Résumé

  • La seule addition établie entre Draft 1 et Draft 2 est la possibilité de placer les objets AS0 créés par AFRINIC sous un TAL distinct, afin que ce service spécial puisse être choisi volontairement et mesuré séparément, au moins lors de son déploiement initial.
  • Cette séparation constitue une protection utile : un réseau peut refuser d’ingérer ce signal, l’observer sans agir sur ses routes, ou lui associer une politique locale. Elle ne prouve toutefois ni l’exactitude de l’inventaire, ni la rapidité d’une contestation, ni une convergence générale en cinq minutes.
  • AFRINIC ne dispose ici que d’un contrôle technique de signature et d’administration au sein de son propre service de registre. Un objet AS0 est un élément de preuve authentifié, jamais un ordre de retrait, un jugement juridique, une sanction ou un titre de propriété.
  • Une réversibilité crédible exige davantage qu’une révocation : périmètre publié, horodatages, canal d’urgence authentifié, observation indépendante des dépôts et validateurs, information sur la correction et limites de responsabilité compréhensibles pour les opérateurs et leurs clients.

Les cinq minutes et le trajet qui reste

La formule « environ cinq minutes » attire l’attention parce qu’elle paraît transformer une inquiétude abstraite en promesse opérationnelle. Or le compte rendu disponible établit quelque chose de beaucoup plus étroit. Lors d’AFRINIC-32, le personnel a rapporté des essais dans lesquels des objets AS0 mettaient approximativement cinq minutes à être révoqués. Un participant a aussitôt rappelé que publier ou révoquer un objet n’était qu’une étape et que d’autres facteurs déterminaient ce qui pouvait effectivement être observé. Les deux observations doivent rester ensemble.

Séparer le chiffre de sa réserve ferait d’une mesure locale une garantie globale que les éléments disponibles ne donnent pas.

La première horloge est celle d’AFRINIC. Une entrée d’inventaire change, une décision technique est prise, l’objet couvrant doit être révoqué, puis il doit cesser d’être visible dans les dépôts avant l’attribution ou l’affectation de l’espace concerné. Cette séquence est importante : elle reconnaît qu’un objet AS0 encore présent au moment où une origine légitime apparaît créerait une contradiction entre l’état publié par le registre et l’usage nouvellement autorisé. Exiger le retrait avant l’attribution réduit ce risque de transition.

C’est un véritable garde-fou, mais il ne mesure que ce que l’éditeur peut accomplir et constater dans son environnement.

La deuxième horloge est distribuée. Les dépôts sont interrogés, les validateurs rafraîchissent leurs données, les caches conservent parfois un état antérieur et les routeurs reçoivent les résultats selon des rythmes qui ne se confondent pas. Deux réseaux ayant choisi le même TAL peuvent donc voir, durant un intervalle, deux réalités techniques différentes. L’un a déjà reçu la révocation ; l’autre conserve encore l’objet. Même lorsque les deux classent une annonce de façon différente, chacun reste maître de la réponse : surveillance, baisse de préférence, rejet ou absence de changement.

La signature d’un ROA ne retire aucune route par elle-même.

Cette distinction temporelle est le cœur de la modification publiée le 30 juillet 2020. Draft 2 n’a pas démontré une nouvelle faculté générale d’AFRINIC. Le socle de Draft 1 demeurait : des ROA AS0 créés par le registre pour les espaces IPv4 et IPv6 qu’il enregistrait comme non attribués ou non affectés, la possibilité pour un titulaire de créer ses propres objets AS0 sur les ressources relevant de son compte, et la révocation avec disparition des dépôts avant une nouvelle attribution. La seule addition établie est l’option d’un TAL distinct.

Rien ne permet d’inventer une suppression dans Draft 1 ni d’ajouter au texte de Draft 2 des précisions venues plus tard.

Le TAL distinct change néanmoins la nature pratique de l’essai. Si les objets AS0 générés par le registre sont séparés des autorisations ordinaires de titulaires, un opérateur peut choisir cette classe spéciale sans devoir la recevoir comme une conséquence indissociable de tout le reste. Il peut aussi ne pas la choisir. Un chercheur ou un observateur peut comparer les réseaux, les vues et les moments avec ou sans ce TAL.

