La question de la récupération d'actifs à laquelle AFRINIC n'a pu répondre clairement

Résumé

• Les propres rapports d'AFRINIC distinguaient le désenregistrement, l'annulation, la consolidation, la mise en quarantaine, la poursuite de la diligence raisonnable et la garde contestée, révélant ainsi que la "récupération" décrivait plusieurs actes juridiquement et opérationnellement différents plutôt qu'un seul remède auto-suffisant.
• Une entrée de registre actuelle ne pouvait établir un droit clair si l'entrée elle-même avait pu être manipulée; une décision défendable nécessitait des preuves d'attribution historiques, des enregistrements de modifications authentifiés, des documents de succession d'entreprise, le contexte des paiements et des contrats, l'historique de routage et des réclamations vérifiées de chaque partie concernée.
• La notification devait atteindre plus que le nom visible dans WHOIS. Les intermédiaires de transfert, les opérateurs actuels, les clients, les administrateurs de routage et de sécurité, les organisations d'origine et les successeurs légitimes pouvaient chacun détenir des preuves différentes et faire face à des conséquences différentes.
• La bonne foi ne pouvait pas convertir un acte non autorisé en autorité valide du registre par la seule assertion, mais elle devait influencer la procédure, la protection de la confiance, le temps de transition et la répartition des pertes lorsqu'un titulaire avait payé une valeur sans savoir que la chaîne enregistrée était défectueuse.
• La continuité exigeait un statut contesté réversible, la préservation du support de routage actuel là où c'est sûr, une interdiction de toute disposition ultérieure, une décision indépendante et une correction progressive; une suppression abrupte risquait d'exporter l'échec de contrôle d'AFRINIC vers des réseaux non liés.

« Récupérer » dissimulait la question qui devait être tranchée

Les institutions recourent au langage de la récupération parce qu'il suggère un retour à l'ordre. Quelque chose a été pris; l'institution l'identifie; l'institution le reprend. Cette séquence est claire sur le plan émotionnel et attrayante sur le plan administratif. C'était une mauvaise description du problème auquel AFRINIC a été confronté après que des altérations suspectes de ses enregistrements de ressources numériques ont été révélées en 2019.

Un bloc d'adresses Internet n'est pas un objet d'entrepôt que l'on peut rapporter à travers une porte. Le contrat d'enregistrement publié par AFRINIC précise que les ressources numériques ne sont pas une propriété, tout en accordant aux membres un droit d'utilisation exclusif dans les conditions contractuelles et politiques. Le registre tient des registres administratifs et des services connexes. Les opérateurs ailleurs décident de router ou non le trafic. Les clients peuvent dépendre d'adresses attribuées ou mises à disposition par un membre.

Les systèmes de sécurité, le DNS inverse, les listes d'autorisation, les certificats et les services hébergés peuvent tous avoir été construits autour de l'état de ressource visible.

Modifier l'enregistrement du registre peut donc corriger une couche tout en en déstabilisant une autre. Si le détenteur apparent n'a jamais eu d'autorité légitime, laisser l'enregistrement intact perpétue la corruption. Si AFRINIC supprime l'enregistrement immédiatement, les réseaux qui comptaient sur lui peuvent perdre le support administratif ou rencontrer des conséquences de routage et de sécurité avant de pouvoir migrer. Si l'organisation d'origine n'existe plus, le « retour » n'identifie pas de destinataire.

Si deux successeurs revendiquent le même détenteur historique, l'ancienne entrée ne tranche pas entre eux.

Le rapport d'exactitude WHOIS d'AFRINIC en 2021 reflétait cette complexité malgré son langage institutionnel confiant. Il décrivait les ressources comme récupérées, annulées, consolidées, mises en quarantaine, en attente de diligence raisonnable et en litige en attendant la détermination du gardien légitime. Ces verbes ne désignaient pas des étapes d'une action automatique. Ils représentaient différentes conclusions sur l'autorité et différents niveaux de confiance probatoire.

La question sans réponse n'était pas simplement de savoir combien d'adresses pouvaient être récupérées. C'était: quelle règle de décision pouvait établir la position administrative légitime, protéger les parties qui s'étaient fiées aux enregistrements d'AFRINIC sans connaissance de la corruption, et préserver le service pendant l'application de cette règle? Les déclarations publiques ont donné des fragments de réponse. Elles n'ont pas fourni une constitution de récupération complète et indépendamment vérifiable.

Le propre enregistrement de l'institution ne pouvait pas s'authentifier lui-même

La première difficulté probatoire était circulaire. AFRINIC enquêtait sur la manipulation d'informations détenues dans son registre. Une entrée WHOIS actuelle montrait ce que le système disait après les modifications suspectées; elle ne pouvait pas prouver que les modifications étaient autorisées. Une ancienne entrée montrait un état antérieur; elle ne pouvait pas à elle seule établir qu'aucune succession d'entreprise légitime ou mise à jour autorisée n'avait eu lieu ultérieurement. L'enregistrement contesté était une preuve, mais il n'était pas un verdict.

Le rapport de 2021 s'appuyait donc sur un ensemble plus large de documents: historique interne du registre, données d'organisation et de contact, mainteneurs, demandes de membres et de ressources, tickets, statistiques déléguées, utilisation des services, données des registres prédécesseurs, données d'autres RIR, informations d'entreprise et soumissions des parties. Cette approche était directionnellement correcte car l'autorité devait être reconstruite à partir de multiples traces indépendantes.

