RIPE NCC: frontière d'application et rareté IPv4

Résumé

RIPE NCC a l'obligation forte de maintenir le registre exact, accessible et juridiquement utilisable, mais cette obligation est plus étroite qu'un mandat de surveiller chaque mauvais acte associé à un détenteur d'adresses.
La frontière d'application est importante car la rareté des IPv4 transforme les actions de registre en transferts économiques importants: une suspension, un blocage de transfert ou un avertissement de radiation peut modifier la valeur des actifs, l'effet de levier des créanciers et la continuité du réseau.
Les vérifications d'identité, l'examen des fraudes, la qualification contractuelle, la conformité aux sanctions, les ordonnances judiciaires, la mise en œuvre des politiques et la joignabilité relèvent du périmètre légitime du registre.
Les abus de réseau, les erreurs de routage, les plaintes de réputation, les défaillances de niveau de service et les litiges commerciaux nécessitent généralement l'acheminement des contacts, la préservation des preuves et des recours externes plutôt que des sanctions du registre.
La conception économique la plus sûre est une frontière étroite avec des classes de déclenchement écrites, une notification, un marquage proportionnel du statut, un appel, une réversibilité lorsque c'est possible et une tendance à éviter de transformer le grand livre en tribunal comportemental.

Une plainte au guichet du registre est un événement économique

Les cas difficiles n’arrivent pas comme une théorie. Ils arrivent sous la forme d’un message d’une société d’hébergement indiquant qu’un concurrent annonce un préfixe contesté. Ils arrivent sous la forme d’une plainte de phishing d’un service de protection des marques qui a déjà écrit à une boîte aux lettres d’abus sans recevoir de réponse. Ils arrivent sous la forme d’un revendeur qui affirme qu’un ancien client a transféré un bloc IPv4 par tromperie, ou d’un créancier qui insiste pour qu’un compte membre soit gelé parce que l’espace d’adressage est le seul actif précieux restant dans une entreprise en faillite. Parfois, ils arrivent par le biais d’un incident de routage public: un préfixe est visible depuis un système autonome inattendu, des filtres sont manquants, un enregistrement RPKI semble obsolète, et le premier réflexe est de demander au Registre Internet Régional de « faire quelque chose ».

Pour RIPE NCC, la première question ne devrait pas être de savoir si la plainte semble sérieuse. De nombreuses plaintes sont sérieuses. La première question est de savoir quel type d’institution est sollicitée pour agir. RIPE NCC maintient la couche d’enregistrement des ressources de numérotation Internet en Europe, au Moyen-Orient et en Asie centrale. Ses documents publics décrivent la base de données RIPE comme un registre d’informations de réseau et de contact. Ses pages de gestion des ressources décrivent les transferts comme des changements de détention. Ses procédures de diligence raisonnable décrivent les vérifications de l’existence, de la validité et de la représentation des parties recevant les ressources. Son document de fermeture et de radiation répertorie les manquements pouvant justifier la résiliation ou la radiation, y compris l’enregistrement incorrect, les informations falsifiées, les demandes frauduleuses, le non-respect des audits et les ordonnances judiciaires néerlandaises. Sa page d’assistance pour le spam, le piratage et le phishing oriente les plaignants vers l’opérateur de réseau concerné, et non vers une promesse que RIPE NCC punira le réseau.

Cette distinction n’est pas de l’ordre de la propreté administrative. Elle relève de l’économie politique. Dans un monde aux adresses abondantes, une erreur de registre pourrait être gênante. Dans un monde où IPv4 est devenue une ressource rare, un blocage de registre peut agir comme un privilège, un gel ou une décote forcée. Il peut empêcher un transfert, obscurcir le titre de propriété, effrayer un prêteur, alarmer les fournisseurs en amont ou pousser un petit opérateur à l’insolvabilité. Même si RIPE NCC ne touche jamais aux paquets, ne filtre jamais une route et ne modifie jamais un routeur, son traitement de l’enregistrement modifie la position de négociation de tous les acteurs autour de cet enregistrement. Une frontière d’application vague modifie donc les prix.

L’expression « frontière d’application » semble aride, mais elle définit qui supporte les pertes lorsque les faits sont contestés. Si un enregistrement est faux, le registre doit le corriger. Si un membre n’existe pas, ne peut être joint, a utilisé des documents fabriqués ou n’a aucun lien contractuel valide avec la ressource, le registre ne peut pas prétendre que le grand livre est sain. Si un tribunal néerlandais ordonne une action, la conformité n’est pas facultative. Si la loi sur les sanctions empêche de fournir un service à une partie, le registre doit respecter la loi. Mais si deux entreprises contestent un paiement, si un opérateur de réseau en accuse un autre de mauvaise sécurité, si une fuite de route embarrasse un pair, ou si un client estime qu’un service d’abus est indifférent, un registre qui transforme ces plaintes en sanctions sur les ressources devient autre chose: un juge des comportements.

