Résumé

  • La Version 3 de AFPUB-2019-GEN-006-DRAFT03, soumise le 19 avril 2021 par Haitham El-Nakhal et Yazid Akanho, a ajouté une retenue essentielle : les ressources récupérées ne devaient entrer dans la couverture AS0 d’AFRINIC qu’une fois la récupération terminée.
  • Cette retenue sépare trois pouvoirs différents : AFRINIC tient un registre privé et signe dans son propre service de certification ; les validateurs calculent un état technique ; chaque réseau choisit ensuite, localement, de surveiller, déprécier, rejeter ou ne rien changer.
  • Le texte public n’a pas défini les éléments permettant de reproduire « la fin » : preuve de clôture, traitement des conflits, voie de contestation, délai de correction et observation indépendante. Un reçu de finalité versionné préserverait la valeur du signal sans transformer le teneur de registre en propriétaire, juge ou autorité souveraine.

La phrase qui obligeait à définir la fin

Une frontière institutionnelle en quelques mots

Le 19 avril 2021, Haitham El-Nakhal et Yazid Akanho ont soumis la Version 3 de AFPUB-2019-GEN-006-DRAFT03. L’historique officiel résume sa modification par « Consideration on recovered resources ». La nouveauté établie est étroite : AFRINIC ne devrait ajouter les ressources récupérées à ses objets AS0 qu’à la fin du processus de récupération. Ce n’est ni la naissance de l’idée AS0, ni la création du choix d’une ancre de confiance distincte, ni la preuve d’un déploiement. C’est une règle de séquencement appliquée à un cas précis : le passage d’une ressource en cours de récupération à une ressource dont la récupération est achevée.

Cette précision mérite davantage d’attention que sa brièveté pourrait le laisser croire. Un registre n’est pas seulement un tableau immobile. Il contient des états qui changent, et ces changements ont des significations différentes. Une ressource peut être enregistrée comme allouée, retournée, en cours de récupération, récupérée, disponible ou réservée. Dans un service purement documentaire, une erreur de classement reste déjà sérieuse.

Dans un service où le classement peut déclencher la publication d’un objet cryptographiquement signé, la transition devient plus lourde : l’information interne quitte le registre et entre dans un environnement distribué où d’autres acteurs peuvent s’y fier.

La formulation de Draft 3 reconnaît implicitement que « récupérer » est un verbe de processus, tandis que « récupérée » devrait désigner un état arrivé à son terme. La différence n’est pas grammaticale. Elle borne ce que le registre peut honnêtement affirmer. Tant qu’une récupération est en cours, le dossier peut, en principe, comporter des vérifications inachevées, des communications non closes, une restitution imparfaitement enregistrée, une contestation ou simplement une incertitude sur le moment effectif du changement. Rien dans le dossier public autorisé pour cette analyse ne prouve que l’un de ces scénarios s’est réellement produit.

Ils servent uniquement à éprouver la qualité de la frontière : une règle robuste doit fonctionner aussi lorsque le cas est difficile, et non seulement lorsque tout le monde est déjà d’accord.

Attendre la fin protège donc deux choses à la fois. Cela protège d’abord l’exactitude du registre, parce que l’automatisation ne doit pas confondre une intention de récupérer avec un état définitivement enregistré. Cela protège ensuite la signification du signal RPKI, parce qu’un objet AS0 indique aux parties qui le consultent qu’aucune origine BGP ordinaire n’est attendue pour les préfixes couverts. Si cette assertion repose sur une étape provisoire, elle donne à un état interne encore fragile une portée externe disproportionnée.

La portée d’AFRINIC doit ici rester précisément délimitée. AFRINIC est un teneur de registre technique privé et un coordinateur. Il peut maintenir un inventaire, exploiter un service de certification, signer des objets dans ce service, les publier, les retirer et corriger les états dont il assure la tenue. Cette capacité technique et administrative ne lui confère aucune souveraineté, aucun pouvoir législatif, réglementaire, policier, de poursuite publique, punitif, confiscatoire ou juridictionnel de droit public.

Elle ne lui donne pas la propriété d’un préfixe, la maîtrise d’un réseau, le pouvoir de trancher juridiquement un conflit entre parties ou le droit d’ordonner à un opérateur de filtrer une route.