Chaque trace répondait à une question limitée. Un document d'attribution original pouvait montrer l'organisation première reconnue. Un registre d'entreprise pouvait montrer un changement de nom, une fusion, une dissolution ou un dirigeant, mais pas nécessairement un transfert valide de l'utilisation des ressources numériques. Un ticket AFRINIC pouvait montrer que quelqu'un avait demandé une modification, mais l'authentification et l'autorité devaient encore être testées. Le paiement pouvait montrer une transaction commerciale, pas que le vendeur possédait une autorité cessible.

L'historique de routage pouvait montrer une utilisation opérationnelle, pas une garde légitime. Le contrôle d'un domaine ou d'une adresse e-mail pouvait montrer un accès actuel tout en disant peu sur la façon dont l'accès avait été obtenu.

La chaîne probatoire nécessitait donc des liens positifs. Qui a été enregistré en premier, sous quel régime et à partir de quel enregistrement prédécesseur? Qu'est-il arrivé à cette organisation? Qui a demandé chaque modification substantielle? Comment le demandeur a-t-il été authentifié? Quels documents ont été fournis? Quel agent d'AFRINIC a approuvé l'action, sous quelle règle et avec quelle vérification des conflits? La modification du système correspondait-elle à la demande approuvée? Le destinataire présumé a-t-il ensuite vendu, loué, délégué ou cédé l'utilisation?

Quelle partie en aval a payé une valeur, et quelles représentations a-t-elle reçues?

Une rupture dans la chaîne ne devait pas être comblée par la confiance. Elle devait produire un statut contesté et une charge de preuve supplémentaire définie. La difficulté d'AFRINIC était institutionnelle: il était à la fois le gardien des enregistrements incomplets, la victime alléguant une altération non autorisée, l'enquêteur reconstituant l'historique et l'administrateur capable de modifier le résultat visible. Cette concentration rendait l'examen indépendant essentiel, même lorsque la suspicion sous-jacente était forte.

L'espace du pool et l'espace legacy posaient des problèmes de récupération différents

Les rapports d'AFRINIC divisaient la population affectée en espace pris de son pool disponible et espace déjà doté d'un statut legacy. La distinction est fondamentale.

L'espace du pool faisait partie de l'inventaire qu'AFRINIC administrait pour l'attribution selon la politique régionale. Si les enregistrements étaient modifiés pour faire apparaître un espace de pool non attribué comme légitimement délégué, la question centrale était de savoir si une attribution autorisée avait eu lieu. L'absence complète de demande, d'évaluation des besoins et d'approbation serait une preuve puissante que le détenteur apparent n'a jamais acquis un droit valide auprès d'AFRINIC.

Le désenregistrement et la mise en quarantaine pouvaient alors restaurer le pool, sous réserve de notification, de préservation des preuves et de continuité en aval.

L'espace legacy provenait d'une époque antérieure. Le rapport d'AFRINIC expliquait que ces enregistrements avaient migré à partir d'arrangements prédécesseurs et que les détenteurs exclusivement legacy n'avaient généralement pas de contrat avec AFRINIC. L'organisation maintenait toujours les données et services de registre pertinents, mais la base juridique et historique différait d'une attribution émise par AFRINIC. Certaines organisations d'origine avaient changé de nom, fusionné, cessé leur activité ou disparu. Les contacts pouvaient être obsolètes.

Les preuves documentaires pouvaient être antérieures aux registres d'entreprise actuels ou à la conservation numérique.

Pour l'espace legacy, une mise à jour inexpliquée ne signifiait pas nécessairement que le bloc d'adresses appartenait au pool disponible d'AFRINIC. La première tâche était d'identifier le détenteur historique légitime ou le successeur. Inverser un changement suspect de contact ou d'organisation pouvait restaurer le dernier état fiable, mais cet état pouvait encore être commercialement ou corporativement obsolète. Le recouvrement pour une nouvelle attribution nécessiterait une autorité distincte, pas simplement la preuve qu'un changement récent n'était pas étayé.

Les catégories du rapport de 2021 montrent le problème. Certaines adresses legacy ont été consolidées à la demande d'une société holding, certains changements ont été annulés, et une population substantielle est restée contestée ou en attente d'une détermination de garde. Un récit unique d'« adresses volées » ne pouvait expliquer pourquoi ces résultats différaient. La gouvernance exigeait une décision motivée pour chaque chaîne.

La notification de janvier 2020 d'AFRINIC était un début utile, pas une procédure complète

En janvier 2020, AFRINIC a informé sa communauté qu'il examinait les ressources, confirmant les anciennes informations et donnant au détenteur ou contact actuel l'occasion de prouver sa revendication. Il a listé les actions possibles: désenregistrement, modification des enregistrements d'organisation et de ressources, mouvement vers un détenteur d'origine, verrouillage des ressources en attendant vérification et douze mois de quarantaine. Il a également rapporté que quinze préfixes totalisant un million d'adresses IPv4 avaient été désenregistrés au 30 janvier.

