ARIN et l'économie de l'architecture de transition au-delà des RIR

Résumé

• L’architecture de transition n’est pas un argument pour abolir l’ARIN; c’est un exercice de conception visant à séparer la continuité des fonctions de registre de la permanence discrétionnaire d’un opérateur unique.
• L’ARIN est le cas mature approprié car ses enregistrements soutiennent un marché de transfert IPv4 de grande valeur, l’administration des ressources historiques, la dépendance au répertoire public, le RPKI, le DNS inverse, la preuve judiciaire, l’intégration au cloud et la continuité pour les petits opérateurs.
• L’invariant minimal est l’unicité: aucune architecture au-delà des registres régionaux ne peut être crédible si elle ne préserve pas une seule revendication d’enregistrement vérifiable pour chaque ressource de numérotation à chaque étape de la transition.
• L’architecture pratique combinerait un état de registre sous séquestre, des historiques de modifications signés, un opérateur de continuité neutre, une portabilité de l’authentification des titulaires, des pouvoirs d’urgence contraints et une succession de services testée pour RDAP, Whois, le DNS inverse et le RPKI.
• Un basculement sérieux serait progressif, réversible et sans drame: geler le dernier état vérifié, publier en miroir les données d’audit, maintenir les services existants, migrer l’authentification, tester la continuité de la chaîne de sécurité, puis ne déplacer que les fonctions dont on peut prouver qu’elles ne brisent pas l’unicité.

La conception de la transition n’est pas l’abolition

La manière la plus utile de discuter d’un avenir au-delà des registres Internet régionaux n’est pas de commencer par l’abolition. L’abolition est une conclusion institutionnelle. L’architecture de transition est une question d’ingénierie et d’économie. Elle demande ce qui doit perdurer si l’opérateur actuel devient trop discrétionnaire, trop fragile, trop coûteux, trop conflictuel, trop contraint juridiquement ou trop faible pour assurer la fonction de registre d’une manière digne de confiance pour le marché. La réponse peut être que l’opérateur actuel continue sous des contraintes plus strictes. Il se peut qu’un opérateur d’urgence assure un service restreint pendant que la gouvernance est réparée. Il se peut que certaines fonctions migrent vers une couche technique plus ouverte tandis que d’autres restent chez l’opérateur en place. Il se peut même que l’opérateur en place reste le meilleur opérateur pendant longtemps. Aucune de ces réponses ne peut être évaluée si l’on ne distingue pas d’abord la fonction de l’institution.

L’ARIN est un cas utile précisément parce qu’il n’est pas un cas d’échec évident. Il dessert une région mature dotée d’une grande capacité technique, de titulaires de ressources sophistiqués, d’un historique ancien, d’un pool IPv4 libre épuisé, de transferts actifs et d’une forte dépendance de la part des tribunaux, des banques, des fournisseurs de cloud, des équipes de sécurité et des opérateurs. Cette maturité rend la question plus difficile, pas plus facile. Si une architecture de transition ne peut pas être décrite pour l’ARIN sans paraître téméraire, ce n’est probablement pas une architecture. Si elle peut être décrite pour l’ARIN d’une manière qui préserve l’unicité, la sécurité, la continuité et la confiance du marché, alors le même cadre peut être adapté à des régions plus faibles ou plus sous pression.

L’objectif n’est pas de remplacer une institution connue par un slogan. Le système de numérotation Internet ne peut pas fonctionner sur la protestation. Il a besoin d’enregistrements, de validation, de modifications authentifiées, de services de requête publics, de financement, de gestion des litiges, de délégation DNS inverse, de publication de la sécurité de routage, de continuité des titulaires historiques et d’une forme de coordination reconnue. Une transition qui briserait ces éléments ne disciplinerait pas le pouvoir du registre. Elle punirait les réseaux qui dépendent du fait que la couche de registre soit ennuyeuse.

Pourtant, l’erreur inverse est également courante. Parce que la fonction de registre est importante, on en déduit que la position discrétionnaire complète de l’opérateur en place doit être protégée. Cette déduction est trop large. Le fait que l’unicité doive perdurer ne prouve pas que chaque instrument de politique, théorie de conseil, conception de tarification, habitude d’application ou frontière institutionnelle doive rester inchangé. Les infrastructures critiques pointent généralement dans l’autre direction: plus une fonction est importante, plus son opérateur devrait être récupérable, vérifiable et remplaçable.

L’architecture de transition commence donc par une distinction. L’élément protégé est la fonction d’enregistrement: l’état unique reconnu des ressources de numérotation, la piste de preuves derrière les modifications, les services de publication qui rendent les enregistrements utilisables, et la capacité des réseaux en cours de fonctionnement à rester stables pendant la résolution des litiges. L’élément protégé n’est pas la prétention de l’opérateur en place à être le seul réceptacle imaginable pour cette fonction.

Ce cadrage maintient le problème dans le domaine de l’économie institutionnelle. Un registre réduit les coûts de transaction en fournissant au marché un point de référence de confiance. Si ce point de référence devient trop discrétionnaire, le coût de la dépendance augmente. Les acheteurs exigent davantage de garanties. Les vendeurs acceptent des décotes. Les banques appliquent des marges de sécurité plus élevées. Les plateformes cloud demandent plus de preuves. Les petits opérateurs retardent leur expansion. Les tribunaux et les régulateurs sont confrontés à une incertitude technique. Une architecture de transition est un moyen de préserver la fonction de réduction des coûts lorsque la confiance institutionnelle ne suffit plus à elle seule.

Pour l’ARIN, la question n’est pas de savoir si la région devrait se réveiller demain sous un registre différent. Elle ne le devrait pas. La question est de savoir si la fonction de registre nord-américaine est déjà conçue de telle sorte que, si un tel changement devenait un jour nécessaire, il puisse se faire sans improvisation. Les systèmes matures construisent des canots de sauvetage avant d’en avoir besoin. Ils ne naviguent pas en permanence dans le canot, et ils n’appellent pas l’existence d’un canot de sauvetage une attaque contre le navire.

L’ARIN est le cas difficile parce qu’il fonctionne

Les discussions sur la transition commencent souvent par les institutions en difficulté, car la détresse rend le risque visible. C’est compréhensible mais incomplet. Un plan conçu uniquement pour l’effondrement a tendance à être lourd en mesures d’urgence et léger en marché. Il indique comment maintenir un registre en vie lorsque le conseil d’administration défaille, que le bureau est paralysé ou que les tribunaux interviennent. Il en dit moins sur la manière dont un registre mature et fonctionnel peut se rendre suffisamment remplaçable pour mériter la confiance. L’ARIN appartient à la seconde catégorie.

Larégion ARIN publiquecomprend les États-Unis, le Canada et de nombreuses juridictions des Caraïbes et de l’Atlantique Nord. L’éventail économique est large. Les plateformes de cloud hyperscale, les grands opérateurs, les universités, les agences publiques, les institutions financières, les réseaux de contenu, les fournisseurs d’hébergement, les entreprises de sécurité, les titulaires historiques d’entreprise et les petits fournisseurs d’accès dépendent tous des enregistrements du registre de différentes manières. Certains disposent d’équipes juridiques et de conseillers en marché d’adresses. D’autres n’ont qu’un seul ingénieur pour le routage, le support client et la paperasse. Une architecture de transition ne doit pas être conçue uniquement pour les entreprises qui peuvent se permettre de naviguer dans la complexité.

Lepool IPv4 libre de l’ARIN est épuisé depuis septembre 2015. Ce fait modifie la signification économique du registre. Dans une ère d’allocation, la question clé était de savoir comment la nouvelle offre devait être distribuée. Dans une ère d’épuisement, la question clé est de savoir comment les ressources anciennes et transférées restent lisibles, commercialisables et opérationnellement sécurisées. Les transferts, l’espace retourné, les mécanismes de liste d’attente, le traitement des ressources historiques, les accords de service, l’autorité de compte, le RPKI, le DNS inverse et l’exactitude du répertoire public importent parce qu’ils affectent l’utilisabilité d’intrants rares déjà intégrés dans les réseaux et les entreprises.

C’est pourquoi l’ARIN est un meilleur test de conception de transition qu’un registre déjà visiblement défaillant. L’état de la région ARIN n’est pas qu’une simple liste. C’est une référence de règlement pour les transferts, une aide à la diligence pour les fusions et les restructurations, une couche de contact pour la gestion des abus, une dépendance pour le DNS inverse, un fondement pour les services de sécurité de routage, et un fait pratique dans les litiges sur qui peut agir pour un titulaire de ressources. Plus le marché environnant est vaste, plus une transition désordonnée serait coûteuse.

