Résumé

  • La portabilité régionale pose une question de conception difficile: comment un titulaire peut-il transférer le service de ressources numériques entre des bureaux d'enregistrement qualifiés alors que l'Internet voit toujours un seul statut actuel pour chaque plage IP ou numéro AS? La réponse est un registre mince face à l'IANA qui enregistre les engagements de statut signés et rejette les chevauchements.
  • La couche concurrentielle doit être le service d'enregistrement: support au titulaire, examen des preuves, publication RDAP, options de garde RPKI, coordination DNS inverse, enregistrements financiers, avis aux clients, assistance en cas de litige et aide à la migration. La couche non concurrentielle doit être l'unicité, le statut public, la détection des conflits, l'ordonnancement des événements et l'auditabilité.
  • Les registres existants de l'IANA pour IPv4, IPv6, les numéros AS et le bootstrap RDAP montrent déjà le principe qu'un enregistrement global peut pointer vers des services responsables sans contenir tous les fichiers clients. Un registre de l'ère de la portabilité étendrait ce principe des blocs d'allocation régionaux aux engagements de statut actuels et aux affectations de fournisseurs de services.
  • La contribution positive de la Société des ressources numériques (NRS) est de soutenir que la portabilité et l'unicité ne sont pas ennemies. Si le registre racine est suffisamment étroit et la couche d'enregistrement suffisamment concurrentielle, les titulaires gagnent une issue tandis que l'Internet conserve un enregistrement cohérent.

La portabilité a besoin d'une racine plus mince, pas d'une règle plus épaisse

L'objection la plus forte à la portabilité régionale est simple: si un réseau peut déplacer son service d'enregistrement de ressources numériques loin de la région où la ressource a été initialement attribuée, qu'est-ce qui empêche les enregistrements en double? Un préfixe ne peut pas être proprement actif dans deux registres incompatibles. Un numéro AS ne peut pas avoir deux contrôleurs actuels pour le même objectif. Si la portabilité signifie que chaque bureau d'enregistrement maintient sa propre vérité finale, le résultat n'est pas la responsabilité. C'est la fragmentation.

La réponse n'est pas d'abandonner la portabilité. C'est de séparer la racine de l'unicité du marché des services. La couche face à l'IANA devrait être un registre mondial mince qui enregistre un engagement de statut pour chaque intervalle de ressource ou plage de numéros AS. Cette couche n'a pas besoin de stocker chaque document client, de décider chaque litige commercial, de fixer les prix, de juger de l'objectif commercial ou d'approuver le routage.

Elle doit rejeter les chevauchements, ordonner les événements, identifier le bureau d'enregistrement qualifié responsable du service client, préserver l'historique, exposer le statut des litiges et permettre un audit externe.

La couche d'enregistrement peut alors être concurrentielle. Un bureau d'enregistrement de numéros peut mieux ou moins bien servir les titulaires. Il peut offrir un support plus rapide, une meilleure gestion des preuves, des barèmes de frais plus clairs, des options RPKI plus solides, une coordination DNS inverse plus fluide, une meilleure assistance en cas de litige, une documentation de prêt plus solide ou des outils d'avis client plus efficaces. Si le titulaire n'aime pas le bureau d'enregistrement, le titulaire peut déplacer le service sans demander à l'ancien bureau d'enregistrement de bénir la sortie.

Le registre racine enregistre le déplacement une fois.

Cette architecture est positive pour la NRS car elle répond à deux craintes à la fois. Les titulaires craignent d'être piégés par un monopole régional dont ils ne peuvent échapper à la gouvernance, à l'environnement juridique ou à la qualité de service. Les opérateurs et les parties prenantes craignent une double allocation et une confusion de routage. Un registre de statut racine donne au second groupe un invariant non négociable. La portabilité des bureaux d'enregistrement donne au premier groupe une issue pratique.

La conception protège également l'IANA. Une IANA de l'ère de la portabilité ne devient pas un tribunal mondial de la propriété ou un superviseur du marché des capitaux. Elle maintient l'enregistrement commun étroit nécessaire à l'unicité mondiale et à la découverte de services. Plus cet enregistrement essaie de décider, plus il attire de pression. Plus il reste mince, plus il devient durable.

L'enregistrement actuel de l'IANA enseigne déjà la retenue

Les pages actuelles des ressources numériques de l'IANA sont retenues. La pageRessources numériques de l'IANAindique que l'IANA est responsable de la coordination mondiale des systèmes d'adressage IP et des numéros AS, alloue des pools d'adresses non allouées aux RIR conformément à la politique mondiale, documente les affectations de protocole et n'alloue généralement pas directement aux FAI ou aux utilisateurs finaux. La page liste les cinq RIR et pointe vers les registres pour IPv4, IPv6 et les numéros AS.

Le registre publicEspace d'adresses IPv4est une vue racine. Il enregistre les désignations au niveau /8, le statut, les pointeurs whois et RDAP, et si l'espace est alloué, réservé ou hérité. Il ne contient pas chaque contrat en aval ou fichier client. Il est précieux car il ancre une carte commune de l'espace d'adressage global aux services de registre responsables.

LeRegistre des adresses de monodiffusion IPv6fonctionne dans le même esprit de retenue. Il enregistre les préfixes, les désignations, les dates, WHOIS, RDAP et le statut. LeRegistre des numéros ASenregistre les plages attribuées par les RIR et les pointeurs vers les services pertinents. Ces registres prouvent qu'un registre mondial peut être faisant autorité sans être encyclopédique.

Le problème de la portabilité demande une couche de statut plus fine, pas une philosophie différente. Aujourd'hui, de grands blocs régionaux pointent vers les RIR. Après la portabilité régionale, le registre mondial devrait enregistrer le bureau d'enregistrement qualifié responsable d'un statut de ressource actuel particulier, éventuellement à des intervalles plus spécifiques et des plages de numéros AS. C'est une affirmation plus étroite que de stocker chaque contrat. C'est une affirmation plus forte qu'un répertoire supplémentaire privé. C'est l'engagement racine qu'aucun autre bureau d'enregistrement ne peut contredire.