La déclaration reconnaissait une procédure régulière dans les grandes lignes. Elle admettait que les anciennes informations nécessitaient confirmation, que la partie enregistrée actuelle devait être entendue et que les réponses pouvaient différer. Le verrouillage et la quarantaine étaient particulièrement importants car ils créaient une pause entre la suspicion et la réutilisation irréversible.

Mais « occasion de prouver » laisse des questions cruciales ouvertes. Quelle adresse de notification a été utilisée lorsque le champ de contact lui-même pouvait être compromis? Combien de temps la partie avait-elle? Quels documents comptaient? Un opérateur affecté pouvait-il inspecter les preuves contre sa chaîne? Qui a tranché l'authenticité contestée? Y avait-il un appel avant la suppression ou seulement après? La décision distinguait-elle la personne à l'origine d'une modification non autorisée d'une entreprise ultérieure qui avait payé une valeur? Quelle évaluation de continuité a précédé le désenregistrement?

La déclaration publique utilisait également le langage de la propriété alors que les documents contractuels du registre nient que les ressources numériques soient une propriété. Cette ambiguïté verbale compte. Un demandeur peut posséder un droit contractuel d'utilisation, une garde historique, une succession d'entreprise, un contrôle opérationnel, une délégation client ou simplement une entrée de registre. Appeler chaque position propriété obscurcit la base juridique qu'AFRINIC reconnaît réellement.

Un code de récupération devrait définir l'intérêt tranché. Il devrait dire si l'institution corrige son propre enregistrement d'attribution, reconnaît un successeur, met fin au droit contractuel d'un membre, annule une mise à jour non autorisée ou retourne un inventaire non attribué à la quarantaine. La précision empêche un administrateur technique de sembler statuer sur des droits de propriété que les instruments de gouvernance ne créent pas.

La notification devait suivre la chaîne de dépendance, pas seulement WHOIS

Le nom dans un enregistrement de registre est un destinataire évident de notification, mais il n'est pas nécessairement la seule partie affectée ni même la personne la mieux placée pour expliquer la chaîne. Un bloc contesté peut impliquer un détenteur d'origine, un successeur d'entreprise, un intermédiaire, un membre qui a organisé l'utilisation client, le réseau qui annonce la route, les fournisseurs d'hébergement, les contacts de sécurité, les clients et les services publics adressés depuis l'espace.

Ces acteurs ne détiennent pas de droits identiques. Un client ne peut généralement pas prouver l'attribution originale simplement en montrant qu'il reçoit un service. Un opérateur annonçant une route peut le faire pour un client. Le contrat d'achat d'un intermédiaire peut révéler des déclarations mais pas valider l'autorité du vendeur. Pourtant, chacun peut détenir des preuves pertinentes, et chacun peut avoir besoin de temps pour réduire les préjudices si la base administrative défaille.

La notification devrait donc être en couches. Le registre devrait contacter tous les contacts historiques et actuels authentifiés, les adresses d'entreprise et les demandeurs connus. Il devrait notifier le compte membre connecté au bloc, les administrateurs de routage-sécurité pertinents et toute partie déjà identifiée dans des tickets ou des soumissions légales. Lorsque les identités directes des clients ne sont pas connues, l'opérateur enregistré devrait être tenu de relayer un avis de continuité standard sans divulguer publiquement les données sensibles des clients.

L'avis devrait identifier le bloc, la nature du lien questionné, les restrictions provisoires, les preuves recherchées, le délai de réponse, le décideur et la voie de recours. Il devrait éviter d'énoncer une fraude contestée comme un fait conclu. On peut dire à une partie qu'une approbation d'attribution manque ou qu'un justificatif de modification semble non autorisé sans la qualifier publiquement de malhonnête avant que les preuves ne soient testées.

La livraison nécessite une preuve. Un e-mail vers une adresse compromise ou morte n'est pas une notification significative. Des canaux multiples, un service d'entreprise, une notification par portail et un accusé de réception documenté sont appropriés pour les cas à fort impact. Si une partie est injoignable, le registre devrait enregistrer les tentatives et appliquer un statut provisoire assez long pour permettre un avis opérationnel public avant toute réutilisation.

La bonne foi affecte le remède même lorsqu'elle ne guérit pas l'autorité

Le cas le plus difficile est l'acquéreur en aval qui a payé une valeur, reçu des enregistrements apparemment plausibles et ignorait qu'un lien antérieur était non autorisé. Traiter cette partie exactement comme l'auteur de la manipulation est moralement satisfaisant seulement si l'on ignore le rôle de l'institution dans le maintien de l'enregistrement sur lequel la transaction s'appuyait.

La bonne foi ne peut être une politique de transfert magique. Si le contrat et la politique en vigueur ne permettaient pas au vendeur de transférer le droit, la croyance honnête d'un acheteur peut ne pas créer l'autorité qui manquait au vendeur. Reconnaître toute revendication en aval enregistrée récompenserait quiconque a agi le plus rapidement après la corruption et rendrait l'intégrité du registre tributaire de ventes privées.

Mais la règle inverse est également défectueuse. Une suppression immédiate sans audition, transition ni différenciation place l'intégralité du coût de l'échec de contrôle d'AFRINIC sur une partie qui a peut-être été trompée. Elle peut nuire aux clients de cette partie, qui peuvent être encore plus éloignés. Elle réduit également les incitations à divulguer des documents: un détenteur s'attendant à une perte automatique peut plaider ou dissimuler plutôt que coopérer.