Ce coût est le principal argument en faveur de la conception avant le besoin. Si une fonction de registre devait un jour être déplacée dans la panique, chaque incertitude deviendrait un coût de transaction. Quel enregistrement fait autorité? Quel justificatif d’authentification survit? Quelle file d’attente de transfert est gelée? Quelle délégation DNS inverse continue? Quels certificats RPKI restent valides? Quelle ordonnance du tribunal contrôle quelle ressource? Quel membre du personnel peut signer quel acte opérationnel? Quels frais financent le service pendant la transition? Quelles modifications sont réversibles? Quelle partie est responsable d’une erreur? Chaque question sans réponse deviendrait une prime de risque.

Un ARIN fonctionnel peut poser ces questions sans panique. Il peut identifier l’ensemble minimal de services qui doit survivre à toute perturbation institutionnelle. Il peut concevoir un séquestre indépendant de l’état du registre. Il peut tester le basculement de publication. Il peut rendre l’autorité de compte portable. Il peut définir comment l’autorité d’urgence commence et se termine. Il peut préciser quelles fonctions sont purement administratives, lesquelles influencent le marché, lesquelles sont sensibles à la sécurité et lesquelles relèvent de la gouvernance. Il peut faire tout cela tout en restant l’opérateur.

C’est pourquoi l’architecture de transition ne doit pas être lue comme une hostilité envers l’ARIN. Au contraire, le registre mature devrait être l’endroit où la discipline est la plus facile à développer. Les institutions faibles craignent la remplaçabilité parce qu’elle expose la faiblesse. Les institutions fortes peuvent traiter la remplaçabilité comme une preuve de force. Un registre qui peut prouver que sa fonction survivrait à sa propre incapacité temporaire donne au marché une raison de s’appuyer sur lui aujourd’hui.

La difficulté politique est que la remplaçabilité modifie la psychologie de l’autorité. Un registre qui se perçoit comme un gestionnaire peut accepter une sauvegarde. Un registre qui a commencé à voir la continuité comme un droit institutionnel peut y résister. La maturité de l’ARIN en fait un test vivant de culture: la stabilité est-elle comprise comme la protection du grand livre ou la protection du bureau?

L’invariant est l’unicité, pas la titularité

La première règle de toute transition au-delà des registres régionaux est que l’unicité ne doit pas être rompue. Toute autre réforme est secondaire. Aucune architecture qui crée deux revendications d’enregistrement incompatibles sur la même ressource de numérotation ne peut prétendre améliorer le système. Si une transition produit des titulaires reconnus en double, des chaînes d’autorité incertaines ou un registre public contesté que les contreparties ne peuvent résoudre, le remède a échoué.

L’unicité semble simple: une ressource, un état d’enregistrement reconnu. En pratique, c’est un ensemble de contrôles. Le système doit savoir quelle entité est actuellement enregistrée comme titulaire ou partie responsable. Il doit savoir quels justificatifs ou documents juridiques peuvent autoriser une modification. Il doit préserver les modifications historiques. Il doit marquer les litiges sans réécrire les enregistrements non liés. Il doit empêcher que la même ressource soit transférée deux fois. Il doit maintenir les services de publication pour que les tiers puissent observer l’état actuel. Il doit conserver suffisamment de preuves pour qu’un tribunal, un régulateur, un auditeur, un acheteur ou un opérateur de réseau puisse comprendre pourquoi l’enregistrement indique ce qu’il indique.

Le registre en place est un moyen de fournir cet invariant. Il n’est pas l’invariant lui-même. Confondre l’opérateur avec l’invariant est la racine de nombreux mauvais arguments. Une ville a besoin de pression d’eau; elle n’a pas besoin d’un gestionnaire particulier pour toujours. Un système de paiement a besoin de finalité; il n’a pas besoin que chaque comité interne soit permanent. Un système de numérotation a besoin d’unicité; il n’a pas besoin que chaque caractéristique discrétionnaire du modèle de registre actuel soit traitée comme une loi naturelle.

Pour l’ARIN, l’unicité a une texture historique particulière. La région contient desressources historiquesattribuées avant que les contrats modernes n’aient leur densité actuelle, des ressources transférées obtenues dans le cadre des politiques contemporaines, des numéros de système autonome utilisés dans les relations de routage, des allocations IPv6 avec des logiques de rareté différentes, et des titulaires qui peuvent avoir des historiques d’entreprise complexes. Le problème de transition n’est pas résolu en exportant une table des enregistrements actuels. La chaîne de traçabilité importe parce que les marchés se demandent non seulement ce que dit l’enregistrement, mais si l’enregistrement peut survivre à une contestation.

C’est pourquoi l’architecture de transition minimale commence par un modèle d’état signé et versionné. Chaque modification autoritaire devrait être imputable à un état antérieur, un acteur autorisé, un fondement pour l’autorité, une estampille temporelle, une catégorie de service et une piste de révision. Le modèle ne doit pas exposer les détails confidentiels au public. Il doit permettre une vérification indépendante que l’état actuel a émergé d’une séquence contrôlée plutôt que d’une simple assertion administrative privée. Le marché n’a pas besoin de lire chaque ticket de support. Il a besoin de l’assurance qu’aucune réécriture invisible n’a eu lieu.

C’est également là qu’une couche d’audit ouverte est plus utile qu’une couche politique ouverte. Une transition de registre n’exige pas que chaque acteur du marché vote sur chaque changement. Elle exige que chaque acteur concerné sache que la machine à états est contrainte. Le public devrait pouvoir voir les engagements, les hachages, les numéros de séquence, les marqueurs de litige, les déclarations d’état d’urgence et les attestations de continuité de service. Les documents confidentiels des titulaires peuvent rester protégés. La preuve que le grand livre n’a pas été silencieusement altéré ne devrait pas l’être.

L’unicité exige également une règle pour les conflits. Pendant la transition, certains enregistrements seront contestés. Une entreprise peut avoir changé de contrôle. Un titulaire historique peut avoir des contacts périmés. Un transfert peut être en attente. Un tribunal peut avoir rendu une ordonnance qui affecte une ressource mais pas une autre. L’architecture ne doit pas résoudre chaque litige par une rapidité administrative. Elle doit préserver le dernier état vérifié, marquer le conflit, bloquer les modifications incompatibles et renvoyer le litige à un forum indépendant ou à un canal juridique défini. Cela préserve l’unicité sans donner à l’opérateur de registre le pouvoir de décider de chaque question économique contestée en modifiant l’enregistrement en direct.

L’invariant est donc étroit et exigeant. Préserver un état autoritaire unique. Préserver les preuves par lesquelles il est connu. Publier suffisamment de preuves pour que les tiers puissent s’y fier. Permettre les mises à jour légitimes. Empêcher la double reconnaissance. Isoler les litiges. Tout ce qui va au-delà doit se justifier.

Le séquestre fait de la continuité une option, pas une promesse

La continuité du registre est souvent décrite dans un langage rassurant: les services sont redondants, le personnel est compétent, des procédures existent, et l’institution comprend sa responsabilité. La réassurance ne suffit pas pour une architecture de transition. Le séquestre est le mécanisme qui transforme la continuité d’une promesse en une option. Si l’état autoritaire, le matériel d’authentification, la configuration de publication et les dépendances de service restent sous le contrôle pratique exclusif d’une seule institution, alors chaque plan d’urgence devient finalement une demande de coopération de cette institution.

Le séquestre doit être plus large qu’un fichier de sauvegarde. Une copie statique d’une base de données peut aider à la reprise après sinistre, mais une transition de registre nécessite un séquestre opérationnel. Il a besoin de l’état actuel du registre, des états antérieurs, des journaux de modifications signés, des métadonnées de contact et d’autorité, du statut des files de transfert, des marqueurs de litige, des données de délégation DNS inverse, du matériel de publication RDAP et Whois, du dépôt RPKI et des informations sur l’état des certificats, de la configuration des services, du matériel cryptographique pertinent sous garde contrôlée, et des instructions suffisantes pour qu’un opérateur de continuité qualifié puisse fournir l’ensemble minimal de services.

La distinction entre le séquestre de données et le séquestre fonctionnel est importante. Le séquestre de données répond à la question: l’enregistrement peut-il être reconstruit? Le séquestre fonctionnel répond à une question plus difficile: l’enregistrement peut-il être servi, authentifié, mis à jour et sécurisé sous une autorité d’urgence sans accorder à l’opérateur d’urgence un pouvoir illimité? Un registre mature devrait pouvoir répondre aux deux.