C'est pourquoi le mot registre est utile. Un registre n'est pas un manifeste et pas un système de relation client. Il enregistre les événements qui modifient l'état reconnu. Il préserve l'ordre. Il détecte les entrées incompatibles. Il permet la reconstruction. Un registre IANA de l'ère de la portabilité devrait faire ces choses et résister à devenir un forum de gouvernance universel.

Un engagement de statut n'est pas un fichier client

La discipline de données la plus importante est la différence entre un engagement de statut et un fichier client. Un engagement de statut indique qu'un intervalle de ressource défini ou une plage de numéros AS a un état reconnu actuel, un bureau d'enregistrement responsable, une référence d'identité de titulaire, une classe d'événement, une heure, un indicateur de litige le cas échéant, et des liens vers des points de terminaison de service publics. Il peut également inclure des engagements cryptographiques pour des preuves protégées.

Il n'a pas besoin de publier le prix commercial, les factures, les documents du conseil d'administration, les clauses financières, les listes de clients ou les documents d'identité sensibles.

Cette distinction protège la vie privée et la concurrence. Les bureaux d'enregistrement peuvent concurrencer sur l'examen des preuves, le service client et les produits optionnels sans remettre chaque fichier d'entreprise à une racine mondiale. Les titulaires peuvent prouver la continuité aux prêteurs, aux clouds, aux fournisseurs en amont et aux auditeurs sans exposer les conditions confidentielles au monde. Le registre racine peut toujours soutenir l'audit car les preuves protégées peuvent être engagées par hachage, examinées sous autorité et liées à des catégories de raison.

Les engagements de statut devraient être structurés autour de classes d'événements. Les exemples incluent la confirmation du titulaire actuel, l'affectation du bureau d'enregistrement qualifié, le déplacement du bureau d'enregistrement en attente, le déplacement du bureau d'enregistrement terminé, le transfert de titulaire en attente, le transfert de titulaire terminé, le litige noté, la suspension judiciaire ou d'autorité compétente notée, l'opérateur d'urgence actif, la ressource retournée, la ressource réservée, le statut hérité confirmé et la correction terminée.

Chaque classe d'événement devrait avoir une signification publique et un effet défini.

Le registre ne devrait pas cacher l'incertitude. Si un transfert est contesté, l'état public devrait le dire. Si une ordonnance judiciaire gèle un changement, le registre devrait montrer une catégorie de suspension sans publier les documents protégés. Si un bureau d'enregistrement est sous opération d'urgence, le registre devrait montrer le fournisseur de services temporaire et la voie de révision ou de restitution prévue. Si une correction a remplacé une erreur, l'enregistrement précédent devrait rester historiquement visible, avec la raison de la correction.

Un engagement de statut mince fait donc plus qu'un registre public conventionnel. Il donne aux parties prenantes l'état dont elles ont besoin tout en empêchant la racine de devenir un dossier d'affaires privées. Il est suffisamment étroit pour passer à l'échelle et suffisamment fort pour empêcher la contradiction.

La double allocation est un problème d'intervalle avant d'être un problème politique

La double allocation ressemble à une crise constitutionnelle, mais le premier test est mathématique. L'événement de statut proposé chevauche-t-il un événement de statut déjà en cours? Un intervalle plus spécifique entre-t-il en conflit avec un intervalle couvrant? Une plage de numéros AS intersecte-t-elle une plage existante? Une plage retournée ou réservée est-elle activée par la mauvaise partie? Un bloc hérité est-il revendiqué sans preuve de continuité? Ces questions peuvent être testées avant que tout argument politique ne commence.

Le registre de l'ère de la portabilité devrait appliquer les règles d'intervalle avec une sévérité mécanique. Un bureau d'enregistrement ne devrait pas pouvoir soumettre un statut de titulaire actuel pour un intervalle qui chevauche un autre statut de titulaire actuel, sauf si l'événement est une scission, agrégation, correction, transfert ou notation de litige reconnue dans le cadre de règles définies. Il en va de même pour les plages de numéros AS. La racine devrait rejeter les contradictions automatiquement et publier la catégorie de rejet.

Cela ne signifie pas que chaque conflit est simple. Deux parties peuvent fournir des preuves plausibles. Un tribunal peut geler un événement après qu'un transfert a été signé mais avant l'achèvement du déplacement du bureau d'enregistrement. Un successeur d'entreprise peut hériter de certaines ressources tandis qu'une entreprise cédée en reçoit d'autres. Un titulaire hérité peut avoir d'anciens enregistrements qui ne correspondent pas aux catégories contractuelles modernes. Le registre ne peut pas résoudre instantanément chaque question substantielle. Il peut empêcher le conflit de devenir deux enregistrements courants propres.

Les états de conflit devraient être explicites. Le registre peut indiquer qu'une ressource est en litige, qu'un événement en attente est en pause, qu'aucune allocation courante en double n'a été acceptée, et qu'un réviseur qualifié ou une voie de recours traite des preuves protégées. Les parties prenantes savent alors la différence entre un enregistrement propre et un enregistrement contesté. Le silence est plus dangereux qu'une notation de litige.

C'est là que la thèse anti-clientélisme de la NRS devient techniquement fondée. Un bureau d'enregistrement en place ne devrait pas pouvoir supprimer la portabilité en refusant de coopérer tout en laissant la racine ambiguë. Un nouveau bureau d'enregistrement ne devrait pas pouvoir forcer la portabilité en signant un enregistrement propre contradictoire. Le registre ne devrait accepter que les événements qui correspondent aux règles d'intervalle et aux classes de preuve. Cela fait de l'unicité un invariant partagé plutôt qu'une arme.