La protection de la bonne foi devrait donc opérer par la procédure et le remède. La partie en aval reçoit un avis, un accès au fondement de la contestation, une chance de soumettre des preuves de transaction et de diligence, et une décision indépendante. Si la chaîne est défectueuse, la partie peut bénéficier d'une période de transition limitée, d'un support continu en lecture seule ou de sécurité, et d'une coordination pour le renumérotage. Ses preuves peuvent étayer des réclamations contre le vendeur ou un autre acteur responsable.

La dissimulation délibérée, les enregistrements falsifiés ou la disposition continue après avis devraient supprimer ces protections.

Le niveau de diligence devrait être réaliste pour la date de la transaction. L'acquéreur a-t-il vérifié l'identité et l'autorité du vendeur? A-t-il obtenu une confirmation d'AFRINIC là où c'était disponible? Le prix ou la structure signalait-il un risque anormal? A-t-il inspecté le contrat et la politique alors en vigueur? A-t-il compris que les ressources numériques n'étaient pas une propriété librement cessible? Un courtier sophistiqué et un client final ne devraient pas être jugés selon des attentes identiques.

L'institution avait besoin d'une classification des détenteurs, pas d'un binaire moral

Les décisions de récupération deviennent plus claires lorsque les parties affectées sont classées par preuve et conduite plutôt que divisées entre voleur et victime. Au moins six positions peuvent exister.

La première est le détenteur légitime d'origine dont l'enregistrement a été modifié sans autorité. Sa revendication est la restauration ou la reconnaissance d'un successeur légitime, sous réserve des preuves actuelles. La deuxième est un successeur légitime après fusion, acquisition ou réorganisation dont la documentation n'a jamais été correctement reflétée. Son problème est la correction d'enregistrement, pas la récupération d'un acte répréhensible.

La troisième est un entité direct à une altération ou disposition non autorisée. Il reçoit un avis en bonne et due forme mais aucune protection de la confiance pour une conduite qu'il savait défectueuse. La quatrième est un acquéreur en aval qui savait, ou a ignoré des preuves évidentes, que le vendeur manquait d'autorité. Il peut ne pas mériter de transition au-delà de ce qui est nécessaire pour protéger les utilisateurs non liés.

La cinquième est un opérateur en aval de bonne foi qui a payé une valeur et s'est fié à des enregistrements apparemment officiels. Sa chaîne peut encore échouer, mais l'institution devrait atténuer les préjudices collatéraux évitables et préserver les preuves pour un recours. La sixième est un utilisateur final ou client sans rôle dans l'acquisition du bloc. Ses intérêts sont la continuité, l'avis et le temps de migrer, pas la reconnaissance en tant que détenteur de ressource.

Il peut également y avoir des dépendances de service public. Un bloc peut soutenir des services de santé, gouvernementaux, de communication ou autres dont les utilisateurs ne peuvent être atteints individuellement. Cela ne valide pas la chaîne du détenteur. Cela modifie le plan de transition. La décision de récupération devrait séparer le droit du calendrier et de la méthode par lesquels l'état opérationnel est corrigé.

La classification protège l'équité dans les deux sens. Elle empêche un acteur coupable de se cacher parmi les clients et empêche les clients d'être traités comme coupables parce qu'ils acheminent à travers l'espace contesté. Elle donne également à AFRINIC un vocabulaire cohérent pour les rapports publics sans publier des allégations qui n'ont pas été jugées.

La quarantaine devrait protéger les preuves et la rareté, pas simplement attendre un calendrier

AFRINIC a déclaré que les ressources de pool désenregistrées seraient mises en quarantaine pendant douze mois avant un éventuel retour au pool disponible. Une période de refroidissement est prudente. Elle réduit le risque qu'un bloc soit réattribué alors que des réclamations ou un routage périmé persistent. Elle donne également aux opérateurs le temps de supprimer les dépendances et aux systèmes de réputation le temps de s'ajuster.

Douze mois, cependant, est une durée plutôt qu'un test de libération. Une ressource ne devrait quitter la quarantaine que lorsque la décision probatoire est définitive dans la structure d'examen de l'institution, les contraintes judiciaires applicables sont vérifiées, les dépendances de routage et de sécurité sont mesurées, les enregistrements obsolètes sont traités, les risques d'abus et de réputation sont évalués, et les systèmes techniques peuvent émettre une chaîne propre à un nouveau destinataire.

L'état de quarantaine devrait préserver l'historique. La suppression d'une entrée WHOIS ne doit pas effacer la preuve de qui l'a modifiée, quels contacts ont été notifiés, quelles routes existaient ou quelles réclamations ont été faites. La présentation publique peut indiquer que la ressource est en attente administrative sans nommer des malfaiteurs non prouvés. Les enregistrements internes et scellés devraient conserver la chaîne complète.

La quarantaine a également besoin d'une règle d'arrêt. AFRINIC ne devrait pas réattribuer un bloc simplement parce que la date prévue est arrivée alors qu'un litige, une revendication de successeur crédible ou une décision manquante reste non résolue. Inversement, une quarantaine indéfinie ne devrait pas devenir un substitut à la décision. Chaque prolongation devrait indiquer la question non résolue, le décideur responsable et la prochaine date d'examen.