Pour l’ARIN, le séquestre devrait respecter la confidentialité et les obligations légales. Les documents des titulaires, les fichiers de vérification d’identité, les justificatifs de compte, la correspondance de support et les détails de transaction ne peuvent pas simplement être publiés. Mais la confidentialité n’est pas un argument contre le séquestre. C’est un argument en faveur d’une garde stratifiée. Les engagements publics peuvent prouver qu’un état existe et n’a pas été altéré. Des dépositaires indépendants peuvent détenir des documents chiffrés. L’accès peut nécessiter une autorisation multipartite. Les tribunaux peuvent ordonner la divulgation dans des circonstances définies. Les auditeurs peuvent examiner les contrôles sans exposer chaque document au marché.

L’économie est simple. Si le séquestre est crédible, le marché intègre moins de risque institutionnel extrême. Un acheteur d’espace IPv4 sait que si le registre est perturbé, un dernier état vérifié et les preuves de transfert peuvent être reconstruits. Une banque finançant une entreprise dépendante d’adresses sait que les enregistrements reconnus ne sont pas otages d’un bureau. Un fournisseur de cloud s’appuyant sur des arrangements « bring-your-own-address » sait que l’autorité de compte et les services de sécurité de routage peuvent être maintenus pendant un stress institutionnel. Un petit opérateur sait que sa continuité ne dépend pas entièrement de sa capacité à naviguer dans une bureaucratie d’urgence.

Le séquestre discipline également l’opérateur en place. Une institution dont les enregistrements sont préservés indépendamment a moins de capacité à utiliser l’ambiguïté comme levier. Cela ne signifie pas que l’opérateur en place perd son autorité sur les opérations ordinaires. Cela signifie que son autorité est limitée par les preuves. Un registre qui agit correctement en bénéficie: le séquestre confirme la qualité de son travail. Un registre qui agit de manière opportuniste perd la couverture de l’opacité.

Le défi de conception est d’éviter de créer un nouveau dépositaire non responsable. Le séquestre ne devrait pas transférer le pouvoir discrétionnaire de l’ARIN à un seul sous-traitant de sauvegarde secret. Le rôle du dépositaire devrait être étroit: préserver les documents, vérifier l’intégrité, activer les déclencheurs de continuité et fournir l’accès selon une autorité prédéfinie. Le dépositaire ne devrait pas décider de la politique, approuver les transferts, réinterpréter les accords ou devenir un registre parallèle. Sa légitimité devrait provenir de la garde technique et des règles vérifiables, et non d’une nouvelle revendication d’autorité régionale.

Le séquestre devrait également être continu. Un dépôt annuel est trop lent pour un marché où les transferts, les modifications de compte, les mises à jour de sécurité de routage et les modifications de DNS inverse peuvent avoir une importance quotidienne. La cadence appropriée dépend du service, mais le principe est clair: la perte maximale d’état vérifiable doit être suffisamment faible pour que les opérateurs et les contreparties puissent la tolérer. Pour certains services de publication, cela peut signifier une réplication quasi en temps réel. Pour les fichiers profondément confidentiels, cela peut signifier des engagements chiffrés fréquents avec une récupération contrôlée.

Le point clé n’est pas que le séquestre rendrait la transition facile. Il la rendrait possible. Sans séquestre, toute discussion sur le remplacement ou la contrainte d’un opérateur de registre défaillant est théorique. Avec le séquestre, la question devient une question de gouvernance: qui peut activer la continuité, pour quels services, sous quelles limites et avec quel chemin de retour vers les opérations normales?

Un opérateur de continuité neutre ne devrait être puissant que par son ennui

Si une fonction de registre doit traverser une défaillance institutionnelle, un opérateur de continuité peut être nécessaire. Le terme devrait sembler délibérément terne. Un opérateur de continuité n’est pas un gouvernement rival, un nouveau sacerdoce régional, un parlement politique, un courtier commercial ou un successeur permanent déguisé. C’est une entité capable de fournir un ensemble minimal de services sous une autorité étroite lorsque l’opérateur ordinaire ne peut pas être digne de confiance ou ne peut pas fonctionner.

L’ensemble minimal de services devrait être défini avant que l’opérateur ne soit choisi. Il devrait inclure la publication du dernier état de registre vérifié, la continuité RDAP et Whois, la maintenance du DNS inverse, la continuité du dépôt RPKI et de l’état des certificats, le support authentifié des titulaires pour des modifications urgentes à faible risque, la préservation des files de transfert sans achèvement non autorisé, le marquage des litiges, la collecte des frais suffisante pour maintenir les services en vie, et la communication avec les tribunaux, les régulateurs et les titulaires de ressources. Il ne devrait pas inclure de révision politique générale, de réallocation discrétionnaire, de tenue de marché, de révocation punitive, de lobbying institutionnel ou d’expansion de la mission du registre.

La vertu de l’opérateur est la modestie procédurale. Il maintient les lumières allumées, préserve le grand livre, authentifie des modifications limitées et empêche la panique. Il n’utilise pas l’urgence pour régler des questions idéologiques sur la propriété des ressources de numérotation, la souveraineté régionale, l’économie des transferts ou l’avenir du modèle RIR. Ces questions peuvent avoir de l’importance, mais la continuité d’urgence n’est pas le bon lieu pour elles.

La neutralité a plusieurs dimensions. Premièrement, l’opérateur ne devrait pas être un acteur du marché ayant un intérêt commercial direct dans les transferts d’adresses, la location, le courtage ou une activité de registre concurrente. Deuxièmement, il ne devrait pas être contrôlé par l’opérateur en place dont la défaillance a déclenché l’urgence. Troisièmement, il ne devrait pas être contrôlé uniquement par des institutions homologues qui partagent des incitations à protéger la catégorie des opérateurs en place. Quatrièmement, il devrait être juridiquement capable de recevoir et de suivre les instructions des tribunaux ou des régulateurs sans transformer chaque demande juridique en un litige géopolitique. Cinquièmement, il devrait être techniquement suffisamment compétent pour que sa neutralité ne soit pas une excuse pour l’incompétence.

Pour l’ARIN, la barre est haute. La sophistication du marché de la région signifie que tout opérateur de continuité serait surveillé par des avocats, des banques, des courtiers, des plateformes cloud, de petits opérateurs, des agences publiques et des ingénieurs réseau. Une erreur pourrait déplacer de la valeur réelle. Un service retardé pourrait perturber des clients. Une action RPKI négligente pourrait avoir des conséquences sur le routage. Une récupération de compte mal gérée pourrait inviter à la fraude. L’opérateur doit donc être préqualifié, assuré, audité, répété et limité.

L’autorité d’urgence devrait également être réversible. L’opérateur de continuité devrait commencer à partir du dernier état vérifié et tenir un registre strict de chaque acte qu’il accomplit. Lorsque l’autorité normale est rétablie, ou lorsqu’un successeur est choisi, ses modifications devraient être révisables et, le cas échéant, réversibles. Cela est particulièrement important pour les actes qui influencent le marché. La continuité de publication de routine peut être irréversible seulement au sens où le temps passe. Une approbation de transfert, une révocation ou un remplacement complet de l’autorité de compte peut modifier les positions de négociation. Ces actes nécessitent soit une approbation indépendante, soit un achèvement différé, à moins que la continuité du service ne soit autrement compromise.

Le financement ne devrait pas dépendre de l’improvisation d’urgence. Un opérateur de continuité qui doit négocier le paiement après l’activation subira la pression des parties qu’il sert ou contraint. La meilleure structure est une réserve préfinancée, des contributions assimilables à une assurance, ou un mécanisme de frais de service sous séquestre lié à l’ensemble minimal de services. Le montant n’a pas besoin d’être extravagant. Son but est de financer la continuité technique, pas de créer une deuxième bureaucratie permanente.

La tentation politique sera de rendre l’opérateur trop représentatif. Les comités voudront des sièges. Les parties prenantes exigeront une voix formelle. Les gouvernements chercheront des assurances. Les titulaires voudront une protection. La représentation compte, mais un opérateur de continuité ne devrait pas devenir une assemblée délibérante. La supervision peut l’entourer; l’autorité devrait rester étroite. Le travail de l’opérateur est d’empêcher la fonction de registre de défaillir pendant que les institutions légitimes décident de la suite.

C’est pourquoi l’opérateur ne devrait être puissant que par son ennui. Son mandat devrait être si limité, ses actes si enregistrés, ses déclencheurs si définis et sa sortie si claire que personne ne chercherait rationnellement à en prendre le contrôle pour un avantage politique. S’il devient attrayant comme un prix, sa conception a échoué.

