la même manière.

Les enregistrements publics RDAP et WHOIS concernent la transparence et la lisibilité publique. Ils permettent aux contreparties de voir le détenteur, les contacts, le statut et les données associées, sous réserve des limites de confidentialité et de politique. La RPKI peut être opaque en comparaison. Un client peut ne pas inspecter la chaîne de certificats; il peut seulement voir qu'un fournisseur a réussi un examen de sécurité. Un routeur peut ne pas se soucier de savoir pourquoi une ROA a changé; il applique seulement la politique. Cela rend les garanties de gouvernance plus importantes, pas moins.

L'automatisation réduit la possibilité d'interprétation humaine au cas par cas.

Le problème générique au niveau du registre demande comment AFRINIC est devenu une prime de risque au-dessus du routage, des contrats et des marchés. Le problème de certification réduit la prime au canal RPKI. Le registre pourrait être généralement fragile mais garder la RPKI bien isolée, auquel cas le risque d'origine de route serait inférieur au risque institutionnel global. Ou le registre pourrait être généralement stable mais utiliser la RPKI de manière discrétionnaire, auquel cas le risque d'origine de route serait plus élevé que ne le suggère la gouvernance globale. Le point est d'évaluer le pare-feu spécifique au service.

Ce pare-feu comporte plusieurs parties. Premièrement, la RPKI devrait dépendre de l'autorité vérifiée de la ressource et du compte, pas de la faveur institutionnelle large. Deuxièmement, les modifications affectant les routes actives devraient être classées et limitées dans le temps. Troisièmement, les actions sévères telles que la révocation devraient nécessiter des motifs définis et un examen. Quatrièmement, les différends devraient préserver la sécurité opérationnelle existante lorsque c'est sûr.

Cinquièmement, la réalité des transferts et de la location devrait être traitée par une autorisation claire plutôt que par un refus par ambiguïté. Sixièmement, la mise sous séquestre ou la défaillance du conseil d'administration devrait déclencher un mode de continuité pour les services de certification. Septièmement, les dépôts de publication et les clés devraient avoir un audit indépendant et une réponse aux incidents.

De telles garanties n'affaibliraient pas les fonctions de base de données, de DNS inversé ou de RDAP. Elles les renforceraient en rendant la frontière de chaque fonction plus claire. Une correction de base de données identifierait le véritable détenteur. Une délégation de DNS inversé suivrait les règles d'affectation enregistrées. RDAP exposerait les faits publics appropriés. La RPKI exprimerait l'autorité d'origine de route sous un mandat de sécurité neutre du service.

Le registre conserverait le pouvoir d'exécution contre la fraude et la fausse autorité, mais il n'utiliserait pas la couche de sécurité pour gagner des combats institutionnels non liés.

La crise d'AFRINIC montre pourquoi cette précision est importante. Si toutes les fonctions du registre sont regroupées en une seule autorité discrétionnaire, alors un différend sur une fonction contamine toutes les autres. Un membre confronté à un examen de ressources craint des conséquences RPKI. Un acheteur confronté à un retard de transfert craint un retard de DNS inversé et de certification. Un tribunal envisageant une restriction corporative peut affecter par inadvertance les services opérationnels. Un séquestre préservant le statu quo peut geler les mises à jour de sécurité nécessaires.

Un différend d'élection du conseil d'administration peut amener les contreparties à remettre en question l'autorité du compte. Le regroupement propage le risque.

Le désagrégement ne signifie pas démanteler le registre. Cela signifie reconnaître que différentes fonctions nécessitent des garanties différentes. La RPKI mérite les garanties de continuité et de neutralité les plus fortes car c'est le pont le plus direct entre la légitimité du registre et le comportement de routage. Le cas d'AFRINIC devrait pousser le système de registre régional à rendre ce pont plus sûr avant qu'un différend de certificat ne devienne une panne.