Les bureaux d'enregistrement devraient concurrencer au-dessus de la couche invariante

Une fois que la racine rejette l'état courant en double, la concurrence peut se déplacer au bon endroit. Les bureaux d'enregistrement de numéros qualifiés peuvent concurrencer sur les services que les titulaires expérimentent réellement. L'un peut offrir un meilleur support multilingue. Un autre peut se spécialiser dans les transferts IPv4 et les preuves de prêt. Un autre peut soutenir les petits FAI avec des coûts fixes plus bas. Un autre peut offrir des outils RPKI délégués plus solides. Un autre peut être digne de confiance pour la continuité d'urgence ou les cas sensibles à l'insolvabilité.

La concurrence ne devrait pas inclure le droit de créer un statut en double. Un bureau d'enregistrement gagne en servant le titulaire et en réussissant les tests de la racine, pas en promettant une reconnaissance plus facile des revendications douteuses. Si un bureau d'enregistrement devient négligent, le registre racine et les auditeurs externes devraient détecter les taux de rejet, les incidents de conflit, les points de terminaison obsolètes, les problèmes de sécurité et les plaintes des titulaires. La qualification peut alors être limitée, suspendue ou révoquée par fonction.

Ce modèle ressemble à la discipline que les opérateurs comprennent déjà. De nombreux services peuvent concurrencer autour de l'Internet tout en partageant des invariants de protocole. Les fournisseurs de transit concurrencent sans redéfinir la structure des paquets IP. Les autorités de certification concurrencent à l'intérieur des règles de confiance du navigateur ou de l'application mais sont soumises à des audits et à la divulgation d'incidents. Les bureaux d'enregistrement de noms de domaine concurrencent dans un système où le registre de noms de domaine reste l'enregistrement faisant autorité pour un nom.

L'analogie est imparfaite pour les numéros, mais la séparation entre l'invariant et le service est familière.

Pour les ressources numériques, la concurrence des bureaux d'enregistrement devrait être particulièrement disciplinée car la rareté rend les enregistrements financièrement conséquents. Un bureau d'enregistrement peut être tenté de gagner des clients en promettant des approbations plus rapides, moins de preuves, une gestion des litiges plus laxiste ou le silence autour d'historiques problématiques. Un régime de qualification basé sur la preuve devrait rendre ces promesses coûteuses. Le bureau d'enregistrement qui ne peut pas expliquer ses approbations devrait perdre la confiance.

La NRS devrait se positionner uniquement comme un défenseur de la portabilité, un représentant des membres et un rassembleur. Elle n'est pas un bureau d'enregistrement, un organisme d'assurance ou un maître central. Son point est que les titulaires devraient pouvoir choisir un service qualifié sans compromettre la règle d'une ressource-un statut courant.

RDAP montre comment une racine peut pointer sans posséder chaque réponse

RDAP n'est pas une réponse complète à la portabilité, mais c'est un indice important. LeRFC 9224explique comment les clients peuvent trouver le service RDAP faisant autorité pour un domaine, une adresse ou un numéro AS via les données d'amorçage de l'IANA. Pour l'espace d'adressage IP, il utilise la logique de la correspondance la plus longue pour choisir l'URL RDAP de base pertinente. C'est une couche de découverte publique qui pointe vers le service responsable de répondre aux requêtes structurées.

Un registre racine de l'ère de la portabilité peut apprendre de cette conception. La racine n'a pas besoin de servir elle-même chaque réponse RDAP. Elle doit identifier les points de terminaison de service qualifiés actuels et clarifier leur autorité ou leur statut supplémentaire. Si un titulaire passe d'un bureau d'enregistrement à un autre, le registre peut mettre à jour le pointeur de service responsable tout en conservant les preuves historiques. Si des intervalles plus spécifiques sont servis par différents bureaux d'enregistrement, la logique de correspondance la plus longue et les contrôles de conflit peuvent prévenir l'ambiguïté.

La leçon va aussi dans l'autre sens. Le bootstrap RDAP seul ne suffit pas. Un pointeur de service peut être exact tandis que l'enregistrement sous-jacent est contesté. Un point de terminaison de bureau d'enregistrement peut être accessible tandis qu'un transfert de titulaire est contesté. Une requête peut renvoyer un JSON propre tandis que les preuves protégées sont faibles. Le registre de statut doit donc enregistrer la classe d'événement, l'état du litige et la qualification du bureau d'enregistrement, pas seulement une URL.

RDAP met également en évidence le risque de transition. Les clients mettent en cache les données. Les outils gèrent les erreurs différemment. Certains utilisateurs s'appuient encore sur WHOIS, les miroirs internes ou les bases de données de fournisseurs. Un déplacement de bureau d'enregistrement peut donc laisser des preuves publiques obsolètes pendant des jours ou des semaines. Le registre devrait exposer les anciens et nouveaux états de service pendant une période de transition définie et publier suffisamment de métadonnées temporelles pour que les parties prenantes puissent distinguer l'état actuel des copies obsolètes.

La NRS peut ajouter de la valeur en faisant campagne pour que les registres reconnus et les processus face à l'IANA rendent la portabilité visible dans la découverte publique plutôt que cachée dans des avis bilatéraux. Si un titulaire déplace le service de bureau d'enregistrement, les clients ne devraient pas avoir à deviner si un point de terminaison RDAP changé est une prise de contrôle, un transfert, une panne ou un déplacement de service autorisé. L'engagement de statut racine devrait leur dire la classe de changement.

RPKI et DNS inverse doivent se déplacer avec des garde-fous

Le registre racine ne suffit pas si RPKI et DNS inverse se brisent pendant la portabilité. De nombreux opérateurs se soucient moins du statut philosophique d'un registre que de savoir si leurs routes valident, si leur délégation DNS inverse fonctionne, si leurs contacts d'abus restent joignables et si leurs clients peuvent passer les vérifications cloud et de sécurité. Un déplacement propre de titulaire qui perturbe ces dépendances sera jugé comme un échec.