Le texte officiel indiquait que seul AFRINIC pouvait créer ces ROA pour l’espace qui n’était pas encore alloué ou assigné à ses membres. La seule lecture compatible avec une coordination bornée est technique : dans le service de certification et de publication qu’il exploite, AFRINIC est l’acteur qui peut signer au titre de l’inventaire qu’il enregistre comme non alloué ou non assigné. Le mot « autorité », lorsqu’il apparaît dans ce contexte, ne doit pas être gonflé en mandat public. Il décrit une capacité à agir dans un système privé déterminé, pas un titre de souveraineté sur les ressources ni une juridiction sur ceux qui les utilisent.

Ce que Draft 3 conservait, et ce qu’il changeait réellement

La proposition maintenait une couverture AS0 créée par AFRINIC pour l’ensemble des espaces d’adresses IPv4 et IPv6 non alloués et non assignés dont il était l’administrateur courant. Elle distinguait cette intervention de la faculté offerte à un détenteur de créer ses propres objets AS0 pour les ressources placées sous son compte ou son administration. Cette distinction compte. Dans un cas, le détenteur exprime une intention négative au sujet de ressources enregistrées sous son contrôle administratif ; dans l’autre, AFRINIC publie à partir de son inventaire des ressources qui, selon ce registre, ne sont pas affectées à un membre.

La proposition maintenait aussi l’obligation de révoquer et de retirer complètement les objets AS0 couvrant un espace avant que celui-ci soit alloué. Cette séquence inverse éclaire la séquence de récupération. À l’entrée dans l’ensemble négatif comme à la sortie, l’ordre des opérations est essentiel. Une future allocation ne devrait pas coexister avec un ancien objet affirmant qu’aucune origine ordinaire n’est attendue. De même, une récupération encore inachevée ne devrait pas être traitée comme une ressource déjà disponible pour une assertion négative.

Dans les deux directions, la valeur du signal dépend de la fidélité temporelle entre l’état du registre et l’objet publié.

Draft 3 conservait encore la possibilité d’une ancre de confiance distincte, afin que le service puisse être adopté volontairement et mesuré séparément, au moins au commencement. Mais ce mécanisme était hérité de la version précédente ; il n’est pas la nouveauté étudiée ici. Il peut limiter le rayon initial d’exposition d’un service, mais il ne répond pas à la question de savoir si un préfixe donné a franchi à bon droit le seuil de finalité. Un signal facultatif peut toujours être erroné.

La séparation de l’ancre borne les conséquences d’une erreur chez ceux qui ne la consultent pas ; elle ne transforme pas une mauvaise classification à la source en bonne classification.

L’évaluation du personnel décrivait l’espace non alloué et non assigné comme l’inventaire disponible et réservé du fichier de statistiques déléguées étendu. Elle envisageait des adaptations du système d’inventaire, de l’automatisation pour les stocks actuels et entrants, du calendrier d’émission, des contrôles internes et du suivi. Elle indiquait aussi que de nouveaux préfixes reçus de l’IANA ou de la PTI recevraient des objets AS0 immédiatement, tandis que les préfixes retournés ou récupérés les recevraient par le processus d’inventaire. Cette description confirme le rôle central de l’état enregistré.

Ce qui alimente la signature n’est pas une vérité universelle tombée du ciel, mais une classification maintenue par une organisation dans ses propres systèmes.

La précision de Draft 3 intervient exactement à cet endroit. Pour un espace nouvellement reçu et clairement inscrit comme inventaire non alloué, le passage peut paraître direct. Pour une ressource récupérée, il existe nécessairement un avant et un après, séparés par un processus. Le texte exige que l’ajout se situe après l’achèvement, mais il ne dit pas comment un observateur peut distinguer cet achèvement d’une simple affirmation interne. La règle de temps existe ; le test public de ce temps manque.

Ce manque ne justifie pas d’inverser la conclusion et de déclarer toute publication AS0 illégitime. Il impose plutôt une discipline plus exigeante. Plus une assertion est facile à diffuser et à consommer automatiquement, plus l’état qui la déclenche doit être exact, borné et vérifiable. L’automatisation est excellente pour reproduire une décision déjà bien définie. Elle est dangereuse lorsqu’elle masque que le passage d’un état à l’autre dépend encore d’un jugement non documenté, d’un conflit non isolé ou d’une preuve dont personne hors du système interne ne peut connaître la teneur.