La rareté crée une pression pour libérer rapidement les adresses. C'est précisément pourquoi l'autorité de libération doit être indépendante des objectifs d'attribution. Un registre qui bénéficie institutionnellement du retour d'espace dans son pool ne devrait pas laisser la même équipe opérationnelle déterminer la garde contestée et approuver la réutilisation sans examen.

La correction du registre et la continuité du routage sont des leviers séparés

Le RFC 7020 décrit le système de registres de numéros Internet comme une hiérarchie qui enregistre les attributions et les affectations tout en reconnaissant que les opérateurs de réseau prennent des décisions de routage. Cette séparation est utile pendant la récupération. AFRINIC peut modifier l'enregistrement et les services connexes, mais il ne commande pas directement chaque routeur. Inversement, laisser une route visible n'établit pas un enregistrement légitime.

Le plan de récupération devrait cartographier les leviers individuellement: enregistrement WHOIS ou RDAP, accès au portail membre, DNS inverse, objets du Registre de routage Internet, certification des ressources, statistiques déléguées, gestion des transferts et statut public. Certains peuvent être gelés contre tout changement ultérieur tandis que le service existant continue. D'autres peuvent nécessiter une correction immédiate parce qu'ils amplifient un contrôle non autorisé.

Un état contesté réversible est souvent préférable à une suppression binaire pendant la période d'audition. L'enregistrement peut empêcher les modifications, les transferts et les nouvelles autorisations de sécurité tout en préservant suffisamment d'informations existantes pour que les opérateurs comprennent le statut. Les parties affectées peuvent être tenues de maintenir les contacts et de coopérer à la transition. La réponse d'urgence aux abus peut continuer sous supervision journalisée.

La certification des ressources mérite une attention particulière. Révoquer ou modifier les certificats et les autorisations d'origine de route peut affecter la validation de la sécurité du routage. L'action correcte dépend de l'état actuel de la certification et de l'utilisation opérationnelle. L'institution ne devrait pas promettre que chaque correction de registre déconnectera automatiquement un réseau, ni prétendre que les services techniques de sécurité sont sans importance. Elle devrait publier une évaluation d'impact sur la continuité pour chaque remède à haut risque.

La correction finale peut ensuite être progressive: empêcher toute disposition ultérieure, régler la revendication administrative, notifier les opérateurs, migrer les services dépendants, révoquer ou remplacer les identifiants, mettre à jour les enregistrements et surveiller les annonces résiduelles. La progressivité n'est pas une indulgence. C'est ainsi que le registre évite de transformer sa propre faiblesse historique en une panne soudaine pour des parties qui ne peuvent pas remédier au défaut d'origine.

Le litige était la preuve que la procédure manquait de légitimité acceptée

Le rapport annuel 2021 d'AFRINIC indiquait que les affaires intentées par Afri Holdings et LogicWeb résultaient de la récupération après l'enquête sur le détournement. Sa liste publique de cas enregistre les demandes et les résultats procéduraux ultérieurs. L'existence d'un litige ne prouve pas que la conclusion d'AFRINIC était erronée; une décision solide peut être contestée. Non plus que le retrait ou le rejet d'une demande provisoire ne tranche nécessairement la chaîne sous-jacente sur le fond.

Les affaires montrent cependant que la récupération avait dépassé une simple correction interne. Les parties ont revendiqué des intérêts suffisamment importants pour solliciter une mesure judiciaire, et l'état opérationnel ne pouvait plus être considéré comme non contesté. Une fois cela arrivé, la qualité de l'avis, de la préservation des preuves, des motifs et des garanties provisoires devient centrale. Un tribunal peut évaluer une décision bien plus efficacement lorsque l'institution a créé un dossier complet plutôt qu'un récit rétrospectif.

La légitimité ne s'obtient pas en évitant les poursuites. Elle s'obtient lorsque les mêmes faits, catégories et règles de décision seraient utilisés indépendamment de l'influence, de la nationalité ou de la réputation publique du demandeur. Une procédure publiée limite le litige. Les parties peuvent contester l'authenticité, la succession, la bonne foi ou le remède sans avoir à deviner quelle norme non énoncée AFRINIC a appliquée.

Un examen indépendant peut également résoudre de nombreux cas avant le tribunal. Un panel doté de compétences juridiques, de registre et opérationnelles peut inspecter les preuves protégées, entendre les demandeurs et rendre des conclusions motivées. Ses membres ne devraient avoir aucun rôle dans l'attribution initiale, le changement contesté ou la réutilisation planifiée. L'examen devrait suspendre toute action irréversible lorsque la revendication est crédible, tout en maintenant des garanties contre toute disposition ultérieure.

L'accès au tribunal reste essentiel. Le registre devrait identifier les décisions qui sont administratives, quel recours contractuel existe et quand un recours judiciaire peut être sollicité. Il ne devrait pas décrire une victoire procédurale provisoire comme une validation définitive de chaque allégation factuelle. La précision sur ce qu'une décision a tranché fait partie de l'intégrité de la récupération.