Des couches d’audit ouvertes devraient prouver l’état sans politiser chaque décision

Un grand livre ouvert dans le contexte des ressources de numérotation ne doit pas signifier que chaque fichier confidentiel du registre devient public ou que chaque information commerciale d’un titulaire est placée sur une chaîne publique. L’idée utile est plus étroite: l’état autoritaire et ses transitions devraient être indépendamment vérifiables. La confiance du public ne devrait pas reposer uniquement sur l’affirmation de l’opérateur en place que sa base de données privée est cohérente.

L’architecture peut séparer trois couches. La première est la couche de preuves confidentielles: accords, documents d’identité, registres d’entreprise, tickets de support, fichiers de transfert, vérifications de sanctions, correspondance juridique et documents de compte sensibles à la sécurité. La deuxième est l’état de registre autoritaire: titulaire, ressource, statut, contacts publics le cas échéant, informations DNS inverse, éligibilité à la sécurité de routage, marqueurs de litige et statut de service. La troisième est la couche d’audit: engagements signés, numéros de séquence des modifications, hachages d’état, déclarations d’urgence, attestations de garde et déclarations publiques sur l’état actuel.

La troisième couche peut être ouverte sans exposer la première. Elle peut permettre aux tiers de savoir qu’un enregistrement faisait partie de l’état du registre à un moment donné, qu’une modification s’est produite dans une séquence définie, que la modification a été autorisée par une voie reconnue, et qu’aucune bifurcation silencieuse n’a été introduite. Elle peut également permettre à un opérateur de continuité de prouver qu’il a commencé à partir du dernier état vérifié plutôt que d’une reconstruction commode.

Pour le marché de l’ARIN, cela serait précieux même sans crise. Les transferts auraient des pistes d’audit plus propres. La régularisation des titulaires historiques serait plus facile à diligenter. Les banques et les acheteurs pourraient demander des preuves plutôt que des récits. Les tribunaux pourraient comparer les attestations du registre avec les preuves. Les équipes de sécurité pourraient distinguer un contact public périmé d’une réécriture non vérifiée. Les petits opérateurs seraient moins dépendants de la confiance informelle ou d’intermédiaires spécialisés.

Le risque est que l’audit ouvert devienne une transparence performative. Publier de grandes quantités de données peut donner l’apparence de la responsabilité tout en rendant plus difficile pour les utilisateurs ordinaires de comprendre les faits décisifs. Une bonne couche d’audit devrait répondre à des questions spécifiques. Quel est l’état autoritaire actuel? Quel était l’état précédent? Quand a-t-il changé? Sous quelle classe d’autorité a-t-il changé? La ressource est-elle contestée? Le service de publication fonctionne-t-il sous une autorité normale ou d’urgence? Un déclencheur de continuité a-t-il été invoqué? Quels enregistrements sont gelés? Quels services sont publiés en miroir?

C’est également là que la validation déterministe aide. Certaines règles peuvent être vérifiées localement. Une transition d’état ne devrait pas allouer ou reconnaître la même ressource deux fois. Un transfert ne peut pas provenir d’un titulaire non reconnu dans l’état précédent. Une déclaration d’urgence devrait avoir une heure de début, une portée et un déclencheur autorisant. Un marqueur de litige devrait préserver le dernier état vérifié tout en bloquant les modifications incompatibles. Une mise à jour du DNS inverse devrait correspondre au titulaire de ressource reconnu ou à un délégué autorisé. Plus ces règles peuvent être vérifiées mécaniquement, moins le système exige de confiance discrétionnaire.

Toutes les questions ne peuvent pas être rendues mécaniques. La validité d’un document de fusion peut nécessiter un jugement juridique. L’applicabilité d’une ordonnance de tribunal à une filiale particulière peut nécessiter une interprétation. Le blocage d’un service pour risque de sanctions peut dépendre de la loi. La couche d’audit ne devrait pas prétendre remplacer le jugement. Elle devrait rendre le jugement attribuable, limité et révisable.

Une couche d’audit ouverte crée également une base pour une décentralisation future sans forcer une décentralisation prématurée. Le système peut commencer par publier des preuves autour de l’état du registre en place. Au fil du temps, les titulaires pourraient recevoir des justificatifs portables, des outils de vérification indépendants et des enregistrements vérifiables localement. La transition de la confiance institutionnelle à la vérifiabilité technique peut être progressive. L’objectif n’est pas de passer de la base de données de l’ARIN à un monde entièrement distribué en un seul mouvement. Il est de réduire la quantité de confiance qui doit être placée en un seul opérateur à un moment donné.

Le pouvoir d’urgence doit expirer par construction

Toute architecture de transition a besoin d’une autorité d’urgence. Elle a également besoin de se méfier de l’autorité d’urgence. Au moment où une fonction de registre entre en crise, quelqu’un doit décider quel état est gelé, quels services continuent, qui peut faire des modifications urgentes, comment les titulaires s’authentifient, ce que les tribunaux et les régulateurs reçoivent, et quand les transactions à haute conséquence sont mises en pause. Si personne ne peut agir, la continuité échoue. Si quelqu’un peut agir sans limites, l’urgence devient une nouvelle source de pouvoir discrétionnaire.

La solution est de rendre l’autorité d’urgence réversible, limitée et temporellement bornée dès le départ. Un déclencheur devrait identifier la condition: perte de service, perte de quorum, contrôle nommé par le tribunal, insolvabilité, compromission de sécurité grave, violation vérifiée de l’intégrité des données, incapacité de publier des services clés, ou un autre événement prédéfini. La déclaration devrait énoncer la portée du service: publication uniquement, continuité du support, maintenance de la chaîne de sécurité, gel des transferts, isolation des litiges, ou opération complète de service minimal. Elle devrait préciser qui a autorisé le déclencheur, quelles preuves le soutiennent, quand il expire et comment il peut être renouvelé.

Pour l’ARIN, la portée d’urgence devrait avoir une granularité fine. La continuité de publication RDAP est différente de l’approbation des transferts. La maintenance du DNS inverse est différente d’un changement de politique tarifaire. La continuité du dépôt RPKI est différente de la certification de nouvelles ressources pour un titulaire contesté. La récupération de mot de passe de compte est différente du remplacement complet de la structure d’autorité d’une organisation. Une seule étiquette d’urgence ne devrait pas donner à un opérateur une discrétion égale sur tous ces actes.

L’expiration n’est pas une formalité. Les institutions sous stress découvrent souvent que les mesures temporaires sont commodes. Un opérateur de continuité peut trouver qu’il est devenu utile. Les institutions homologues peuvent préférer ne pas rouvrir une question de gouvernance difficile. Les grands acteurs du marché peuvent s’adapter à l’arrangement d’urgence et faire pression discrètement pour sa prolongation. Le personnel peut préférer la clarté du commandement temporaire. Le pouvoir d’urgence doit donc avoir une tendance automatique à cesser à moins que des preuves ne justifient le renouvellement.

Le renouvellement devrait être public, même lorsque les preuves sous-jacentes restent confidentielles. L’avis peut dire qu’un service spécifique reste sous autorité de continuité parce que l’opérateur ordinaire n’a pas rétabli sa capacité technique, parce qu’une ordonnance de tribunal n’est pas résolue, parce que du matériel clé reste à risque, ou parce qu’un examen de sécurité n’est pas terminé. L’avis ne devrait pas avoir besoin de révéler des justificatifs sensibles ou des fichiers privés de titulaires. Il devrait révéler suffisamment pour que les parties affectées sachent que le pouvoir d’urgence ne se maintient pas par inertie.

L’autorité d’urgence devrait également être par défaut non destructrice. Le dernier état vérifié devrait être préservé. Les modifications conflictuelles devraient être mises en pause. La publication valide existante devrait continuer. Les réseaux en fonctionnement ne devraient pas être obligés de renuméroter, de perdre le DNS inverse, de perdre les attestations de sécurité ou de perdre la possibilité d’être contactés publiquement simplement parce que la couche de gouvernance est contestée. Si une décision juridique indépendante exige un acte destructeur, l’architecture devrait enregistrer la décision, en limiter la portée et préserver les preuves pour examen.

Cela importe parce que les litiges sur les ressources de numérotation peuvent tenter les institutions de recourir à l’auto-assistance. Un registre qui croit qu’un titulaire a violé la politique peut vouloir révoquer. Un créancier peut vouloir bloquer un transfert. Un acheteur peut vouloir accélérer la clôture. Un gouvernement peut vouloir désactiver une ressource. Un opérateur de continuité devrait résister à devenir l’instrument le plus facile pour toute partie qui peut présenter sa demande comme urgente. Sa règle devrait être la préservation à moins qu’une autorité définie n’exige une modification spécifique.