Le marché qui évalue le doute sur le certificat

Les marchés évaluent l'incertitude bien avant que les tribunaux ne la règlent. C'est le fait économique central du risque de gouvernance de la RPKI. Un préfixe n'a pas besoin de devenir inaccessible pour que sa valeur diminue. Il a seulement besoin de porter un doute crédible sur le fait que l'autorité d'origine de route peut être maintenue en cas de transfert, de location, de différend, de migration ou de stress institutionnel.

La décote peut être invisible dans les cotations publiques, mais elle apparaît dans les conditions privées: prix d'achat plus bas, séquestre plus long, indemnités plus larges, représentations plus fortes, clôture retardée, exclusions de clients, frais juridiques plus élevés, surveillance supplémentaire, ou une préférence pour les ressources d'un environnement de registre moins troublé.

La rareté de l'IPv4 rend ces décotes significatives. Une analyse publique dans le cadre du différend AFRINIC a cité des prix IPv4 passant de chiffres simples par adresse au cours des premières années à des niveaux beaucoup plus élevés pendant l'ère de la rareté, et un /16 peut représenter des millions de dollars de valeur marchande. Lorsque les valeurs sont aussi élevées, un petit changement dans la certitude perçue compte. Un acheteur qui paierait le prix fort pour un bloc propre peut réduire l'offre si le contrôle RPKI dépend d'un détenteur ayant des problèmes de registre non résolus.

Un bailleur peut facturer plus s'il doit assumer la responsabilité de la maintenance continue des ROA dans le cadre d'une politique incertaine. Un client peut demander un préfixe alternatif si le fournisseur ne peut pas garantir la validation de l'origine. Un prêteur peut traiter les revenus adossés à des adresses comme moins bancables.

Le mécanisme de tarification est similaire à l'assurance titres dans l'immobilier ou au risque de règlement dans les valeurs mobilières, mais l'actif n'est pas un terrain ordinaire ou une action. Les adresses IP sont des identifiants réseau uniques administrés par des contrats et des politiques. Les registres résistent aux analogies simples avec la propriété, et cette résistance a une base technique: l'unicité, la coordination et la responsabilité de routage importent. Pourtant, la non-propriété ne signifie pas la non-valeur. De nombreux droits économiquement importants ne sont pas des biens en pleine propriété.

Les baux, les licences, les concessions, les droits de spectre, les permis d'exploitation et les droits contractuels peuvent tous soutenir des investissements tout en restant conditionnels. Le marché évalue les conditions.

La RPKI ajoute une telle condition. La position économique du détenteur est plus forte s'il peut prouver que l'origine autorisée restera valide dans des conditions opérationnelles normales. Elle est plus faible si le registre peut refuser, retarder ou révoquer la publication selon des normes ambiguës. La condition compte le plus là où le détenteur et l'opérateur diffèrent. La location rend cela visible. Si un bailleur ne peut pas garantir les ROA pour le réseau du preneur, le bail est moins utile.

Si le preneur ne peut pas compter sur des modifications en temps opportun, il doit réserver un espace de secours ou négocier une flexibilité client. Si le registre remet en question l'arrangement par la suite, le preneur peut être innocent mais toujours exposé. Le prix du bail devrait refléter ce risque.

Les marchés de transfert sont confrontés à un problème connexe. Un transfert n'est pas économiquement complet lorsque l'argent change de mains. Il est complet lorsque l'enregistrement de registre reconnu, l'autorité de routage, le DNS inversé, les contacts d'abus et le matériel d'origine de route s'alignent sur l'opération prévue de l'acheteur. Si le changement RPKI est retardé ou contesté, l'acheteur contrôle une ressource qui n'est pas entièrement déployable. Les arrangements de séquestre devraient donc traiter la livraison de ROA comme faisant partie du règlement. C'est une réponse du marché à la confiance dans le registre.

Plus le registre est incertain, plus les conditions de règlement sont détaillées.

