‘Trust is gone’: Is the RIPE NCC still fit for purpose?

‘

• Au RIPE 88 à Cracovie, en Pologne, un membre de longue date du conseil d’administration a appelé à des changements majeurs dans la structure du RIPE NCC.
• Créé dans les années 1990, le RIPE NCC n’est peut-être plus adapté, et Remco van Mook a invité des suggestions d’amélioration.
• Souffrant déjà de pressions financières et de problèmes de sécurité des comptes, certains ont remis en question l’adéquation de l’organisation.

« La confiance a disparu. Nous devons nous attendre à travailler désormais dans un environnement de méfiance. » Voir aussi: Registre des membres disparaissant de l'AfriNIC.

Ces mots inquiétants, prononcés par Randy Bush, un vétéran influent de la communauté Internet depuis de nombreuses décennies, résument bien l’état d’esprit qui régnait lors de la conférence RIPE 88 à Cracovie, en Pologne. Voir aussi: AfriNIC: disparition du registre des membres.

Au cœur du cadre paisible et verdoyant de l’hôtel Metropolo, dans la banlieue de la ville, Bush, intronisé au Temple de la renommée de l’Internet en 2012 et l’un des architectes de l’Internet moderne, a fait retentir ses réflexions via une diffusion en direct dans la salle où le sujet de discussion était: « Construire un avenir stable pour le RIPE NCC ». Voir aussi: Alejandro Fernandez.

Ce titre plutôt fade ne rend pas compte de la question au cœur du débat: le RIPE NCC n’est plus adapté à sa mission, alors comment doit-il évoluer ? Voir aussi: Aldo Garcia.

À lire aussi: Le RIPE 88 débute à Cracovie avec des questions sur l’avenir du RIPE

Le RIPE NCC est-il encore adapté ?

Le RIPE NCC est le secrétariat ou l’organe administratif de la communauté RIPE, un ensemble de professionnels et d’ingénieurs de l’Internet venant d’Europe et de certaines parties du Moyen-Orient. Son service principal est de maintenir une base de données d’adresses IP, pour garantir leur unicité, afin que les données envoyées sur Internet arrivent là où elles doivent aller. Sans cela, Internet s’effondrerait. Voir aussi: Alcymer Vieira.

Le problème est que le RIPE NCC a été créé en 1992, et le monde a changé au cours des 31 dernières années. Il comptait à l’origine 30 employés, moins de 1 000 membres et un budget de 2 millions d’euros (2,2 millions de dollars américains). Aujourd’hui, il compte 190 employés, plus de 20 000 organisations membres et un budget d’environ 40 millions d’euros. Voir aussi: Alcides Cremonezi.

Plus important encore, la valeur des actifs qu’il gère (les adresses IP) est passée de zéro (les adresses IPv4 étaient facilement disponibles gratuitement dans les années 1980 et 1990) à environ 20 milliards d’euros (les adresses IPv4 sont désormais presque toutes épuisées, donc si vous en voulez, vous devrez peut-être payer environ 40 dollars par adresse), et son propre financement subit de fortes pressions car le nombre de comptes payants diminue, des millions d’euros sont bloqués dans des zones problématiques comme l’Ukraine, et les coûts de fonctionnement de ses services supplémentaires augmentent. Voir aussi: Alberto Anaya.

Une organisation mise en place par des techniciens et des ingénieurs pour transporter des paquets de données le long de câbles est-elle équipée pour gérer des milliards de dollars d’actifs numériques ? Dispose-t-elle des ressources nécessaires pour assurer la sécurité de ses systèmes, et peut-elle se permettre de payer leur maintenance et leur mise à niveau ? Voir aussi: Albert Kis.

À lire aussi: Le compte RIPE NCC d’Orange Spain piraté, des questions sur la sécurité des comptes

Des comptes RIPE piratés

Fin d’année dernière, les détails de 870 comptes RIPE NCC ont été piratés et divulgués sur le dark web. À peu près au même moment, des milliers de clients d’Orange Spain ont perdu l’accès à Internet après qu’un pirate a mal configuré le routage BGP et les RPKI après avoir correctement deviné le mot de passe de son compte. Depuis lors, RIPE exige des mots de passe plus longs et une authentification à deux facteurs a été ajoutée, mais ces événements jettent le discrédit sur une organisation dont la mission principale est de protéger ces numéros.