La charge de la preuve devrait se déplacer avec les faits démontrés

Une procédure équitable ne place pas l'intégralité de la charge sur un seul camp du début à la fin. AFRINIC devrait d'abord identifier un défaut spécifique: absence d'approbation d'attribution, utilisation non autorisée d'un justificatif, preuve de conflit, incohérence avec les enregistrements prédécesseurs ou changement de détenteur non étayé. Une déclaration générale selon laquelle une adresse semble suspecte est insuffisante pour une mesure sévère.

Une fois qu'AFRINIC établit une rupture documentée, le demandeur actuel devrait expliquer le lien sur lequel il s'appuie. Il peut fournir une succession d'entreprise, des accords signés, des factures, de la correspondance, des confirmations de registre, des documents d'identité et un historique technique. L'institution devrait tester l'authenticité et divulguer les contradictions matérielles. Lorsque deux parties présentent des revendications plausibles, aucune ne devrait contrôler les modifications ultérieures jusqu'à une détermination indépendante.

Le niveau de preuve devrait refléter la conséquence. Un verrou temporaire destiné à préserver les preuves peut nécessiter un risque crédible, à condition que les opérations existantes restent protégées. Le désenregistrement, la perte de services ou la réutilisation par un nouveau membre nécessitent une preuve plus solide et un examen achevé. L'accusation publique de fraude nécessite encore plus de soin et peut dépendre d'une constatation juridique appropriée.

Les preuves négatives doivent être traitées honnêtement. Un ticket manquant est important lorsque le processus en exigeait un et que la conservation était fiable. Il est moins décisif lorsque les enregistrements de la période sont connus pour être incomplets. Le silence d'une société disparue n'est pas un consentement. Une route observée pendant des années est une preuve d'utilisation, pas nécessairement d'autorité. La décision écrite devrait expliquer comment chaque absence a été pondérée.

Cette structure de charge protège le registre d'une preuve impossible tout en l'empêchant de se fier à la corruption de ses propres enregistrements comme raison d'exiger du détenteur actuel qu'il prouve tout à partir de rien. AFRINIC a créé et maintenu le système. Lorsque son échec de contrôle a détruit des preuves, l'incertitude résultante devrait influencer le remède et la protection de la confiance.

La récupération nécessitait un compte des pertes, pas seulement un comptage d'adresses

Les rapports publics se sont naturellement concentrés sur le nombre d'adresses IPv4 récupérées, annulées ou contestées. Les comptages communiquent l'ampleur, en particulier dans un marché rare. Ils ne montrent pas qui a subi la perte.

Un compte de récupération complet distinguerait les adresses retournées à la quarantaine, les enregistrements restaurés aux détenteurs d'origine, les revendications de successeurs reconnues, les entreprises en aval ayant dû se renuméroter, les clients ayant migré, les routes toujours observées, les litiges non résolus et les demandes d'indemnisation en attente. Il rapporterait le succès des notifications, le temps de décision moyen, les résultats des appels et si un bloc a été réémis.

L'incidence financière compte aussi. Si un opérateur de bonne foi a payé un intermédiaire, la récupération peut le laisser avec une créance difficile à exécuter. Si l'échec de contrôle d'AFRINIC a rendu la transaction apparemment légitime, les membres peuvent se demander si une assurance, un règlement ou un autre recours est approprié. Le registre ne devrait pas décider des dommages privés par le biais d'enregistrements techniques, mais il devrait préserver les preuves et identifier les voies responsables.

Le compte devrait également montrer les incidents de continuité. Une correction a-t-elle interrompu le DNS inverse, la sécurité du routage, l'accès client ou la réponse aux abus? Les plans de transition ont-ils été achevés? Combien d'exceptions urgentes ont été accordées et pourquoi? Rapporter ces résultats améliore la décision suivante et dissuade à la fois les affirmations exagérées de catastrophe et les assertions complaisantes selon lesquelles une modification du registre n'a pas d'effet externe.

L'apprentissage institutionnel dépend de la liaison de la cause au coût. Si une authentification faible a permis une modification, la correction devrait montrer le contrôle et son test. Si des contacts legacy obsolètes ont prolongé le litige, le registre devrait rapporter les progrès sur la maintenance des contacts vérifiés. La récupération n'est complète que lorsque la même rupture probatoire est moins susceptible de se reproduire.

La restauration ne devrait pas créer un enrichissement non examiné

Le mot « original » porte une force morale, mais il n'est pas toujours la fin de l'enquête. Une organisation historique peut avoir cessé ses activités, transféré légalement son entreprise, fusionné avec une autre entité ou abandonné l'utilisation pratique bien avant un changement suspect d'enregistrement. Son nom dans un ancien instantané du registre est une preuve solide de l'état de départ, pas une preuve automatique que la même personne juridique devrait recevoir tous les services actuels sans examen supplémentaire.

La restauration doit donc tester la continuité des deux côtés du changement contesté. AFRINIC devrait vérifier l'attribution d'origine, puis vérifier la succession du demandeur à partir du détenteur d'origine. Un nom d'entreprise familier peut survivre alors que l'entité juridique change. Une société mère peut contrôler un ancien détenteur sans détenir tous les droits que la filiale possédait. Un liquidateur, un acheteur d'actifs commerciaux ou un successeur créé par la loi peuvent chacun avoir une autorité différente.