RPKI crée une attention particulière car les certificats de ressources attestent des allocations et les ROA peuvent être utilisés pour construire des filtres de route. LeRFC 6480décrit comment les certificats de ressources lient les clés publiques aux adresses IP ou aux numéros AS et comment les ROA soutiennent l'autorisation d'origine de route. Si la portabilité change le bureau d'enregistrement responsable du support de certification, le changement ne doit pas créer une invalidité accidentelle ou une capture silencieuse de clé.

Un registre de l'ère de la portabilité ne devrait pas lui-même émettre chaque ROA. Il devrait enregistrer le statut qui permet aux services de confiance de comprendre qui est responsable de la relation d'enregistrement et si une transition de certification est en attente, terminée, en pause ou contestée. Les bureaux d'enregistrement devraient prendre en charge les options RPKI hébergées et déléguées, le renouvellement de clés, les périodes de grâce d'urgence, la détection d'objets obsolètes et un choix clair du titulaire.

Le registre devrait enregistrer suffisamment de statut pour empêcher un bureau d'enregistrement d'utiliser la garde RPKI comme une barrière de sortie cachée.

Le DNS inverse a besoin d'une frontière similaire. La délégation de zone parente implique une infrastructure reconnue et ne peut pas être déplacée simplement parce qu'une partie privée signe une demande. Mais un déplacement de bureau d'enregistrement ne devrait pas laisser le titulaire sans voie visible pour la continuité du DNS inverse. Le registre peut enregistrer quel bureau d'enregistrement coordonne le service de délégation, si un changement est en attente, si les anciens serveurs de noms restent dans une période de grâce, et si le composant DNS inverse est contesté.

Le but n'est pas de faire de chaque service dépendant une partie du registre racine. C'est de s'assurer que la portabilité a des garde-fous. Un déplacement de titulaire devrait comporter une liste de contrôle des dépendances: RDAP, RPKI, DNS inverse, contacts d'abus, statut public, avis client, avertissements de données obsolètes et retour en arrière. Un bureau d'enregistrement qui ne peut pas gérer ces dépendances ne devrait pas être qualifié pour la portabilité en direct.

Les transferts et les déplacements de bureau d'enregistrement nécessitent des verrous différents

Un transfert de titulaire et un déplacement de bureau d'enregistrement sont des événements différents. Un transfert change qui contrôle ou est reconnu pour la ressource. Un déplacement de bureau d'enregistrement change le fournisseur de services qui maintient ou publie l'enregistrement pour le titulaire. Confondre les deux crée un risque évitable. Un acteur malveillant pourrait déguiser un transfert en déplacement de service. Un bureau d'enregistrement en place pourrait déguiser un refus de portabilité de service en préoccupation sur la propriété.

Un prêteur pourrait mal interpréter un changement de bureau d'enregistrement comme une détérioration de garantie.

Le registre IANA devrait donc utiliser des verrous différents. Un verrou de transfert devrait protéger contre un changement non autorisé du statut de titulaire. Il devrait exiger une autorité du vendeur ou du prédécesseur, une identité de l'acheteur ou du successeur, des preuves de transaction protégées, des vérifications de litige et des conditions d'achèvement. Un verrou de déplacement de bureau d'enregistrement devrait protéger contre un changement non autorisé de fournisseur de services.

Il devrait exiger une instruction du titulaire, une qualification du bureau d'enregistrement receveur, un avis de service sortant, une transition de dépendance et un calendrier de retour en arrière.

Les verrous devraient être visibles sans surexposer les conditions privées. Le statut public peut dire "déplacement de bureau d'enregistrement en attente" ou "transfert de titulaire en attente" avec des horodatages, le bureau d'enregistrement responsable et un indicateur de litige. Il n'a pas besoin de divulguer le prix ou les détails du contrat. Si un tribunal ou une autorité compétente suspend l'événement, le registre devrait dire la classe de suspension et l'effet public.

Des verrous différents améliorent également l'audit. Un transfert contesté peut être analysé comme une chaîne d'autorité et de preuves de transaction. Un déplacement de bureau d'enregistrement contesté peut être analysé comme une instruction du titulaire et une continuité de service. Les preuves sont différentes. Le recours est différent. L'impact sur les clients est différent. Un registre mince qui sépare les événements donne aux auditeurs et aux parties prenantes de meilleurs signaux.

C'est une amélioration directe par rapport au verrouillage régional. Dans l'ancien modèle, un titulaire peut devoir garder le service de bureau d'enregistrement avec la même institution qui examine un transfert ou un litige. Cette institution peut devenir à la fois le gardien des enregistrements et le gardien pratique. Un modèle de portabilité permet au service de se déplacer à moins qu'un verrou défini ne s'applique. C'est la différence entre protéger l'unicité et protéger un bureau.

L'espace hérité et l'IPv6 ne devraient pas être des après-pensées

Tout registre de portabilité qui ne fonctionne que pour les allocations récentes propres échouera face à l'Internet réel. Les enregistrements IPv4 hérités, l'espace d'adressage récupéré, les anciennes histoires d'entreprise, les traces de registres nationaux, les fusions, l'IPv6 indépendant du fournisseur, les changements de numéros AS et les réallocations partielles créent tous des cas limites. Le registre racine doit les gérer sans ni effacer l'histoire ni geler les titulaires en place pour toujours.

L'IPv4 hérité est le plus difficile car les preuves peuvent précéder les accords modernes. Le registre IPv4 de l'IANA marque encore de nombreux /8 ou parties comme hérités ou administrés par les registres actuels. Un registre de l'ère de la portabilité ne devrait pas prétendre que chaque revendication héritée a le même dossier de preuve qu'une allocation RIR moderne. Il devrait classer le type de preuve, l'âge, la continuité, le statut du litige et le fournisseur de services responsable. Il devrait permettre des preuves plus fortes au fil du temps sans réécrire l'histoire originale.