Les entreprises de cloud et d'hébergement portent le risque dans les contrats clients. Un fournisseur peut détenir des préfixes administrés par AFRINIC, les louer ou dépendre de fournisseurs en amont qui le font. Les clients lisent rarement la politique du registre régional, mais ils remarquent les pannes et le filtrage de route. Si un client exige un routage sécurisé, le fournisseur doit montrer non seulement que les ROA existent, mais que le fournisseur peut les maintenir.

Si les ressources du fournisseur sont en cours d'examen, si le détenteur est en litige, ou si le registre a un historique de turbulence institutionnelle, le client peut exiger des droits de résiliation ou un plan de migration. Le problème de gouvernance du registre est devenu un problème de vente commerciale.

Les petits opérateurs peuvent souffrir le plus car les coûts fixes ne diminuent pas. Un grand cloud ou transporteur peut employer des avocats, des spécialistes du registre, des ingénieurs de routage et du personnel de conformité. Il peut diversifier les sources d'adresses, détenir des stocks supplémentaires, maintenir plusieurs systèmes autonomes et négocier des contrats sophistiqués. Un petit FAI ou une société d'hébergement peut avoir un ou deux blocs, une seule relation de registre et un personnel limité. Pour lui, un seul différend ou retard RPKI peut consommer l'attention de la direction et menacer les clients.

La promesse de la RPKI devrait être d'aider ces opérateurs à réduire le risque de détournement de route, pas d'ajouter une autre dépendance institutionnelle qu'ils ne peuvent pas gérer.

La dépendance des membres d'AFRINIC est donc plus large que le service de certification. Les membres dépendent des enregistrements d'allocation, de WHOIS, de RDAP, du DNS inversé, de l'IRR, de la RPKI, du statut de facturation, de la reconnaissance des transferts et de l'accès au compte. Ces services ne sont pas substituables; ils se renforcent mutuellement. Un enregistrement de base de données propre soutient l'autorité RPKI. La RPKI renforce la crédibilité du routage. Le DNS inversé soutient le courrier et les diagnostics. WHOIS et RDAP soutiennent la responsabilité publique et la diligence.

La reconnaissance des transferts soutient la liquidité. Si le risque de gouvernance affecte un service, les contreparties s'inquiètent des autres. Le faisceau reçoit une décote de registre.

La décote peut également devenir auto-renforçante. Si les acteurs du marché considèrent les ressources administrées par AFRINIC comme plus risquées, ils peuvent préférer d'autres régions lorsque c'est possible, exiger davantage des détenteurs africains, ou orienter l'activité commerciale via des structures perçues comme plus sûres. Cela réduit la liquidité et peut nuire aux arguments de développement régional utilisés pour justifier un contrôle fort du registre. Un registre qui veut soutenir sa région devrait donc se soucier des primes de risque.

Plus il rend la confiance bon marché, plus les ressources de ses membres deviennent précieuses et plus il est facile pour les réseaux africains d'obtenir des capitaux, des clients et des partenaires.

Le marché n'est pas toujours vertueux. Les acteurs commerciaux peuvent exagérer le risque du registre pour obtenir des prix plus bas, résister à un examen légitime ou défendre un arbitrage rentable. AFRINIC et ses partisans ont raison de se rappeler que les marchés d'adresses créent des incitations à l'abus, à la spéculation et à la manipulation des enregistrements. Mais l'existence d'acheteurs opportunistes ne supprime pas la nécessité de services de confiance prévisibles. Elle les rend plus importants. Une gouvernance claire de la RPKI aide à distinguer la dépendance opérationnelle légitime de la pression de mauvaise foi.

Un pouvoir discrétionnaire opaque aide les acteurs les plus forts car ils peuvent se permettre de le contester en justice.

La conclusion économique est simple. La qualité de la gouvernance de la RPKI fait désormais partie de la qualité des adresses. Un préfixe avec une autorité d'origine de route stable vaut plus que le même préfixe avec une autorité incertaine. La crise d'AFRINIC rend cela explicite, mais le principe s'applique partout. À mesure que la validation de l'origine de la route se propage, les marchés évalueront non seulement la quantité et la réputation des adresses, mais aussi la confiance institutionnelle dans la chaîne de certificats.