La différence entre un avertissement et une décision sur autrui

Un objet AS0 a une utilité technique spécifique. AS 0 n’est pas une origine BGP ordinaire destinée à acheminer du trafic. Une ROA qui l’emploie porte une intention négative : les préfixes couverts ne devraient pas être annoncés avec une origine ordinaire dans la table BGP mondiale. Les standards de validation permettent ensuite à un système consommateur d’évaluer l’annonce observée et de lui attribuer un état technique, notamment Valid, Invalid ou NotFound selon la relation entre l’annonce et les objets disponibles.

Le terme Invalid est facile à surcharger. Ici, il ne signifie pas qu’une personne a perdu un droit, qu’un contrat a été judiciairement résolu, qu’une conduite est abusive ou qu’une propriété a été confisquée. Il ne prouve ni faute ni intention. Il signifie qu’au regard des données RPKI consultées par le validateur, l’origine ordinaire observée ne correspond pas à l’autorisation cryptographique attendue. Cette classification est une donnée pour une politique de routage ; elle n’est pas une sentence.

La différence devient nette lorsqu’on suit la chaîne entière. AFRINIC inscrit d’abord une ressource dans un état de registre. Lorsque les conditions prévues sont satisfaites, son service peut créer et signer l’objet AS0, puis le rendre disponible dans la voie de publication retenue. Un validateur qui choisit de consulter l’ancre concernée récupère les données et calcule le résultat de validation d’origine. Enfin, le réseau qui utilise ce résultat décide de sa réponse. Il peut produire une alerte, observer sans modifier les routes, déprécier l’annonce, la rejeter ou ne prendre aucune mesure. Le choix final appartient à chaque réseau.

Cette pluralité n’affaiblit pas l’intérêt du signal ; elle en définit la nature. RPKI apporte une preuve cryptographique structurée, mais ne remplace pas la politique de l’opérateur. AFRINIC ne pousse pas une commande universelle dans les routeurs du monde. Il publie une assertion que des tiers peuvent choisir de consulter et d’interpréter selon leurs propres contraintes. Le rôle du registre s’arrête à la qualité de ce qu’il enregistre et signe. Le rôle du validateur s’arrête au calcul. Le rôle du réseau commence avec la décision opérationnelle.

La même séparation interdit deux récits opposés mais également trompeurs. Le premier présenterait l’objet AS0 comme une arme qui supprime automatiquement une route partout. Le second minimiserait l’objet comme une note sans conséquence au motif que chaque opérateur reste libre. La réalité se situe entre les deux. Le signal ne commande pas, mais il peut influencer. Son influence sera variable : des réseaux différents peuvent appliquer des politiques différentes au même résultat Invalid. C’est précisément pourquoi une erreur à la source peut produire des effets inégaux et difficiles à diagnostiquer.

Supposons, à titre de test et non comme description d’un fait établi, qu’une ressource soit marquée récupérée alors qu’un conflit subsiste sur la clôture. Si l’automatisation la couvre par AS0, les validateurs participants peuvent considérer une origine ordinaire comme Invalid. Certains réseaux continueraient peut-être à l’accepter, d’autres la surveilleraient, d’autres la déprécieraient et d’autres encore la rejetteraient. L’expérience de connectivité pourrait alors varier selon le chemin, le fournisseur ou la destination.

Le registre n’aurait pas « éteint Internet », mais il aurait exporté une incertitude privée dans une multitude de décisions locales.

Draft 3 tentait d’empêcher ce passage prématuré en exigeant la fin du processus. Sa faiblesse n’est donc pas l’absence totale de retenue. Au contraire, l’ajout montre qu’une récupération commencée ne suffit pas. La faiblesse se trouve dans l’absence de critères publics permettant de vérifier que la retenue a réellement été respectée. Le mot « fin » trace une ligne ; sans reçu, horodatage, état de conflit et historique de correction, cette ligne demeure dessinée depuis l’intérieur par le même acteur qui tient le registre et produit la signature.

Le meilleur argument en faveur du signal

Il faut prendre au sérieux le cas favorable. Un espace qu’AFRINIC enregistre avec exactitude comme non alloué, non assigné ou définitivement récupéré n’est pas censé avoir une origine BGP publique ordinaire. Une assertion AS0 signée peut fournir aux réseaux volontaires une indication authentifiée et lisible par machine. Elle peut être plus cohérente qu’une collection de listes de bogons maintenues manuellement, copiées à des rythmes différents et susceptibles de devenir obsolètes. L’opérateur sait qui a signé, quel ensemble est couvert et comment le résultat s’insère dans la validation d’origine.