L'IPv6 ne devrait pas être traité comme exempt de risque de gouvernance simplement parce que l'espace d'adressage est vaste. Les allocations IPv6 dépendent toujours d'un enregistrement précis, d'une autorisation de routage, d'un DNS inverse, de l'approvisionnement des clients et de la continuité opérationnelle. La portabilité régionale pour l'IPv6 peut ne pas avoir le même prix de rareté que l'IPv4, mais elle porte la même dépendance à un état public cohérent. Un registre qui ne protège que l'IPv4 rare recréerait la fragmentation dans la couche suivante.

Les numéros AS nécessitent également un traitement minutieux. Le registre des numéros AS de l'IANA enregistre les plages attribuées par les RIR et pointe vers les services pertinents. Les ASN sont de petits identifiants avec une grande importance de routage. Un déplacement de bureau d'enregistrement pour un ASN devrait préserver le contact d'abus, les preuves d'identité de routage, le matériel lié à RPKI le cas échéant et la continuité face au client. Un statut de numéro AS courant en double serait aussi inacceptable qu'un statut d'adresse en double.

La NRS peut renforcer son plaidoyer positif en exigeant que ses propositions abordent ces classes difficiles. Un véritable service de portabilité exploité par un fournisseur autorisé ne doit pas choisir les ressources les plus propres. Il documente l'incertitude, accepte différents types de preuves, rejette les chevauchements et donne aux titulaires une voie pour améliorer leur preuve. C'est ainsi qu'un registre devient plus précis au fil du temps sans devenir punitif.

La continuité d'urgence devrait être visible et temporaire

La portabilité régionale est en partie une réforme ordinaire du choix de service et en partie une réforme de sécurité d'urgence. Un titulaire devrait pouvoir quitter un mauvais bureau d'enregistrement en période normale. Une communauté devrait également avoir un moyen de préserver le service si un bureau d'enregistrement ou un RIR ne peut pas fonctionner. Les deux cas devraient être liés mais pas identiques.

Le texte de gouvernance du NRO discute de la continuité d'urgence lorsqu'un RIR ne peut pas fournir adéquatement des services à sa région et permet des arrangements temporaires impliquant d'autres RIR et ICANN. Un registre de l'ère de la portabilité peut rendre ces arrangements plus sûrs en enregistrant l'opérateur d'urgence, l'ensemble de ressources affecté, l'heure de début, la base de l'autorité, les limites de service, la date de révision et la condition de restitution. Le service d'urgence ne devrait pas devenir une prise de contrôle sans examen.

La NRS devrait soutenir le même principe. Si un bureau d'enregistrement qualifié fait défaut, les enregistrements du titulaire ne devraient pas disparaître avec l'institution. L'échec du plaidoyer ou des services d'adhésion de la NRS ne devrait avoir aucun effet sur l'état du registre faisant autorité. Le séquestre, les points de contrôle témoins, l'exportation de preuves, la sélection du successeur et l'opération d'urgence limitée devraient permettre à un autre bureau d'enregistrement qualifié de servir le titulaire pendant que la défaillance est examinée.

Le registre racine devrait enregistrer l'état d'urgence afin que les parties prenantes sachent qu'elles voient une continuité temporaire plutôt qu'un transfert commercial.

La continuité d'urgence doit également protéger les titulaires contre l'opportunisme. Une crise est le moment le plus facile pour une institution puissante d'étendre son autorité. Le registre racine devrait exiger un ensemble affecté étroit, une raison énoncée, une limite de temps, un examen indépendant et une décision de restitution ou de transition. Un opérateur temporaire devrait préserver les enregistrements et les services, ne pas trancher les litiges politiques non liés ou réécrire les droits.

C'est là que le registre IANA peut empêcher la portabilité de devenir un chaos. En période normale, il enregistre le choix du bureau d'enregistrement. En crise, il enregistre un état de service temporaire limité. Dans les deux cas, il rejette la double allocation courante. Une racine mince n'est pas faible si elle contrôle le bon invariant.

L'audit et la surveillance transforment le registre en infrastructure publique

Un registre que personne ne peut auditer n'est qu'une base de données avec un grand nom. Le registre de portabilité de l'IANA devrait être conçu pour les surveillants, les auditeurs et les titulaires. Les surveillants peuvent vérifier les engagements publics, les pointeurs de service, l'ordre temporel, le chevauchement des intervalles et la cohérence. Les auditeurs peuvent examiner les preuves protégées sous autorité. Les titulaires peuvent exporter leur propre historique d'événements et prouver la continuité aux clients ou aux prêteurs.

Les idées de journal de transparence peuvent aider. LeRFC 9162définit les têtes d'arbre signées, les preuves d'inclusion et les preuves de cohérence pour les journaux en ajout seul. Un registre de numérotation aurait besoin de ses propres règles, mais la leçon de surveillance est puissante: les engagements publics deviennent plus précieux lorsque des parties indépendantes les comparent et détectent des historiques incompatibles. Un registre racine ne devrait pas dépendre uniquement de l'opérateur disant qu'il a une seule vue.

L'audit devrait inclure les événements négatifs. Les soumissions rejetées, les conflits de chevauchement, les revendications contestées, les suspensions d'urgence, les points de terminaison obsolètes, les échecs de qualification du bureau d'enregistrement et les erreurs corrigées sont tous des preuves de santé institutionnelle. Un système qui ne publie que les achèvements propres cache le dénominateur. Si un bureau d'enregistrement soumet de nombreux changements rejetés, les parties prenantes devraient connaître la catégorie. Si un opérateur racine retarde de nombreuses mises à jour de statut, le service nécessite un examen.