Un pare-feu RPKI crédible

Un pare-feu RPKI crédible n'est pas un pare-feu au sens d'un appareil réseau. C'est une frontière institutionnelle qui empêche la certification de l'origine de la route de devenir un dommage collatéral dans des combats sur la gouvernance, les frais, les litiges, les élections, la politique de transfert ou l'idéologie commerciale. Il accepte qu'un registre doit exécuter la RPKI, vérifier l'autorité et agir contre la fraude. Il rejette l'idée qu'un registre peut utiliser l'incertitude de certification comme un levier général sur des ressources d'adresses rares.

Dans un monde post-épuisement, cette frontière est aussi importante que le protocole cryptographique.

Le premier élément est la continuité du service. Les ROA valides existantes pour des ressources actives devraient être présumées rester en vigueur pendant un stress institutionnel, à moins qu'il n'y ait une raison technique, juridique ou d'autorité spécifique de les modifier. La mise sous séquestre, l'absence de conseil d'administration, les litiges ou la controverse publique ne devraient pas en eux-mêmes perturber la publication de l'origine de la route. Si un membre est en litige, la valeur par défaut devrait être de préserver le dernier état sûr vérifié pendant que le litige est classé.

Cela protège les clients en aval et réduit les incitations à un litige d'urgence.

Le deuxième élément est la granularité de l'autorité. Un compte de registre ne devrait pas être une clé unique indifférenciée pour tous les pouvoirs. L'autorité de vote, l'autorité de facturation, l'autorité de représentant légal, l'autorité de gestion des ressources, l'autorité RPKI et l'autorité de contact d'abus devraient être séparables. Les controverses d'AFRINIC en 2025 autour des identifiants des membres et des procurations montrent pourquoi. Une personne peut avoir le droit de voter mais pas de modifier les ROA. Un avocat peut avoir le droit de recevoir des avis mais pas d'autoriser une route.

Un ingénieur réseau peut avoir le droit de gérer les ROA mais pas d'engager l'entreprise dans une élection du conseil d'administration. La granularité réduit la possibilité que la capture de gouvernance devienne une capture de routage.

Le troisième élément est une échelle de recours. Tous les problèmes ne justifient pas une perturbation de la certification. Un contact obsolète devrait déclencher des exigences de notification et de mise à jour. Un problème de facturation peut entraîner des conséquences contractuelles, mais pas un préjudice immédiat à l'origine de la route, à moins que les règles ne le disent clairement et que des garanties ne s'appliquent. Une suspicion de compromission de compte peut nécessiter un verrouillage d'urgence et une vérification du membre.

Un transfert contesté peut nécessiter une suspension temporaire des nouvelles ROA tout en préservant le service existant lorsque c'est sûr. Une fausse autorité avérée peut nécessiter une révocation. Chaque catégorie devrait être définie avant la crise, avec des délais et des voies d'escalade.

Le quatrième élément est la transparence sans imprudence. Les actions RPKI affectant des ressources actives devraient être enregistrées d'une manière qui permette un audit. Les membres devraient recevoir un préavis clair des modifications, des raisons et des voies de recours. Les parties prenantes n'ont pas besoin de dossiers de litige privés, mais la communauté peut bénéficier de rapports agrégés sur les révocations, les verrouillages d'urgence, les incidents de publication, les ressources contestées et la disponibilité du service.

Un registre qui publie uniquement des statistiques d'adoption mais pas d'incidents de gouvernance cache la partie de la RPKI que les marchés ont besoin d'évaluer.

Le cinquième élément est le réalisme des transferts et de la location. AFRINIC et les autres registres n'ont pas besoin d'approuver chaque revendication de marché sur la propriété IPv4. Ils doivent reconnaître que la délégation opérationnelle existe. Un détenteur peut légalement autoriser un autre réseau à être à l'origine d'un préfixe pour des raisons d'hébergement, de transit, de cloud, de client, de location ou de service géré. La RPKI devrait capturer proprement l'autorité opérationnelle tout en laissant les différends commerciaux aux contrats et aux processus politiques.