Cette utilité n’est pas une concession rhétorique avant une critique. Elle est la raison pour laquelle la finalité importe autant. Si le signal n’avait aucune valeur, il suffirait de ne pas le produire. Parce qu’il peut améliorer l’information disponible, il vaut la peine de protéger sa crédibilité. La règle de Draft 3 est une vraie mesure de retenue : elle refuse que le simple commencement d’une récupération suffise à transformer une ressource en assertion négative.

Le bon choix n’est donc ni l’interdiction absolue ni l’expansion institutionnelle. Interdire à un registre de publier toute métadonnée négative priverait les opérateurs d’un renseignement potentiellement utile sur un inventaire que ce registre est précisément chargé de tenir. À l’inverse, traiter la signature comme la preuve d’un pouvoir supérieur permettrait au teneur du registre de donner à ses propres classifications une portée qu’elles ne peuvent avoir.

Le modèle défendable est plus mince : une organisation privée décrit exactement son état, justifie le passage à la finalité, publie un objet étroit, corrige vite et laisse les réseaux choisir leur niveau de confiance et leur réaction.

L’intérêt collectif naît de cette modestie. Un signal technique gagne en force lorsque sa portée est limitée, sa provenance visible et ses erreurs réparables. Il perd en crédibilité lorsque l’institution qui le produit parle comme si sa signature créait la réalité qu’elle est seulement censée décrire. Le registre doit suivre le monde opérationnel et administratif dont il conserve la trace ; il ne doit pas prétendre que le monde n’existe que par sa permission.

Ce que l’on peut affirmer, et ce qui reste inconnu

Le dossier établi permet d’affirmer la date, les auteurs, l’identifiant, le libellé de la révision, le maintien des principaux éléments de la proposition et l’ajout relatif à la fin de la récupération. Il permet aussi de décrire l’interprétation du personnel sur l’inventaire et les adaptations envisagées. Les standards permettent d’expliquer la signification négative d’AS0, les états de validation et le contrôle conservé par chaque opérateur sur l’usage de ces états.

Il ne permet pas d’affirmer qu’un objet AS0 a effectivement été créé en application de Draft 3, que le service a été mis en production, qu’un opérateur l’a adopté, qu’un préfixe déterminé a été affecté, qu’une fausse alerte s’est produite, qu’une route a été rejetée, qu’une panne ou une perte a eu lieu, ni qu’un bénéfice de sécurité a été mesuré. Il ne permet pas non plus de raconter une récupération concrète, d’identifier un détenteur, de reconstituer une procédure contractuelle ou juridique, d’attribuer une motivation aux auteurs ou au personnel, ou d’affirmer qu’un document interne n’existait pas.

L’absence d’un élément dans le texte public doit rester une inconnue circonscrite. Dire que la proposition et l’évaluation publiées ne définissent pas de test public de finalité est exact. Dire qu’AFRINIC ne possédait aucune note, aucun contrôle ou aucune procédure interne serait aller au-delà de ce qui est établi. Cette distinction protège l’analyse de deux excès : inventer un dispositif caché pour combler les lacunes, ou transformer le silence du dossier public en preuve d’une absence universelle.

Cette analyse se limite à la règle de finalité des ressources récupérées introduite par Draft 3 et à la frontière qui empêche une situation encore provisoire de devenir une fausse alerte signée. Le dossier public établit la publication et le contenu de cette règle, mais il ne prouve ni mise en œuvre effective, ni objet AS0 produit, ni adoption par un opérateur, ni fausse alerte, ni perte, ni bénéfice mesuré. La question reste donc strictement institutionnelle : quand une récupération est-elle assez terminée pour qu’un registre privé transforme cet état en assertion AS0 signée ?

Cette discipline évite de construire une grande histoire institutionnelle autour d’une seule phrase. Mais elle ne réduit pas l’importance de la phrase. Au contraire, elle permet d’en voir la portée exacte. Draft 3 n’a pas résolu toutes les questions de gouvernance de RPKI. Il a reconnu que la publication au sujet d’une ressource récupérée exigeait un seuil de finalité. C’est ce seuil, et seulement ce seuil, qui mérite d’être rendu vérifiable.