Les titulaires ont besoin de leurs propres enregistrements. Un droit de portabilité est incomplet si le titulaire ne peut pas emporter les reçus d'événements, les références de preuves protégées, l'historique du statut public et les avis de dépendance vers un autre bureau d'enregistrement. L'exportation devrait être standard, vérifiable et utilisable par les auditeurs. Elle devrait survivre à une défaillance institutionnelle. Elle ne devrait pas nécessiter la divulgation publique de chaque document confidentiel.

La thèse positive de la NRS devient plus forte lorsque l'audit est traité comme une infrastructure client. Un titulaire choisissant un bureau d'enregistrement ne choisit pas seulement un service d'assistance. Il choisit la qualité des preuves qui seront utilisées dans les transferts, les finances, les achats, l'intégration cloud, la réponse aux litiges et le service d'urgence. La concurrence des bureaux d'enregistrement devrait donc être une concurrence sur les enregistrements vérifiables.

La promesse anti-fragmentation

La promesse anti-fragmentation est simple: la portabilité ne doit pas créer de double allocation. Elle devrait réduire le verrouillage institutionnel tout en renforçant l'enregistrement mondial. Cette promesse n'est crédible que si chaque événement de portabilité passe par un engagement de statut racine qui peut rejeter les chevauchements et préserver l'histoire.

C'est pourquoi un registre racine est différent d'un réseau de rumeurs fédéré. Les bureaux d'enregistrement peuvent détenir des fichiers riches. Ils peuvent signer des reçus. Ils peuvent maintenir des tableaux de bord clients, des coffres de preuves privés et des historiques de support. Mais l'Internet public a besoin d'un signal final d'état actuel. Si deux bureaux d'enregistrement sont en désaccord, le registre racine doit montrer le désaccord, pas choisir le silence ou publier les deux comme propres.

La promesse limite également l'IANA. L'IANA ne devrait pas utiliser le registre racine pour décider si le modèle économique d'un titulaire est souhaitable, si un prix était trop élevé, si un bloc d'adresses est moralement inactif, ou si un réseau devrait annoncer une route. Ces questions appartiennent aux contrats, aux tribunaux, aux marchés, aux opérateurs et aux organes politiques le cas échéant. La racine protège l'unicité et le statut, pas chaque revendication d'intérêt public qui peut être attachée à une ressource rare.

Cette limite est également bonne pour la NRS. Si la NRS veut un monde où les titulaires peuvent quitter les registres défaillants, elle ne devrait pas concevoir une racine qui devient impossible à quitter. La racine devrait être remplaçable par des arrangements successeurs définis, surveillée de l'extérieur et contrainte par des normes publiques. La couche d'enregistrement devrait être plurielle. Les enregistrements du titulaire devraient être portables. Tout l'intérêt est de protéger le registre, pas le gardien.

En ce sens, la portabilité régionale n'est pas une menace pour la fonction d'unicité de l'IANA. C'est une exigence que l'unicité soit exprimée plus proprement. Au lieu d'utiliser la région comme un proxy pour le contrôle, le système peut utiliser un engagement racine mondial pour le statut actuel et des bureaux d'enregistrement qualifiés pour le service. La région peut encore compter pour le droit, la langue, la sensibilisation et la politique. Elle ne devrait pas être la prison du titulaire.

La qualification du bureau d'enregistrement est une condition continue

La couche d'enregistrement ne peut pas être un club unique. Un bureau d'enregistrement de numéros qualifié ne devrait rester qualifié que tant qu'il prouve les capacités sur lesquelles le registre racine s'appuie. Cela signifie des tests continus pour la sécurité, la disponibilité du service, l'examen des preuves, la gestion des conflits, l'avis client, le support de transition RPKI, la coordination DNS inverse, la garde des preuves protégées, la coopération à l'audit et l'exportation. La qualification devrait diminuer si ces capacités diminuent.

La qualification continue résout un problème que les anciens modèles de reconnaissance créent souvent. Une fois qu'un registre régional est reconnu, la perte de statut devient si perturbatrice que le système hésite à l'utiliser. La conséquence pratique est que la reconnaissance peut devenir permanente même lorsque les performances se détériorent. Un modèle de bureau d'enregistrement modulaire peut être moins fragile. Un bureau d'enregistrement pourrait conserver la qualification de service RDAP ordinaire tout en perdant l'autorité de traiter les transferts de titulaires à haut risque.

Un autre pourrait conserver le statut de preuve supplémentaire tout en perdant le statut de portabilité en direct jusqu'à ce qu'une révision de sécurité soit terminée.

Le registre racine devrait donc enregistrer les classes de qualification du bureau d'enregistrement. Un bureau d'enregistrement peut être qualifié pour le service d'enregistrement public, la garde des preuves du titulaire, les déplacements de bureau d'enregistrement, le support de transfert, le support RPKI, la coordination DNS inverse, la continuité d'urgence ou la preuve de litige protégée. Les classes devraient être publiques car les parties prenantes ont besoin de savoir si un bureau d'enregistrement agit dans le cadre de son autorité.

Un bureau d'enregistrement qualifié pour maintenir les données de contact ne devrait pas automatiquement être qualifié pour gérer une transition d'urgence.

La qualification devrait également inclure la continuité financière et institutionnelle, mais sans devenir une barrière conçue pour préserver les titulaires en place. Un petit bureau d'enregistrement peut être sûr s'il dispose d'un séquestre solide, d'un périmètre limité, d'un audit externe, de contrôles de sécurité propres et d'un plan de restitution testé. Un grand bureau d'enregistrement peut être dangereux s'il est opaque, en conflit d'intérêts ou lent à corriger les erreurs. La taille est une preuve, pas un substitut à la preuve.

La NRS peut apporter une contribution précoce en proposant une qualification basée sur les classes plutôt qu'une reconnaissance tout-ou-rien. Cela permettrait à l'Internet de tester de nouveaux services sans leur confier tous les risques à la fois. Cela rendrait également les services en place plus responsables car leurs propres pouvoirs pourraient être décrits par classe. Si un RIR actuel fonctionne faiblement dans une catégorie de service, le recours peut cibler cette catégorie au lieu de menacer l'ensemble de l'institution.