Le personnel du registre ne devrait pas inférer une succession à partir de la marque ou du chevauchement de gestion.

La même prudence s'applique à l'inactivité. Un bloc qui semblait inutilisé ou avait des contacts obsolètes était vulnérable aux abus, mais l'inactivité n'autorisait pas en soi l'appropriation. Non plus que la découverte ultérieure que le détenteur d'origine n'avait pas de plan opérationnel immédiat ne donne nécessairement droit à AFRINIC de rendre le bloc disponible. L'institution a besoin d'une base de récupération ou de résiliation valide sous le régime qui régit cette ressource, en particulier pour l'espace legacy sans contrat d'enregistrement ordinaire.

Lorsque la restauration est justifiée, le bénéficiaire devrait encore effectuer des vérifications d'identité et de sécurité actuelles avant de recevoir l'autorité de modification. Rétablir une adresse e-mail obsolète ou un mainteneur compromis reproduirait la vulnérabilité d'origine. La reconnaissance historique et l'authentification actuelle sont des étapes séparées. L'enregistrement peut reconnaître la continuité tout en exigeant des contacts modernes, une approbation multipersonne et une voie documentée de réponse aux incidents.

Aucune partie ne devrait recevoir plus de la correction que ce que les preuves soutiennent. Un détenteur restauré gagne la position administrative qu'il peut prouver, pas une déclaration judiciaire de propriété d'un technicien de registre. Un opérateur en aval de bonne foi gagne une protection de transition, pas un droit permanent créé par la sympathie. AFRINIC récupère l'espace de pool non attribué lorsque la chaîne prouve qu'il n'a jamais été valablement émis, pas chaque bloc legacy contesté qui manque de demandeur actif.

Ces limites rendent la récupération crédible car elles refusent des enrichissements à tous les camps.

Une matrice de décision pourrait séparer la preuve de l'urgence opérationnelle

Le panel de récupération devrait décider indépendamment deux axes. Le premier est la confiance probatoire: chaîne valide confirmée, rupture confirmée, revendications concurrentes crédibles ou preuves insuffisantes. Le second est la conséquence de continuité: faible, gérable avec notification, grave mais réductible, ou risque immédiat pour la sécurité et la sûreté. Leur combinaison produit une action provisoire plus disciplinée.

Une rupture confirmée avec une faible conséquence de continuité peut évoluer relativement rapidement vers une correction après examen. Une rupture confirmée soutenant de nombreux clients actifs nécessite encore une correction, mais la mise en œuvre devrait inclure une période de migration limitée et un service supervisé. Des revendications concurrentes crédibles justifient un verrouillage, une préservation des preuves et une maintenance neutre; elles ne justifient pas l'attribution du bloc à la partie ayant la campagne publique la plus forte.

Des preuves insuffisantes sans utilisation active peuvent soutenir la quarantaine, tandis que des preuves insuffisantes avec une utilisation substantielle nécessitent une détermination protégée plus longue.

L'activité nuisible urgente est une considération distincte. Les abus associés à des adresses peuvent nécessiter une réponse immédiate du réseau, des forces de l'ordre ou du fournisseur, mais ils ne prouvent pas par eux-mêmes quel demandeur historique possède la chaîne administrative. Le panel devrait isoler la mesure urgente de la décision de garde. Sinon, les allégations sur le contenu ou les clients peuvent devenir un raccourci contournant la preuve du droit.

Chaque cellule de la matrice devrait spécifier les actions autorisées. Un verrou peut interdire les changements de détenteur, les transferts, les nouveaux objets d'autorisation de route ou la suppression tout en permettant le contact avec le personnel de sécurité. Un statut de migration peut préserver le DNS inverse existant pendant une période fixe mais interdire l'expansion. Une quarantaine peut suspendre la réattribution et publier un statut neutre. La conception supprime l'improvisation sans empêcher le jugement spécifique au cas.

La matrice améliore également l'égalité. Les parties avec des preuves et des dépendances similaires reçoivent un traitement provisoire similaire. Les écarts doivent être motivés et enregistrés. Les membres peuvent auditer l'utilisation agrégée de chaque catégorie sans voir de documents confidentiels. Les tribunaux peuvent identifier si AFRINIC a suivi sa propre norme et si la mesure choisie était proportionnée à la fois à la preuve et au risque.

Plus important encore, la matrice empêche l'urgence opérationnelle de décider silencieusement de la légitimité. Un réseau peut être grand, commercialement important ou politiquement connecté; ces faits affectent la transition mais pas la validité d'une chaîne non autorisée. Un détenteur d'origine peut sembler sympathique; cela n'affecte ni la succession d'entreprise ni le dossier historique. Séparer les axes est la discipline institutionnelle que le langage simple de la reprise d'adresses n'a jamais pu fournir.

Un code de récupération propre aurait renforcé AFRINIC

Le code devrait commencer par la classification. S'agit-il d'un détournement suspect de pool, d'une garde legacy contestée, d'une altération non autorisée d'enregistrement, d'une violation contractuelle, d'une succession d'entreprise ou d'un transfert autorisé? Chaque catégorie a une base juridique, un ensemble de preuves et un remède différents. Les combiner sous « récupération » invite à un traitement arbitraire.