Un sondage mené auprès de ses membres en 2023 a montré que seulement 69 % des personnes pensent que le RIPE NCC offre un bon rapport qualité-prix, un chiffre également en baisse.

Ainsi, avec ces points à l’esprit, Remco van Mook, membre du conseil d’administration du RIPE NCC depuis 2010, a dirigé la session pour discuter de la manière dont RIPE doit changer, donnant à Bush l’occasion d’exprimer ses réflexions sur la confiance. « Nous devons nous asseoir et faire le dur travail de réinventer complètement la façon dont nous gérons nos membres et notre financement, tout en tenant compte de la manière dont nous pouvons atténuer les risques actuels et pérenniser le RIPE NCC », a déclaré van Mook.

Cela n’aide pas que l’un des sujets les plus sensibles – celui de savoir combien le registre devrait facturer à ses membres – ait été débattu, soumis au vote, débattu à nouveau, et maintenant soit en passe d’être soumis à un autre vote. Si un simple système de tarification ne peut pas être défini et mis en œuvre, qu’est-ce que cela dit des capacités de prise de décision des personnes en charge ?

À lire aussi: RIPE 87: « Quelque chose doit changer » – le « responsable de la frugalité » décrit un avenir problématique

Déjà, les défis de ce genre d’effort sont clairs. Hans Petter Holen, directeur général du RIPE NCC, a ajouté ses réflexions, demandant d’éviter les changements radicaux. « Je ne suis pas contre le changement, mais de petits changements que nous comprenons sont les meilleurs », a-t-il déclaré lors de l’Assemblée générale.

Cela va à l’encontre de nombreux commentaires issus de la session de van Mook, qui a suscité le plus fort engagement du public de la semaine.

De grands changements nécessaires

Tina Morris, vice-présidente d’ARIN, le registre Internet régional pour l’Amérique du Nord, et responsable du développement commercial technique chez Amazon Web Services, a souligné à plusieurs reprises qu’un leadership fort, prêt à prendre des décisions difficiles, était nécessaire. Peut-être a-t-elle remarqué que l’un des traits dominants du conseil d’administration du RIPE NCC est de s’en remettre à « la communauté » chaque fois que quelque chose doit être fait.

Malcolm Hutty, responsable des affaires publiques au London Internet Exchange (LINX), a suggéré que l’on pourrait envisager de supprimer la dualité entre la communauté RIPE gratuite et l’adhésion payante au RIPE NCC.

Et pour au moins un membre, tout ce débat est sans objet, car la nature même d’une organisation privée gérant quelque chose d’aussi précieux et important que les adresses IP la rend inadéquate. Lu Heng, PDG de LARUS Ltd, mène une campagne pour dissocier l’administration des adresses IP des RIR et la faire plutôt sur la blockchain.

Pointant du doigt AFRINIC, le RIR africain, qui est sans conseil d’administration ni PDG depuis deux ans alors qu’il fait face à une litanie de poursuites judiciaires et de problèmes financiers, Lu déclare que la nature vulnérable d’une telle organisation la rend inadéquate pour gérer non seulement des milliards de dollars d’actifs, mais aussi un service aussi essentiel qu’Internet, et que la blockchain offre une alternative moins chère, plus équitable et plus sûre.

À lire aussi: Qu’est-ce qu’AFRINIC ? Le rôle et les défis du registre Internet régional africain

Le travail commence maintenant pour van Mook et le conseil d’administration du RIPE NCC, et l’on se demande s’ils ont la capacité de prendre les décisions difficiles qui s’imposent. Lors de la dernière session pour discuter des idées, une part considérable du débat a été consacrée à décider si cette mission nécessite un « groupe de travail » ou une « task force » ou simplement une simple liste de diffusion. Si c’est ainsi que cette initiative démarre, le calendrier de 18 à 36 mois de van Mook pourrait être plutôt optimiste.