Si le registre veut restreindre certaines formes de délégation, il devrait le faire par une politique explicite soumise à un examen, pas par un refus opaque de soutenir l'autorisation d'origine de route.

Le sixième élément est la succession d'urgence. Si un registre entre en séquestre, perd un conseil d'administration, subit une compromission système ou fait face à une possible déreconnaissance, la continuité de la RPKI devrait avoir un plan écrit.

Le plan devrait dire comment les clés sont protégées, comment les dépôts restent en ligne, comment l'accès des membres est préservé, comment les modifications urgentes sont approuvées, comment la validité des certificats est traitée, comment les changements d'ancre de confiance sont communiqués si jamais nécessaires, et comment un autre registre ou un service neutre pourrait aider sans s'emparer du contrôle politique. La mise sous séquestre d'AFRINIC montre qu'un tel plan n'est pas spéculatif.

Le septième élément est un examen indépendant pour les actions sévères. Un registre ne devrait pas être le seul juge, procureur et bourreau lorsqu'une décision affectant la certification pourrait compromettre des routes actives et des ressources précieuses. L'examen indépendant n'a pas besoin d'être lent en cas d'urgence. Il peut utiliser des panels accélérés, un ombudsman technique, des procédures approuvées par le tribunal ou un examen post-action lorsque des mesures immédiates sont nécessaires.

Le principe est qu'une perturbation sévère de la RPKI devrait être responsable devant un corps ou un processus qui n'est pas identique à la position du personnel ou du conseil d'administration dans le différend sous-jacent.

Le huitième élément est la symétrie de responsabilité, au moins en matière de divulgation, sinon toujours en dommages et intérêts. Les registres fonctionnent souvent avec une responsabilité limitée, et il y a des raisons de limiter l'exposition pour les organes de coordination. Mais si un registre peut prendre des actions qui affectent des ressources de grande valeur et la continuité des clients, les membres doivent savoir quel recours existe en cas de perturbation de certification erronée. La réponse ne peut pas être un slogan.

Elle peut impliquer des crédits de service, une correction accélérée, un examen indépendant, une assurance, une politique de réserve ou des limites légales. Quelle que soit la conception, l'allocation des risques devrait être explicite.

Le rétablissement d'AFRINIC serait plus crédible s'il traitait la RPKI de cette façon. Un nouveau conseil d'administration, budget ou stratégie est utile, mais la question RPKI est plus concrète: chaque membre, y compris un membre contesté ou impopulaire, peut-il savoir exactement quels services de certification continueront, quelles actions peuvent les affecter, qui approuve ces actions, à quelle vitesse l'examen se produit, et comment la continuité en aval est protégée? Si la réponse est oui, la RPKI devient une technologie stabilisatrice. Si la réponse est non, elle reste un risque de gouvernance déguisé en adoption de sécurité.

Un tel pare-feu ne priverait pas AFRINIC de son autorité. Il rendrait l'autorité plus légitime. Il donnerait au personnel des instructions plus claires en période de stress, aux membres des attentes plus claires, aux tribunaux des catégories plus claires, et aux parties prenantes de meilleures raisons de faire confiance à la chaîne de certificats. Il protégerait également le registre contre les allégations selon lesquelles chaque action d'exécution est une menace pour le routage en direct. La précision est une forme de défense institutionnelle.

Le grand livre étroit et la route de confiance

Le risque de gouvernance de la RPKI d'AFRINIC commence par une petite déclaration technique et se termine par une grande conclusion institutionnelle. La déclaration technique dit qu'un préfixe peut être à l'origine d'un système autonome particulier. La conclusion institutionnelle est que la reconnaissance, les enregistrements, les comptes, les clés, les systèmes de publication et la gouvernance du registre sont suffisamment fiables pour que le reste de l'Internet agisse sur cette déclaration. Si cette conclusion est faible, la déclaration d'origine de route peut encore être cryptographiquement valide, mais le marché la traitera avec prudence.