Le test pour le pouvoir d’urgence est simple. Le même mécanisme pourrait-il être utilisé en toute sécurité si la partie qui l’invoque n’était pas digne de confiance? Si la réponse est non, le mécanisme est trop discrétionnaire. L’architecture de transition ne devrait pas dépendre de bonnes personnes occupant des rôles d’urgence. Elle devrait rendre leurs choix suffisamment étroits pour que la confiance soit utile mais pas fatale.

L’authentification des titulaires doit devenir portable

Un enregistrement de registre n’est aussi utile que le système qui décide qui peut le modifier. L’authentification des titulaires est donc l’une des parties les plus importantes et les moins discutées de l’architecture de transition. Si l’autorité d’un titulaire de ressource n’existe qu’à l’intérieur du système de compte d’un registre, alors le titulaire n’est pas portable. Il peut posséder des ressources de numérotation précieuses, des enregistrements publics et une dépendance opérationnelle, tout en étant dépendant du registre en place pour reconnaître sa capacité à agir.

La portabilité ne signifie pas que tout titulaire peut se déplacer n’importe où sur demande sans vérifications. Elle signifie que la preuve de l’autorité du titulaire devrait pouvoir survivre à un changement d’opérateur de registre, d’opérateur de continuité ou de modèle de service. Le titulaire ne devrait pas avoir à renuméroter, à re-prouver tout son historique depuis zéro, ou à obtenir une permission discrétionnaire d’une institution défaillante simplement pour maintenir des services d’enregistrement légitimes.

Pour l’ARIN, l’authentification portable devrait gérer plusieurs populations. Les membres et clients contemporains peuvent avoir des structures de compte claires, des accords de service et des contacts vérifiés. Les titulaires historiques peuvent avoir des enregistrements plus anciens, une documentation partielle, des changements d’entreprise historiques ou des arrangements de service spéciaux. Les cessionnaires peuvent avoir des dossiers d’approbation récents. Les organismes publics peuvent avoir une autorité statutaire. Les universités peuvent avoir un contrôle interne décentralisé. Les entreprises peuvent avoir des fusions, des réorganisations, des faillites ou des contacts techniques délégués. Un système de mot de passe unique ne peut pas porter toute cette signification.

L’architecture devrait séparer la preuve d’identité, la preuve d’autorité et la preuve de relation avec la ressource. L’identité demande qui est l’acteur. L’autorité demande si l’acteur peut engager le titulaire. La relation avec la ressource demande si le titulaire est reconnu pour la ressource en question. Dans les opérations ordinaires du registre, ces éléments peuvent être compressés dans une interface de compte. En transition, la compression devient un risque. Un justificatif portable devrait permettre à un opérateur de continuité ou à un successeur de vérifier les mêmes catégories sans dépendre de connaissances cachées de l’opérateur en place.

Un modèle possible est un dossier d’autorité de titulaire: un ensemble signé et périodiquement actualisé d’assertions qui identifient le titulaire, les rôles autorisés, la liste des ressources, le statut de l’accord ou du service, les contacts délégués, les limitations de litige et les conditions d’utilisation en urgence. Certaines parties peuvent être publiques. Certaines peuvent être chiffrées pour le séquestre. Certaines peuvent nécessiter une preuve notariée ou une preuve juridique équivalente. Certaines peuvent être vérifiées par un contrôle technique multifactoriel. La technologie spécifique importe moins que la propriété: le titulaire peut emporter une autorité vérifiable à travers différents contextes opérationnels.

L’authentification portable crée également une responsabilité pour les registres. Si les titulaires peuvent préserver leur autorité indépendamment d’un portail de compte, le registre doit rivaliser sur la qualité du service, l’exactitude et la confiance plutôt que sur l’enfermement. Cela ne fait pas disparaître la coordination régionale. Cela donne aux titulaires de ressources une soupape de sécurité. En temps normal, la soupape de sécurité peut rester inutilisée. Son existence modifie néanmoins les incitations.

Le marché des DNS offre une analogie imparfaite. Les titulaires de noms de domaine peuvent souvent transférer entre bureaux d’enregistrement selon des règles qui préservent la continuité du domaine. La structure registre-bureau d’enregistrement n’est pas la même que l’administration des ressources de numérotation Internet, et les adresses ne sont pas des noms de domaine. Pourtant, la leçon économique est pertinente: la portabilité peut discipliner les fournisseurs de services sans rendre chaotique l’espace de noms sous-jacent. La difficulté est de concevoir la portabilité autour de l’unicité, de la sécurité et de la preuve juridique plutôt qu’autour de la seule commodité pour le consommateur.

L’authentification portable des titulaires réduirait également les frictions d’urgence. Un opérateur de continuité n’aurait pas besoin de rétablir la confiance titulaire par titulaire sous pression. Il pourrait utiliser des dossiers d’autorité signés préexistants, des enregistrements de vérification sous séquestre et des règles de mise à jour définies. Les tribunaux et les régulateurs disposeraient de preuves plus claires. Les petits opérateurs seraient moins susceptibles de perdre le service parce qu’un contact administratif a quitté l’entreprise ou qu’un portail de registre est devenu indisponible.

L’objectif n’est pas de laisser les titulaires échapper à toutes leurs obligations. Un titulaire qui fait l’objet d’un litige, d’une contrainte de sanctions, d’un examen pour fraude ou d’une ordonnance de tribunal peut faire face à des limites. La portabilité devrait également porter ces marqueurs. Une architecture crédible déplace l’autorité et les contraintes ensemble. Elle empêche à la fois le pouvoir de prise d’otage du registre et l’opportunisme des titulaires.

Le RPKI, RDAP et le DNS inverse sont les joints dangereux

Il est tentant de décrire la transition de registre comme un problème de base de données. Cette tentation est dangereuse. Un registre de ressources de numérotation n’est pas seulement une table de titulaires et de ressources. Il est entouré de services de publication et de sécurité que d’autres systèmes consomment. RDAP, Whois, le DNS inverse et le RPKI font partie des joints où une transition mal conçue pourrait créer un préjudice opérationnel visible.

RDAP et Whoissont des services de confiance publique. Ils aident les opérateurs, les bureaux de gestion des abus, les chercheurs en sécurité, les contreparties de transaction et d’autres à savoir qui est associé à une ressource et comment le registre présente cette association. Ce ne sont pas des registres parfaits du contrôle opérationnel, et les limites de confidentialité ou d’exactitude peuvent avoir de l’importance. Pourtant, ils font partie de l’ensemble de preuves ordinaire du marché. Pendant la transition, le répertoire public devrait continuer à partir du dernier état vérifié, avec des marqueurs clairs pour l’autorité d’urgence, les enregistrements gelés ou les litiges. Le silence inviterait la rumeur. Une publication parallèle incohérente inviterait l’arbitrage.

LeDNS inversea des conséquences différentes. Il lie l’administration des ressources de numérotation à l’infrastructure de nommage utilisée pour la réputation du courrier électronique, les diagnostics, les outils de sécurité et les conventions opérationnelles. Une transition qui gère mal la délégation du DNS inverse peut créer des frictions visibles pour les clients même si le routage continue. La règle devrait être la continuité de la délégation existante à moins que le titulaire ne demande une mise à jour légitime, qu’une décision indépendante n’exige un changement, ou qu’un incident de sécurité ne nécessite une action à portée étroite. L’opérateur de continuité devrait disposer des données et des justificatifs nécessaires pour maintenir le service, et non d’un large pouvoir discrétionnaire pour réorganiser les délégations.

LeRPKIest le joint le plus sensible à la sécurité. Il implique des certificats de ressources, des autorisations d’origine de route, des dépôts, des manifestes, du matériel de révocation, des points de publication et la validation des parties utilisatrices. Une transition négligente pourrait invalider des assertions de sécurité, créer du matériel périmé, interrompre la disponibilité du dépôt ou semer la confusion chez les parties utilisatrices. Une sauvegarde statique ne suffit pas. L’architecture a besoin de règles de garde des clés, de procédures de signature d’urgence, de continuité de l’état des certificats, de basculement du dépôt, de planification de la révocation et d’un chemin de migration que les opérateurs peuvent tester avant la crise.