Au début d’un déploiement, cette séparation rend possible un apprentissage que l’intégration silencieuse à une racine commune aurait brouillé : combien d’objets sont vus, quand ils apparaissent, quand ils disparaissent et où persistent les divergences.

Le meilleur argument en faveur de Draft 2

Il faut accorder au projet son argument le plus solide. Pour de l’espace réellement disponible ou réservé, un objet AS0 correctement délimité peut convertir l’état interne d’un registre en indice cryptographiquement authentifié indiquant qu’aucune origine ordinaire n’est attendue. Les réseaux qui veulent utiliser cet indice disposent alors d’un signal plus vérifiable qu’une simple liste non signée. Ils peuvent l’intégrer à la surveillance des annonces inattendues, comparer ce qu’ils observent avec l’inventaire déclaré et choisir ensuite la réponse adaptée à leur propre tolérance au risque.

La séparation par TAL renforce cet argument parce qu’elle préserve le consentement opérationnel. Un réseau prudent peut commencer par observer les résultats sans déprécier ni rejeter aucune route. Un autre peut décider de ne pas charger le TAL tant que les méthodes de correction ne lui paraissent pas assez mûres. Un troisième peut l’utiliser dans un contexte limité. Ces comportements différents ne sont pas une faiblesse du modèle ; ils sont la conséquence normale d’un Internet où les opérateurs assument leur politique de routage.

L’uniformité forcée aurait transformé une information de sécurité en levier central, alors que l’option distincte laisse la décision au plus près du réseau exposé.

Le retrait obligatoire avant attribution apporte une deuxième retenue. Il traite la libération comme une transition critique plutôt que comme une formalité de tenue de registre. L’AS0 dit, sur le plan technique, que le préfixe couvert et ses sous-ensembles plus spécifiques ne devraient pas servir au routage. Dès qu’un espace doit être attribué ou affecté, ce message ne doit plus être présent dans les dépôts. En demandant la révocation et la non-visibilité avant le changement, le texte réduit le risque connu d’un chevauchement entre l’ancien état de l’inventaire et le nouveau droit d’usage enregistré.

Enfin, la mesure séparée pourrait créer une discipline publique. Si AFRINIC exposait le nombre total d’objets, les instants d’émission et de retrait, les points d’observation et les corrections, les opérateurs pourraient juger le service sur des résultats plutôt que sur une assurance institutionnelle. Heng Lu insiste précisément sur la valeur du code qui fonctionne, du choix volontaire et d’une coordination mince : l’utilité d’un service se prouve par son comportement observable, non par une prétention à commander l’écosystème. Dans cette lecture, Draft 2 allait dans la bonne direction en rendant le signal optionnel et isolable.

Une carte du contrôle, pas une pyramide de pouvoir

L’étendue technique du service proposé doit être décrite avec exactitude. Le personnel d’AFRINIC a interprété Draft 2 comme couvrant automatiquement l’inventaire IPv4 et IPv6 disponible ou réservé. Les nouveaux préfixes reçus d’IANA/PTI devaient obtenir immédiatement des objets AS0. Les préfixes retournés ou récupérés devaient eux aussi en recevoir selon cette interprétation. Les ressources déjà attribuées aux membres restaient hors de cette émission automatique par le registre ; un titulaire conservait la faculté de créer un objet AS0 pour les ressources placées sous son propre compte.

Cette capacité de signer pour l’inventaire non attribué dans son service ne vaut pas autorité publique. AFRINIC tient des écritures techniques, coordonne l’unicité, émet des métadonnées de sécurité et organise leur retrait. Il ne possède pas les ressources, ne légifère pas, ne réglemente pas les réseaux, n’exerce aucune police et ne tranche aucun droit comme une juridiction. Sa position lui donne un contrôle administratif exclusif sur certaines opérations de signature dans son système privé ; elle ne lui donne aucun pouvoir souverain sur un préfixe, un opérateur, un client ou une route.