La voie à suivre n'est pas de rejeter la RPKI, ni de prétendre que les registres peuvent éviter des questions d'exécution difficiles. Un registre qui ne peut pas corriger de faux enregistrements, empêcher une publication compromise ou agir sur des ordonnances légales ne protège pas l'Internet. Mais un registre qui peut transformer les services de certification en un levier discrétionnaire sur des ressources rares ne protège pas l'Internet non plus. Il importe le risque institutionnel dans la couche de routage.

La bonne conception est un grand livre étroit avec un service de confiance protégé: fort contre la fraude, précis sur l'autorité, neutre envers l'utilisation commerciale ordinaire, continu en période de stress de gouvernance et responsable lorsque des mesures sévères sont nécessaires.

Pour AFRINIC, cela signifie que le rétablissement devrait être mesuré par la fiabilité des fonctions, pas seulement par l'existence d'un conseil d'administration. Les membres peuvent-ils maintenir les ROA à travers des changements réseau normaux? Les cas contestés peuvent-ils être contenus sans contaminer des ressources non liées? Les transferts et les locations peuvent-ils obtenir une autorisation opérationnelle claire sans examen idéologique caché? La mise sous séquestre ou la supervision judiciaire peut-elle préserver les services techniques sans geler les mises à jour nécessaires?

Les révocations sévères peuvent-elles être expliquées, examinées et limitées? Le registre peut-il montrer que la RPKI est un service de sécurité, pas une arme politique?

Le marché plus large devra également s'adapter. Les acheteurs devraient traiter la livraison de la RPKI comme faisant partie du règlement IPv4. Les bailleurs devraient spécifier la maintenance des ROA et les procédures de modification. Les clients devraient demander non seulement si un fournisseur a des ROA, mais qui les contrôle et ce qui se passe en cas de litige. Les prêteurs et les assureurs devraient évaluer l'exposition à la gouvernance du registre dans le cadre des revenus adossés à des adresses. Les opérateurs devraient surveiller les états de validation et maintenir des plans de contingence.

Ces étapes ne remplacent pas la réforme du registre, mais elles reflètent la réalité que la RPKI a fait de l'autorité d'origine de route un intrant économique.

La crise d'AFRINIC n'est donc pas une curiosité locale sur les problèmes d'un registre régional. C'est un avertissement sur ce qui se produit lorsqu'une architecture de sécurité dépend d'une institution dont la légitimité, les enregistrements, les tribunaux, les séquestres, les élections et les frontières commerciales sont sous tension. Plus la RPKI réussit, plus cet avertissement devient important. Une route peut être filtrée par des machines, mais l'autorité derrière la route est toujours gouvernée par des personnes, des contrats, des entreprises et des tribunaux.

Le test final est simple. Un détenteur de ressources devrait pouvoir adopter la RPKI parce qu'elle réduit le risque de routage, pas parce qu'elle accepte une nouvelle forme de dépendance au registre. Un client devrait pouvoir faire confiance à une route valide parce que la chaîne de certificats reflète une autorité étroite, légale et précise, pas parce qu'il a foi dans une mythologie institutionnelle. Un registre devrait pouvoir appliquer des règles réelles sans menacer la publication de sécurité en direct. Un tribunal devrait pouvoir superviser un registre en détresse sans devenir l'opérateur caché de la confiance dans l'origine de la route.

AFRINIC montre que la certification de l'origine de la route n'est pas seulement un identifiant technique. C'est une revendication institutionnelle. À l'ère de la rareté de l'IPv4, cette revendication comporte un risque de prix, de continuité et de gouvernance. Le registre qui veut que les routeurs fassent confiance à ses certificats doit d'abord prouver que sa propre autorité est suffisamment contrainte pour être digne de confiance.