Pour l’ARIN, la sensibilité est amplifiée par l’échelle de l’adoption de la sécurité de routage parmi les réseaux sophistiqués et la valeur de marché des ressources. Un grand titulaire d’adresses peut dépendre du RPKI pour soutenir la politique de routage chez plusieurs fournisseurs. Un client cloud peut s’appuyer sur des arrangements « bring-your-own-address » dont la posture de sécurité inclut la certification des ressources. Un petit FAI peut ne pas comprendre la chaîne complète mais peut tout de même être affecté si les fournisseurs en amont appliquent la validation de l’origine de route. La conception de la transition doit protéger à la fois les utilisateurs experts et ceux qui ne découvrent la dépendance que lorsque quelque chose se casse.

L’approche la plus sûre est une succession par couches. Premièrement, l’opérateur en place continue d’exploiter les services en temps normal tout en publiant des engagements d’audit et en maintenant le séquestre. Deuxièmement, un environnement de continuité en miroir prouve périodiquement que l’état RDAP, Whois, DNS inverse et RPKI peut être reconstruit sans servir de données conflictuelles en direct. Troisièmement, les procédures d’urgence sont répétées avec des ressources non productives ou des cas de test contrôlés. Quatrièmement, les règles d’activation définissent quel service peut basculer et si le basculement est en lecture seule, en maintenance seule ou pleinement opérationnel. Cinquièmement, le chemin de retour est défini pour que le service d’urgence ne devienne pas une bifurcation permanente.

Le RPKI mérite une règle anti-bifurcation spéciale. Il ne devrait pas y avoir deux autorités en direct émettant du matériel de sécurité conflictuel pour la même ressource sous les mêmes attentes de confiance. Si une transition nécessite de déplacer la publication ou l’autorité de signature, elle doit être coordonnée, journalisée et visible pour les parties utilisatrices. L’ambiguïté dans la chaîne de sécurité est pire qu’un retard administratif ordinaire parce que les décisions de routage automatisées peuvent lire l’ambiguïté plus vite que les humains ne peuvent l’expliquer.

La leçon plus large est que le pouvoir du registre est intégré dans les services, pas seulement dans la politique. Une transition qui préserve la table tout en brisant les joints ferait défaut au marché. Une transition qui garde les joints stables tout en réduisant le pouvoir discrétionnaire montrerait que la continuité du registre et la permanence institutionnelle ne sont pas la même chose.

Les tribunaux et les régulateurs ont besoin d’un état de registre lisible

Les litiges sur les ressources de numérotation touchent de plus en plus des institutions juridiques qui n’ont pas été construites autour des tables de routage. Les tribunaux, les administrateurs judiciaires, les professionnels de l’insolvabilité, les régulateurs, les équipes de marchés publics et les canaux d’application de la loi peuvent avoir besoin de comprendre qui est reconnu, quelle autorité le registre avait, quels services sont affectés et quels actes nuiraient à des tiers. L’architecture de transition devrait être compatible avec ce monde plutôt que de traiter le droit comme une nuisance externe.

La première exigence est la lisibilité. Un juge ou un régulateur ne devrait pas avoir à déduire l’état du registre à partir de jargon, de réputation institutionnelle ou d’assurances privées. L’enregistrement devrait indiquer la ressource, le titulaire reconnu, le chemin d’autorité, le statut du litige, le statut du service, les contraintes pertinentes et les modifications historiques dans un format que les lecteurs techniques et juridiques peuvent tous deux analyser. Cela ne signifie pas réduire le registre à un langage de propriété ordinaire. Cela signifie rendre le fait opérationnel de la reconnaissance suffisamment clair pour que les ordonnances juridiques puissent être étroites.

L’étroitesse compte. Un tribunal peut avoir besoin de geler un transfert contesté sans affecter la maintenance non liée du DNS inverse. Un régulateur peut avoir besoin de preuves de contact sans changer le statut du titulaire. Un administrateur judiciaire peut avoir besoin d’accéder à l’autorité de compte pour une entreprise en faillite tout en préservant la continuité du RPKI. Une autorité de sanctions peut exiger des limites de service pour une entité spécifique sans contaminer toute une plage de ressources. Si l’état du registre n’est pas décomposé en catégories de services, les instructions juridiques peuvent devenir plus larges que prévu.

Pour la région de l’ARIN, la compatibilité juridique n’est pas facultative. L’économie environnante est juridiquement sophistiquée. Les avoirs en adresses peuvent apparaître dans des fusions, des financements, des faillites, des analyses fiscales, des marchés publics, des contrats de cloud et des litiges commerciaux. Les avocats peuvent ne pas être d’accord sur la question de savoir si une ressource de numérotation doit être décrite comme une propriété, un droit contractuel, une revendication opérationnelle, un intérêt de type licence ou autre chose. Le registre ne peut pas régler toute la théorie juridique. Il peut rendre son propre état de reconnaissance et ses frontières de service précis.

C’est une autre raison de séparer le grand livre de l’application discrétionnaire. Un registre ou un opérateur de continuité devrait pouvoir dire à un tribunal: voici le dernier état vérifié, voici les demandes en attente, voici le service que nous pouvons préserver, voici ce qu’un gel affecterait, voici ce qui nécessiterait une révocation, voici ce qui changerait le RPKI, et voici ce qui laisserait les réseaux en fonctionnement intacts. Ce type d’explication aide les tribunaux à éviter des remèdes grossiers.

Les régulateurs ont également besoin de l’assurance que la transition ne crée pas une zone privée sans loi. Un mouvement au-delà du pouvoir discrétionnaire des RIR ne devrait pas signifier que les titulaires de ressources deviennent immunisés contre le droit ordinaire. Il devrait signifier que l’application se fait par des canaux juridiques et techniques légitimes plutôt que par une auto-assistance opaque du registre. Si un État a une autorité légale sur un opérateur dans sa juridiction, l’architecture de transition devrait pouvoir enregistrer et appliquer une ordonnance spécifique. Elle ne devrait pas permettre à un organisme privé étranger ou supranational d’étendre cette ordonnance en un pouvoir général sur des réseaux non liés.

Le même principe s’applique à la régulation du marché. Les transferts d’adresses, la location et les arrangements d’utilisation peuvent soulever des préoccupations de fraude, de sanctions, fiscales, de protection des consommateurs ou de concurrence. Le travail du registre n’est pas de devenir un régulateur commercial universel. Son travail est de maintenir une reconnaissance exacte, d’empêcher les revendications en double, d’authentifier les modifications, de marquer les litiges et de se conformer aux instructions légales. Une architecture de transition qui rend ces fonctions lisibles facilitera la tâche des autorités compétentes pour traiter les inconduites sans utiliser le pouvoir discrétionnaire du registre comme substitut au droit.

La compatibilité juridique protège également le registre. Les institutions sont plus susceptibles de faire face à la méfiance lorsqu’elles ne peuvent pas expliquer leurs actes dans des catégories ordinaires. Si l’ARIN ou tout successeur peut montrer un état contrôlé, une autorité vérifiable, des effets de service étroits et des preuves préservées, il sera moins susceptible d’être traité comme arbitraire. Le droit n’a pas besoin que la fonction de registre soit simple. Il a besoin qu’elle soit intelligible.

Le financement devrait acheter de la résilience, pas un deuxième titulaire

Aucune architecture de transition n’est crédible si elle n’est pas financée. Le séquestre, l’audit, la publication en miroir, les répétitions d’urgence, la garde des clés, le personnel de continuité, l’assurance, la préparation juridique et la communication publique coûtent tous de l’argent. Les sous-financer créerait un plan décoratif qui échoue en cas de besoin. Les sur-financer pourrait créer une nouvelle institution avec son propre appétit pour la permanence. Le modèle de financement doit donc acheter de la résilience sans acheter un deuxième opérateur en place.

La base de coûts devrait suivre l’ensemble minimal de services. Si l’architecture de continuité est destinée à préserver l’état du registre, les services de répertoire public, le DNS inverse, la continuité du RPKI, les modifications urgentes authentifiées, les marqueurs de litige et la garde des preuves, alors son budget devrait être lié à ces fonctions. Il ne devrait pas financer de vastes programmes de politique, de plaidoyer, de conférences, d’analyse de marché ou d’expansion institutionnelle. Une réserve qui paie pour la continuité est plus facile à justifier qu’une réserve qui se transforme tranquillement en une bureaucratie de registre parallèle.

Plusieurs sources sont possibles. Une petite surtaxe de résilience sur les frais de registre pourrait financer le séquestre et les tests de continuité. Une partie des réserves existantes pourrait être affectée au fonctionnement d’urgence. Les frais liés aux transferts pourraient contribuer à l’infrastructure d’audit, car les transferts dépendent fortement de la confiance du marché. Des produits d’assurance pourraient couvrir des coûts opérationnels spécifiques. Les grands titulaires pourraient financer des services d’assurance améliorée volontaires, à condition qu’ils ne leur donnent pas un statut privilégié dans le registre. Les subventions publiques pourraient soutenir la résilience des petits opérateurs, bien que le financement public nécessite des garde-fous contre la capture politique.