Le reste du contrôle est réparti. AFRINIC décide quels états de son inventaire entrent dans le périmètre, comment sont calculées les durées de validité et selon quelle procédure interne un objet est libéré. Le choix d’offrir et de configurer un TAL distinct relevait lui aussi, avec d’autres détails opérationnels, de son personnel. Les dépôts rendent les changements disponibles. Les validateurs les récupèrent et produisent des états techniques. Chaque réseau décide d’ingérer ou non le TAL puis d’associer, ou non, ces états à une action.

Les clients subissent en dernier ressort les conséquences de cette chaîne, sans avoir maîtrisé tous ses maillons.

LARUS place ici la continuité au premier plan. Une erreur d’inventaire ou un objet devenu obsolète ne reste pas une imperfection administrative si des opérateurs qui s’y fient modifient le traitement d’une origine légitime. Le coût se déplace vers le diagnostic, les équipes réseau, le transit, l’assistance aux clients et la réputation. Ces effets ne sont pas établis comme événements survenus à la suite de Draft 2 ; ils décrivent le mécanisme de risque qu’un service doit anticiper. La prudence consiste à examiner comment une erreur pourrait se propager, non à affirmer qu’elle s’est produite.

NRS offre une réponse institutionnelle différente d’un nouveau centre de commande. Une observation indépendante côté membres peut comparer l’inventaire annoncé, les objets signés, les vues de dépôts et les résultats de validation. Elle peut fournir une voie de sortie, de la redondance et une correction inspectable. Mais NRS ne devient ni allocateur, ni signataire à la place d’AFRINIC, ni arbitre des routes. Son apport tient à la contestabilité et à la capacité de vérifier, pas à un transfert de souveraineté imaginaire.

BTW complète cette architecture par une exigence de réalité. Son rôle n’est pas de fournir une deuxième preuve de chaque événement ; son article plus général sur les AS0 fixe au contraire une limite pour éviter de répéter le débat abstrait entre conservation et déni préventif. Le sujet présent est plus étroit : que change exactement le TAL distinct à la réversibilité d’une erreur ? La méthode de BTW impose de dire ce que les documents établissent, ce qu’ils ne prouvent pas et quelles observations seraient nécessaires avant de parler de bénéfice ou de dommage mesuré.

Le point précis où la preuve s’arrête

Les éléments disponibles établissent la publication de Version 2, son identifiant et la mention « Distinct TAL » dans l’historique. Ils établissent l’ajout d’une possibilité : les objets AS0 générés par le registre pouvaient être placés sous un TAL séparé, rendant le service volontaire et mesurable séparément au moins au départ. Ils établissent aussi l’interprétation du périmètre par le personnel, l’exigence de révocation avant attribution et le compte rendu d’essais autour de cinq minutes.

Ils n’établissent pas que Draft 2 a été adopté, ratifié ou mis en œuvre. Ils ne montrent aucun objet AS0 de production issu de ce texte, aucun préfixe concret, aucune route rejetée, aucune panne, aucune perte pour un titulaire et aucun avantage de sécurité quantifié. Ils ne montrent pas qu’un TAL distinct a effectivement été déployé, choisi par un opérateur nommé ou mesuré dans le réseau réel. Cette absence ne réfute pas l’intérêt de la conception ; elle interdit simplement de présenter une possibilité comme un résultat.

La prudence vaut aussi pour le mot « Invalid ». Dans la validation d’origine, il désigne un état technique calculé à partir des informations reçues. Il ne constate ni abus, ni faute, ni défaut de propriété. Il n’inflige pas une sanction et n’ordonne pas un retrait mondial. Deux opérateurs peuvent recevoir le même état et agir différemment ; un seul opérateur peut même utiliser cet état différemment selon le contexte. Confondre la classification avec une décision juridique ou une commande universelle effacerait précisément le choix local que le TAL distinct cherchait à préserver.

La bonne conclusion provisoire tient donc en deux phrases. Draft 2 a ajouté une retenue réelle en séparant une classe spéciale de signal, ce qui rendait son adoption volontaire et son observation potentiellement distincte. Mais cette retenue ne constituait pas encore un dispositif complet de récupération : elle laissait sans réponse publiée le temps de convergence, le canal de contestation, la preuve de correction et la répartition des responsabilités lorsque l’état du registre se révèle faux ou dépassé.