Deuxièmement, la préservation et le contrôle provisoire. Capturer les historiques inviolables, geler les modifications non essentielles, empêcher le transfert ou la réutilisation, maintenir les opérations nécessaires et identifier chaque demandeur et dépendance connus. Le statut provisoire devrait être réversible et soumis à un réexamen rapide.

Troisièmement, la notification et l'échange de preuves. AFRINIC énonce le défaut précis et les preuves; les demandeurs répondent; les informations protégées sont traitées confidentiellement; et les opérateurs affectés soumettent leurs besoins de continuité sans obtenir le pouvoir de décider du droit. Un calendrier publié empêche la dérive.

Quatrièmement, la détermination indépendante. Les motifs devraient identifier le contrat gouvernant ou la base historique, les faits constatés, les jugements de crédibilité, la classification de bonne foi, l'évaluation de continuité et le remède choisi. Un organe d'appel devrait pouvoir inspecter le dossier complet. L'action irréversible attend l'examen sauf si un préjudice immédiat rend le délai impossible.

Cinquièmement, la mise en œuvre progressive et la responsabilité publique. Le registre coordonne le renumérotage ou la transition de service, corrige chaque couche administrative, surveille les effets sur le routage et la sécurité, conserve l'espace de pool récupéré jusqu'à ce que les tests de libération soient réussis, et rapporte les résultats agrégés aux membres.

Un tel code ne garantirait pas l'accord. Il rendrait le désaccord lisible. AFRINIC pourrait défendre une correction en montrant une règle stable plutôt qu'en demandant à la communauté de faire confiance à son statut institutionnel. Les demandeurs pourraient être entendus sans convertir une confiance temporaire en autorité permanente. Les opérateurs pourraient protéger les utilisateurs sans décider des droits contestés par le biais d'annonces de route.

La vérité la plus dure est que l'intégrité et la confiance peuvent entrer en conflit

L'intégrité du registre exige qu'une chaîne non autorisée ne reste pas faisant autorité simplement parce que le temps a passé. La confiance exige que les institutions tiennent compte des personnes qui ont organisé une activité légitime autour des registres visibles de l'institution. Les deux principes sont valides, et aucun ne peut effacer l'autre.

AFRINIC ne pouvait pas résoudre le conflit proprement parce que l'échec de contrôle d'origine a permis à l'apparence administrative, au traitement commercial et à l'utilisation opérationnelle de se séparer de l'autorité prouvée. En 2019, la correction n'était pas la restauration d'un hier non contesté. C'était un choix entre des histoires incomplètes et des dépendances présentes.

La bonne réponse n'était pas la paralysie. C'était un séquencement discipliné: prouver la rupture, préserver l'état, entendre la chaîne, classer la bonne foi, décider indépendamment, protéger les utilisateurs non liés et seulement ensuite mettre en œuvre la correction efficace la moins perturbatrice. Lorsque la preuve restait véritablement équilibrée, le dossier devrait le dire et un tribunal ou un arbitre convenu devrait déterminer le droit contesté.

Cette approche ne récompense pas la corruption. Elle rend la corruption plus difficile à exploiter car toute disposition ultérieure s'arrête immédiatement et les entités connus ne reçoivent aucune protection de la confiance. Elle empêche également le registre d'externaliser toutes les conséquences de son propre échec sur les opérateurs et clients les plus éloignés.

La mesure de la récupération n'est donc pas le plus grand nombre retourné dans un pool. C'est de savoir si l'état résultant du registre est mieux prouvé, plus légitime et opérationnellement plus sûr que l'état qu'il a remplacé. Les catégories publiées par AFRINIC ont montré qu'il comprenait des parties de ce problème. L'absence d'un code de décision public complet a laissé la question centrale exposée: qui doit supporter le risque lorsque le gardien du registre ne peut plus se fier au registre qu'il tenait?

Sources et limites probatoires

LeRapport d'exactitude de la base de données WHOISd'AFRINIC est la source principale des catégories et quantités rapportées par l'institution, de sa distinction entre espace de pool et espace legacy, des preuves qu'elle a consultées et des cas qu'elle a laissés en suspens. Les étiquettes du rapport sont traitées comme des constats institutionnels, pas des jugements définitifs contre chaque détenteur actuel.

Lamise à jour des ressources de janvier 2020enregistre la promesse d'AFRINIC d'entendre les détenteurs actuels, les actions correctives envisagées, la quarantaine de douze mois et le premier million d'adresses qu'il a déclaré avoir désenregistrées. Ladéclaration du PDG d'août 2020fournit un compte rendu ultérieur de l'enquête, du contact avec les détenteurs, de l'annulation et de la diligence raisonnable.

LeRapport annuel 2021d'AFRINIC établit que les litiges impliquant Afri Holdings et LogicWeb sont nés de décisions de récupération, tandis que laliste publique des affaires judiciairesest utilisée uniquement pour l'existence et le statut procédural des affaires listées. Aucune source n'est traitée comme prouvant le bien-fondé de la garde contestée.

LeRFC 7020fournit la distinction architecturale neutre entre l'enregistrement des numéros et les opérations de routage. Il soutient l'analyse de continuité mais ne détermine pas l'autorité légale d'AFRINIC, les droits contractuels privés ni l'issue d'une procédure mauricienne.