Pour l’ARIN, la question distributive est importante. Une surtaxe uniforme peut être triviale pour les grandes plateformes et importante pour les petits réseaux. Une surtaxe basée sur la taille des ressources peut être plus facile à justifier mais pourrait être perçue comme une autre taxe sur les avoirs historiques. Une contribution liée aux transferts peut s’aligner sur la dépendance au marché mais ne couvrirait pas tous les besoins de continuité. Un modèle financé par les réserves peut éviter de nouveaux frais mais exige la confiance que les réserves sont adéquates et correctement gouvernées. La bonne combinaison devrait être transparente sur qui paie et pourquoi.

Le financement devrait également être conditionné à la performance. Les dépôts de séquestre devraient être vérifiés. Les systèmes en miroir devraient être testés. Les audits devraient publier des résumés utiles. Les opérateurs de continuité devraient réussir les répétitions. La succession RPKI devrait être mesurée par rapport au comportement de validation réel. Le basculement RDAP et DNS inverse devrait avoir des preuves, pas des diapositives. Si l’architecture est financée mais pas testée, le marché finira par apprendre à la décoter.

Le risque de créer un deuxième opérateur en place peut être réduit par l’approvisionnement et la rotation. Les rôles de garde, d’audit et de continuité peuvent être séparés. Les fournisseurs peuvent être changés ou périodiquement remis en appel d’offres. Aucun sous-traitant unique ne devrait détenir toutes les clés, toutes les preuves et toutes les capacités opérationnelles. La supervision devrait inclure des perspectives techniques, juridiques et des titulaires, mais elle ne devrait pas devenir un grand parlement permanent. L’architecture devrait être résiliente parce que ses devoirs sont clairs, et non parce que son institution est grandiose.

La responsabilité fait partie du financement. Un opérateur de continuité qui peut faire des erreurs a besoin d’une assurance ou d’une indemnité dans des limites étroites. Les auditeurs ont besoin d’une protection contre les représailles mais pas d’une immunité pour négligence grave. Les dépositaires ont besoin de devoirs exécutoires par contrat et par la loi. Les titulaires ont besoin de recours si les actes d’urgence dépassent l’autorité. Sans modèle de responsabilité, l’architecture n’attire aucun opérateur compétent ou donne à l’opérateur trop de protection.

Le principe économique est que les dépenses de résilience devraient réduire le coût total de la dépendance. Si le marché paie un dollar pour la préparation à la transition mais économise plusieurs dollars en diligence réduite, en risque de litige plus faible, en incertitude d’urgence moindre et en primes de continuité plus basses, la dépense est justifiée. Si la dépense soutient principalement un théâtre institutionnel, elle ne l’est pas. Une architecture mature de la région ARIN devrait pouvoir énoncer ce calcul clairement.

La gouvernance de la migration est une séquence, pas un drame

Le mot transition peut inviter à une pensée cinématographique: une crise, une déclaration, un remplacement et un nouvel ordre. La migration réelle devrait être beaucoup moins dramatique. La transition la plus sûre est celle dans laquelle la plupart des acteurs remarquent seulement que le système est devenu plus vérifiable et moins otage d’un seul opérateur. La gouvernance devrait être séquencée autour de la preuve, pas du spectacle.

La première phase est la cartographie. La fonction de registre doit être décomposée en état d’enregistrement, publication du répertoire public, DNS inverse, RPKI, authentification des titulaires, traitement des transferts, gestion des litiges, facturation, développement des politiques, conformité légale et responsabilité des membres. Chaque fonction devrait être classée par réversibilité, conséquence sur le marché, sensibilité à la sécurité, confidentialité et besoin de continuité en temps réel. Cette classification empêche le discours vague sur « le registre » d’obscurcir le fait que différentes parties nécessitent différents outils de transition.

La deuxième phase est la préservation des preuves. Les engagements d’état signés, les journaux de modifications, les dépôts de séquestre, les dossiers d’autorité et les dépendances de service devraient être capturés pendant que l’opérateur en place fonctionne. Attendre la défaillance est irrationnel. Une institution défaillante est la moins capable, la moins digne de confiance et la plus conflictuelle au moment où les preuves de transition sont les plus précieuses.

La troisième phase est l’opération en miroir. Un environnement de continuité devrait reconstruire l’enregistrement public, tester la sortie RDAP, modéliser la délégation DNS inverse, refléter l’état du dépôt RPKI de manière sûre, vérifier les dossiers d’autorité des titulaires et répéter le support d’urgence sans servir de données conflictuelles en direct. L’environnement en miroir n’est pas un registre rival. C’est une preuve que la fonction peut être opérée si nécessaire.

La quatrième phase est la portabilité limitée. Les titulaires pourraient être autorisés à télécharger ou à vérifier des dossiers d’autorité, à confirmer les listes de ressources, à tester les contacts délégués et à valider que leurs enregistrements peuvent être reconnus par un opérateur de continuité. Cela révélerait des contacts périmés, des problèmes d’historique d’entreprise et des lacunes de documentation historique en temps normal plutôt qu’en crise. Cela apprendrait également aux titulaires que la portabilité est un contrôle pratique, pas un slogan révolutionnaire.

La cinquième phase est la préparation aux urgences. Les déclencheurs, les avis, les portées de service, les règles de renouvellement, les flux de frais, les interfaces avec les tribunaux et les modèles de communication devraient être testés. Le registre, le dépositaire, l’opérateur de continuité et les entités à la supervision devraient savoir ce qui se passe si l’activation est requise. Un exercice sur table ne suffit pas, mais il vaut mieux que l’improvisation. Les tests de basculement technique, les simulations juridiques et les exercices de support aux titulaires comptent tous.

Ce n’est qu’après ces phases qu’un basculement en direct devrait être envisagé. Même alors, le basculement peut être partiel. La publication RDAP pourrait basculer tandis que les modifications ordinaires des titulaires restent en pause. La maintenance du DNS inverse pourrait être déléguée sous l’autorité de continuité tandis que les transferts restent gelés. La continuité du dépôt RPKI pourrait être maintenue sans émettre de nouveaux certificats, sauf selon des règles étroites. Le support aux titulaires pourrait traiter les mises à jour de contact urgentes mais pas les transferts qui influencent le marché. L’architecture devrait permettre une activation partielle parce que les crises réelles sont rarement totales.

La gouvernance de la migration devrait inclure des critères de sortie. Quelles preuves restaurent le fonctionnement ordinaire? Quels défauts exigent une prolongation? Quels actes restent révisables après le retour? Qu’advient-il des frais perçus pendant le service d’urgence? Comment les titulaires sont-ils informés que l’autorité est revenue ou a été déplacée? Comment les litiges survenus pendant la transition sont-ils résolus? Sans critères de sortie, le plan de migration est incomplet.

Plus la migration est séquencée, moins elle devient politique. Les gens se battent à propos des grandes transitions parce que les conséquences sont opaques. Ils peuvent évaluer des contrôles progressifs parce que chaque phase a un test. Le séquestre a-t-il fonctionné? L’engagement d’audit correspondait-il à la base de données? La publication en miroir RDAP a-t-elle reproduit l’enregistrement public? Le basculement du DNS inverse a-t-il maintenu la délégation? Les parties utilisatrices ont-elles accepté le test de succession RPKI? Les titulaires se sont-ils authentifiés avec succès? Ce sont des questions auxquelles on peut répondre.

Un basculement progressif devrait commencer par une vérité en lecture seule

Si un basculement en direct devenait un jour nécessaire, le premier mouvement le plus sûr serait une vérité en lecture seule. L’opérateur de continuité ou le successeur devrait publier le dernier état vérifié, avec des marqueurs d’urgence, tout en empêchant les écritures conflictuelles. Cela protège l’unicité et donne au marché un point de référence. Cela ne suffit pas pour une longue période, mais c’est le point de départ correct.

La vérité en lecture seule présente plusieurs avantages. Elle réduit la panique car les tiers peuvent encore interroger l’enregistrement. Elle empêche les modifications opportunistes pendant que l’autorité est contestée. Elle permet aux tribunaux et aux régulateurs de voir la référence de base. Elle donne aux titulaires le temps de vérifier leurs listes de ressources et leurs contacts. Elle permet aux équipes techniques de surveiller séparément la continuité RDAP, Whois, DNS inverse et RPKI. Elle gagne du temps sans prétendre que chaque service peut continuer normalement.