Le principe de condition continue devrait être strict concernant les preuves. Les bureaux d'enregistrement devraient publier des métriques de service, des attestations de sécurité, des catégories d'incidents, la latence de correction, le succès d'exportation, les nombres de litiges, les tentatives de conflit rejetées et les résultats d'audit. Ils ne devraient pas être autorisés à se cacher derrière des revendications générales de légitimité communautaire. La qualification est une condition au présent. Elle est gagnée de manière répétée.

Le registre peut améliorer la finance et la diligence des clients sans devenir un régulateur de marché

Les enregistrements IPv4 rares apparaissent déjà dans les transactions, les discussions de financement, les questions d'assurance, l'intégration cloud, les achats d'entreprise et les examens de fusion. Un registre de l'ère de la portabilité affecterait ces marchés même s'il n'énonce jamais de prix. Ce n'est pas une raison pour éviter le registre. C'est une raison pour garder son rôle étroit.

Pour la finance, le signal utile n'est pas que l'IANA ou la NRS valorise un préfixe. Le signal utile est qu'un prêteur ou un acheteur peut vérifier le statut actuel, la responsabilité du bureau d'enregistrement, les indicateurs de litige, l'état de transfert en attente, les verrous de déplacement de service, le risque de transition RPKI et l'historique d'exportation. Un prêteur n'a pas besoin que la racine certifie la valeur de la garantie. Il a besoin de preuves que l'état d'enregistrement peut être localisé, vérifié et maintenu si l'emprunteur change de bureau d'enregistrement ou entre en difficulté.

Pour les clients, le signal utile est la continuité. Un acheteur de service géré, un client cloud ou une agence du secteur public veut savoir si les adresses soutenant un service sont susceptibles de rester joignables et responsables à travers un changement d'entreprise, un déplacement de bureau d'enregistrement ou un litige. Le registre peut montrer que la ressource a un bureau d'enregistrement actuel, qu'un changement est en attente, qu'aucun statut en double n'a été accepté et que les transitions de service dépendant ont un état public. Il ne devrait pas décider si le contrat du client est bon.

Pour les courtiers et les parties au transfert, le signal utile est la séparation des événements. Un indicateur de transfert en attente, un indicateur de déplacement de bureau d'enregistrement en attente et un indicateur de litige permettent aux parties d'éviter l'erreur courante de traiter chaque mise à jour de registre comme une preuve de propriété. Ils peuvent négocier autour des conditions de clôture, de la libération du séquestre, des avis clients et du retour en arrière. Le registre fournit le statut; les parties fournissent les conditions commerciales.

Pour les équipes d'abus et de sécurité, le signal utile est la responsabilité. Pendant un déplacement de bureau d'enregistrement, les contacts d'abus et les points de terminaison RDAP peuvent devenir obsolètes. Un statut de registre peut identifier quel bureau d'enregistrement est responsable de l'enregistrement public actuel et si une transition est en cours. Cela réduit les escalades inutiles sans faire de la racine un tribunal des abus ou du contenu.

Ces avantages dépendent du refus de la tentation du régulateur de marché. La racine ne devrait pas enregistrer le prix de vente comme condition de statut. Elle ne devrait pas juger si un titulaire "utilise" un préfixe efficacement. Elle ne devrait pas imposer de conditions de financement. Elle ne devrait pas favoriser les clients qui peuvent se permettre des services de bureau d'enregistrement premium. Elle devrait fournir un état public fiable afin que d'autres marchés puissent prendre leurs propres décisions avec moins de risques cachés de registre.

La thèse positive de la NRS est la plus forte lorsqu'elle dit exactement cela. Payez pour la preuve. Concurrencez sur le service. Gardez la racine commune. Laissez les marchés privés, les tribunaux et les opérateurs utiliser les preuves sans laisser le registre devenir leur maître.

La géographie devrait rester une preuve, pas un emprisonnement

Les registres régionaux ont été construits autour de la géographie parce que le service, la formation de la communauté et l'historique d'allocation précoce avaient une forme régionale. La géographie compte toujours. Le droit, la langue, les forums de litige, les clients du secteur public, la réglementation des télécommunications, le traitement fiscal, l'exposition aux sanctions, la réponse d'urgence et les normes opérationnelles locales peuvent tous affecter un titulaire. Un registre de l'ère de la portabilité ne devrait pas effacer la géographie du dossier de preuve.

Mais la géographie ne devrait pas être la même chose qu'une captivité institutionnelle permanente. Un titulaire constitué dans une juridiction, opérant dans une autre et servant des clients dans plusieurs régions peut avoir de bonnes raisons de choisir un bureau d'enregistrement qui comprend son risque opérationnel réel. Un groupe multinational peut avoir besoin d'un support de service consolidé tout en préservant les enregistrements publics locaux. Un réseau se remettant d'une institution régionale défaillante peut avoir besoin d'une continuité immédiate auprès d'un autre bureau d'enregistrement qualifié.

Dans ces cas, la question devrait être de savoir si le déplacement du bureau d'enregistrement préserve l'unicité et les preuves, pas si une carte a rendu l'ancien bureau inévitable.

Le registre peut gérer la géographie en enregistrant des faits plutôt qu'en imposant le destin. Il peut enregistrer le chemin d'allocation d'origine, la juridiction actuelle du titulaire, les régions de contact opérationnel, l'emplacement du bureau d'enregistrement, le forum de litige applicable le cas échéant, et toute condition de politique régionale qui affecte encore la ressource. Ces faits aident les parties prenantes. Ils n'exigent pas que le titulaire reste avec un seul bureau d'enregistrement pour toujours.