Le deuxième mouvement est celui des écritures de maintenance. Ce sont des modifications à faible risque nécessaires pour préserver le service: corriger des contacts défaillants, maintenir la délégation DNS inverse pour un titulaire non contesté, préserver la publication RPKI, mettre à jour les canaux de communication d’urgence et enregistrer les marqueurs de litige. Les écritures de maintenance devraient être journalisées plus lourdement que les écritures ordinaires car elles se produisent sous une autorité inhabituelle. Elles devraient être suffisamment étroites pour ne pas déplacer de valeur économique, sauf pour prévenir des dommages évitables.

Le troisième mouvement est celui des écritures des titulaires authentifiés. Une fois que les dossiers d’autorité portables ou une vérification équivalente fonctionnent, les titulaires devraient pouvoir effectuer des mises à jour ordinaires non contestées. Le système devrait distinguer entre les changements qui préservent la continuité et les changements qui transfèrent le contrôle. Mettre à jour un contact technique n’est pas la même chose que remplacer le titulaire. Renouveler le service n’est pas la même chose qu’approuver un transfert. Une interface mature devrait encoder cette différence.

Le quatrième mouvement est l’activité de marché en file d’attente. Les transferts, les fusions, les acquisitions, les réorganisations et les régularisations historiques peuvent devoir se poursuivre à terme. Mais pendant la transition, ils devraient être traités avec un examen indépendant, des règles de priorité claires et des vérifications explicites des litiges. Le marché ne peut pas être gelé indéfiniment; la rareté rend la liquidité précieuse. Pourtant, la liquidité sous une autorité incertaine peut inviter la fraude et des négociations inégales. La séquence correcte n’est pas « arrêter le marché » ou « business as usual »; c’est « reprendre les activités à haute conséquence seulement lorsque le chemin d’autorité est prouvé. »

Le cinquième mouvement est la restauration de la politique ou la gouvernance successeur. Une fois que les services minimaux et l’activité de marché sont stables, la question plus large peut être abordée: l’opérateur en place devrait-il reprendre, un successeur devrait-il prendre le relais, certaines fonctions devraient-elles rester dans des couches d’audit ouvertes, la portabilité des titulaires devrait-elle devenir permanente, et les mécanismes de politique régionale devraient-ils être révisés? Ce sont de grandes questions institutionnelles. Elles devraient être résolues après que la continuité est protégée, et non pendant que l’enregistrement lui-même est en danger.

Pour l’ARIN, un basculement progressif devrait être particulièrement prudent en ce qui concerne les ressources historiques. Une grande partie de la dépendance du marché peut concerner des ressources dont la documentation historique est inégale ou dont la relation avec les accords modernes diffère selon le titulaire. La phase de lecture seule devrait préserver ces différences plutôt que de les aplatir. La phase de maintenance ne devrait pas utiliser l’autorité d’urgence pour imposer de nouveaux choix contractuels. La phase d’activité de marché devrait exiger suffisamment de preuves pour empêcher la fraude sans obliger chaque titulaire historique à prouver l’histoire entière des débuts d’Internet.

La métrique centrale est de savoir si l’unicité reste ininterrompue tout au long de la séquence. À aucun moment deux systèmes en direct ne devraient revendiquer une autorité égale sur la même ressource. À aucun moment un titulaire ne devrait pouvoir exploiter la transition pour obtenir une reconnaissance en double. À aucun moment un opérateur d’urgence ne devrait modifier l’état sans laisser une piste qu’un examinateur ultérieur puisse comprendre. Si ces règles tiennent, la transition devient une extension de la discipline de registre plutôt qu’une rupture avec celle-ci.

L’ARIN peut prouver que le registre peut survivre au registre

Le test mature pour l’ARIN est de savoir s’il peut prouver une proposition simple: la fonction d’enregistrement des numéros nord-américaine peut survivre à une incapacité temporaire, à une discrétion excessive ou au remplacement de l’opérateur sans briser l’unicité. Cette proposition n’exige pas que l’ARIN disparaisse. Elle exige que l’ARIN montre que la fonction est plus grande que son bureau actuel et plus disciplinée que son pouvoir discrétionnaire actuel.

La première étape pratique est une définition publique de l’ensemble minimal de services. L’ARIN pourrait identifier les services qui doivent continuer sous tout stress institutionnel: la publication de l’état du registre, RDAP et Whois, le DNS inverse, la continuité du dépôt RPKI, le support urgent authentifié, le marquage des litiges, la préservation des preuves et la communication. Il pourrait les distinguer des services qui peuvent être mis en pause: les changements majeurs de politique, les transferts à haute conséquence, les remplacements de compte contestés, les actes d’application inhabituels et les programmes non essentiels.

La deuxième étape est la conception du séquestre. Quel état est déposé? À quelle fréquence? Sous la garde de qui? Avec quel chiffrement? Sous quels déclencheurs? Qu’est-ce qui peut être vérifié publiquement? Qu’est-ce qui reste confidentiel? Quelle interface avec les tribunaux ou les régulateurs existe-t-il? Comment le dépôt est-il testé? Ces questions ne sont pas révolutionnaires. Ce sont les questions ordinaires de la résilience des infrastructures critiques.

La troisième étape est la portabilité des titulaires. L’ARIN pourrait permettre aux titulaires de vérifier les dossiers d’autorité, de corriger les enregistrements périmés, d’identifier les contacts délégués et de comprendre comment leur authentification survivrait à une opération d’urgence. Cela améliorerait la qualité actuelle des données même si aucune transition ne se produit jamais. Cela rendrait également visibles les problèmes de ressources historiques avant qu’ils ne deviennent urgents.

La quatrième étape est le test de succession des services. La publication en miroir RDAP et Whois peut être vérifiée par rapport à la sortie en direct. Le basculement du DNS inverse peut être répété dans des cas contrôlés. La succession RPKI peut être testée avec du matériel non productif et le comportement documenté des parties utilisatrices. Les files de transfert peuvent être modélisées pour le gel et le redémarrage. La récupération de compte peut être simulée. L’objectif n’est pas de mettre en scène un drame public mais de prouver que l’ensemble minimal de services est opérable.

La cinquième étape est la gouvernance d’urgence. Les déclencheurs, les portées, les expirations, les avis de renouvellement, l’examen indépendant et les conditions de retour devraient être définis. L’opérateur d’urgence devrait être préqualifié mais peu attrayant comme prix politique. Son rôle devrait être la maintenance, pas le pouvoir. Son autorité devrait être la plus forte lorsqu’il s’agit de préserver le dernier état vérifié et la plus faible lorsqu’on lui demande de modifier des positions économiques.

La sixième étape est la communication au marché. Les acheteurs, les vendeurs, les banques, les plateformes cloud, les petits opérateurs, les organismes publics et les équipes de sécurité devraient comprendre ce que l’architecture fait et ne fait pas. Elle préserve l’état de reconnaissance. Elle ne garantit pas le routage par tous les réseaux. Elle soutient la continuité de la chaîne de sécurité. Elle n’élimine pas tous les litiges juridiques. Elle préserve l’autorité des titulaires. Elle ne facilite pas les transferts frauduleux. Des limites claires font partie de la crédibilité.

Si l’ARIN peut faire ces choses, il ne s’affaiblirait pas. Il démontrerait qu’un registre peut être digne de confiance parce qu’il s’est rendu responsable de la fonction qu’il sert. L’ancien modèle demande au marché de faire confiance à l’institution parce que l’institution est reconnue. Le meilleur modèle demande au marché de faire confiance à l’institution parce que la reconnaissance est étayée par le séquestre, la vérifiabilité, la portabilité, les limites d’urgence et la continuité testée.

C’est l’économie de l’architecture de transition au-delà des RIR. Ce n’est pas un appel à détruire un registre qui fonctionne. C’est un appel à supprimer la logique de prise d’otage d’une couche de coordination critique. Préservez l’unicité. Préservez les enregistrements. Préservez RDAP, Whois, le DNS inverse et le RPKI. Préservez les réseaux en fonctionnement et la confiance du marché. Préservez l’intelligibilité juridique. Mais ne confondez pas ces objectifs avec le pouvoir discrétionnaire permanent d’un seul opérateur de registre.

La maturité de l’ARIN lui donne la chance de montrer l’exemple en rendant cette distinction ordinaire. Un registre qui peut survivre au registre n’est pas plus faible. Il est enfin conçu comme une infrastructure.