Cette distinction est importante pour l'équité. Les réseaux plus pauvres ou plus petits sont souvent les moins capables d'absorber la défaillance d'un monopole régional. Si la seule réponse à une rupture institutionnelle est la patience, ils paient en perte de clients, en achats retardés, en financement bloqué et en incertitude opérationnelle. La portabilité leur donne une soupape de sécurité. Le registre racine empêche cette soupape de sécurité de devenir un enregistrement en double incontrôlé.

La géographie comme preuve protège également les intérêts publics. Un gouvernement, un tribunal ou un régulateur peut toujours être enregistré lorsqu'il a une pertinence légale. Un déplacement de bureau d'enregistrement n'efface pas une ordonnance judiciaire, une préoccupation de sanctions, une suspension d'insolvabilité ou une dépendance de service public. Il empêche simplement la géographie d'être utilisée comme une raison générique de refuser le choix de service lorsque la condition juridique ou opérationnelle réelle peut être énoncée plus précisément.

La NRS devrait être prudente ici. Son argument positif en faveur de la libre entreprise et du contrôle des titulaires est le plus fort lorsqu'il respecte les faits locaux légitimes tout en rejetant le verrouillage institutionnel inutile. Le registre IANA après la portabilité devrait rendre la géographie visible, révisable et limitée. Il ne devrait pas transformer la géographie en prison, et il ne devrait pas prétendre que la géographie a disparu.

Ce que la NRS devrait demander aux institutions responsables de prouver en premier

La NRS n'a pas besoin de revendiquer ou d'exploiter l'ensemble du système. Elle peut publier un document d'exigences basé sur des sources pour les plus petites pièces utiles et demander aux institutions reconnues de les prouver: un format d'engagement de statut qui sépare l'autorité des preuves supplémentaires; des vérifications de chevauchement déterministes; des reçus d'exportation pour les titulaires émis par les fournisseurs autorisés; et des répétitions de migration menées dans des environnements de test contrôlés.

Cinquièmement, créer un programme de surveillance indépendant qui vérifie les engagements et vérifie les historiques incohérents. Sixièmement, publier les catégories de refus et de litige. Septièmement, divulguer les incidents de sécurité et les tests de récupération. Huitièmement, soutenir un modèle de confidentialité dans lequel les preuves protégées sont engagées et révisables sans être déversées dans la vue publique. Neuvièmement, inviter les registres en place, les opérateurs, les prêteurs, les courtiers, les réseaux cloud et les auditeurs à tester le service sans leur demander d'accepter une autorité complète.

Ces premières preuves changeraient la conversation. Au lieu de débattre de la reconnaissance de la NRS, la communauté pourrait inspecter quelles fonctions les registres reconnus et les fournisseurs autorisés ont démontrées. Un bureau d'enregistrement qui démontre des exportations propres peut gagner une confiance privée pour la diligence raisonnable. Un bureau d'enregistrement qui réussit des répétitions de migration peut gagner une confiance pilote pour les déplacements de service à faible risque. Un bureau d'enregistrement qui soutient un audit robuste peut devenir utile avant même l'intégration formelle à l'IANA.

La même discipline peut ensuite être appliquée au registre IANA final. La reconnaissance peut être modulaire. Un service peut être qualifié pour des preuves supplémentaires, puis pour des essais de pointeurs de service, puis pour des déplacements de bureau d'enregistrement en direct, puis pour un support de continuité d'urgence. Chaque niveau a des tests, une surveillance et des conditions de retrait. C'est ainsi qu'un système à enjeux élevés change sans parier tout l'Internet sur une seule décision politique.

L'affirmation positive de la NRS n'est pas que la confiance devrait être décentralisée en fragments non testables. C'est que le pouvoir de service devrait être décentralisé tandis que l'unicité reste testable mondialement. C'est une réforme cohérente car elle reconnaît que la racine et le bureau d'enregistrement font des travaux différents.

Le registre après la portabilité

Après la portabilité régionale, le registre IANA devrait être ennuyeux dans le meilleur sens. Pour chaque ressource, il devrait dire quel est le statut actuel, quel bureau d'enregistrement est responsable du service, si un transfert ou un déplacement de bureau d'enregistrement est en attente, si un litige ou une condition d'urgence est noté, où les services publics peuvent être atteints, et comment l'historique des événements peut être audité. Il devrait rejeter les contradictions. Il devrait préserver les anciens états. Il ne devrait pas essayer d'être un tribunal, un courtier, une banque, un régulateur ou un opérateur de réseau.

Les bureaux d'enregistrement devraient être intéressants. Ils devraient concurrencer sur le support, l'assurance, la qualité des preuves, la migration, les options RPKI, la coordination DNS inverse, les outils client, la documentation de financement, la navigation dans les litiges et la résilience. Les mauvais bureaux d'enregistrement devraient perdre des clients et la qualification. Les bons bureaux d'enregistrement devraient gagner la confiance. Les titulaires ne devraient pas avoir à dépendre en permanence de la même institution simplement parce qu'une carte régionale les y a assignés une fois.

C'est la forme la plus propre de la thèse de la NRS. L'Internet n'a pas besoin de clientélisme pour préserver l'unicité. Il a besoin d'un engagement racine suffisamment étroit pour être vérifié et suffisamment fort pour empêcher les doublons. Il a besoin de fournisseurs de services qui peuvent être remplacés. Il a besoin de titulaires qui peuvent emporter des preuves. Il a besoin d'auditeurs et de surveillants qui peuvent reconstruire l'histoire. Il a besoin que l'IANA protège le statut commun sans posséder chaque relation en aval.

La portabilité régionale échouera si elle est vendue comme un raccourci pour contourner les preuves. Elle réussira si elle est construite comme une machine à preuves plus solide. Un registre mondial enregistre un engagement de statut. Des bureaux d'enregistrement concurrents servent les clients. Personne n'obtient le droit d'allouer deux fois la même ressource. C'est le marché institutionnel qui mérite d'être construit.

Sources