Le préjudice économique commence lorsque les acteurs du marché ne peuvent pas identifier à quelle institution ils ont affaire. Une institution de grand livre est censée réduire les coûts de transaction en rendant la détention et la joignabilité lisibles. Un régulateur comportemental impose des normes de conduite et sanctionne les manquements. Un tribunal résout les litiges en fonction des preuves et de la compétence. Un opérateur de réseau gère le trafic. Un marché de la réputation fixe le prix de la confiance. Un registre peut soutenir tout cela en maintenant des enregistrements fiables, mais il ne peut pas les remplacer sans leurs coûts et leurs erreurs. Lorsque la frontière s’estompe, chaque plainte devient une option sur l’espace d’adressage d’autrui. Cette option sera exercée par les concurrents, les créanciers, les plaideurs, les acteurs politiques et les victimes frustrées d’abus. Certains auront raison. Certains auront tort. Tous sauront que la pression du registre est moins chère qu’une procédure régulière ordinaire.

L’obligation de tenue du grand livre est étroite car la ressource est irremplaçable

Le point de départ d’une frontière disciplinée est une description étroite de l’obligation du registre. RIPE NCC enregistre les données d’allocation, d’assignation, de transfert et de contact liées aux ressources de numérotation Internet. Il exploite des services qui aident les membres à gérer ces enregistrements. Il met en œuvre les politiques de ressources élaborées par la communauté RIPE. Il vérifie que les personnes morales ou physiques figurant dans le registre existent, sont dûment représentées et satisfont aux exigences pertinentes. Il maintient les délégations de DNS inverse, les entrées de la base de données du registre et les services de certification liés aux ressources. Il peut contribuer à la qualité du registre, y compris la cohérence entre les enregistrements et le routage observé. Ces fonctions sont puissantes parce qu’elles préservent l’unicité et la confiance au niveau de la couche de coordination.

Ces fonctions ne consistent pas à posséder la vie économique des détenteurs de ressources. Le registre n’exploite pas les réseaux qui utilisent les adresses. Il ne connaît normalement pas les accords commerciaux qui sous-tendent chaque assignation client, chaque litige de peering, chaque plainte d’hébergement, chaque procédure d’insolvabilité ou chaque querelle entre fournisseurs. Il ne se situe pas au bon point de preuve pour décider si un serveur compromis, une campagne de spam ou une erreur de routage démontre une mauvaise foi du détenteur. Il peut voir des symptômes. Il peut maintenir des contacts. Il peut exiger des enregistrements exacts. Il peut préserver le fait qu’un enregistrement est contesté. Mais plus la question s’éloigne de l’identité, de la détention, de l’éligibilité politique et de l’exactitude du registre, plus l’adéquation institutionnelle s’affaiblit.

Cette adéquation institutionnelle est importante parce que les ressources de numérotation Internet ne sont pas de simples fichiers dans une base de données associative. Les adresses IPv4, en particulier, sont des actifs de coordination rares. Leur valeur provient de leur unicité mondiale, de leur routabilité et de leur reconnaissance dans les registres et les systèmes de routage. Un détenteur ne peut pas simplement fabriquer un substitut équivalent après une erreur. Le renumérotage peut prendre des mois, rompre des clients et modifier des contrats. Un fournisseur de cloud ou un réseau d’accès peut déplacer une partie de l’utilisation des adresses en interne, mais un petit opérateur d’hébergement, un FAI régional ou une entreprise de connectivité spécialisée ne le peut souvent pas. Pour un tel membre, un avertissement du registre ou un blocage de transfert n’est pas simplement un rappel à la conformité. C’est un choc pour le fonds de roulement.

C’est pourquoi la maintenance du registre doit être à la fois stricte et délimitée. La rigueur sans frontières devient un pouvoir arbitraire. Des frontières sans rigueur produisent un grand livre corrompu. Il ne s’agit pas de rendre RIPE NCC passif. Un registre passif récompenserait les faux documents, les contacts injoignables, les sociétés écrans, les ressources détournées et les chaînes de transfert fabriquées. Il s’agit de définir les raisons étroites pour lesquelles le pouvoir du registre peut atteindre l’enregistrement de la ressource et les raisons pour lesquelles il ne le devrait pas.

Une distinction utile est à faire entre l’état de l’enregistrement et le comportement du détenteur. L’état de l’enregistrement comprend si la partie enregistrée existe, si elle est correctement nommée, si le représentant autorisé a le pouvoir, si la relation de parrainage existe, si les entrées de ressources pertinentes sont correctement maintenues, si les attributs de contact requis fonctionnent, si les conditions préalables de politique ont été remplies, si un transfert a un consentement valide et si une obligation judiciaire ou de sanction contraint directement le registre. Le comportement du détenteur comprend la manière dont il fixe le prix du transit, la rapidité avec laquelle il répond aux courriels d’abus, si ses clients se comportent mal, s’il a mal configuré des filtres, s’il a contrarié un créancier ou s’il a violé un contrat d’approvisionnement privé. Certains comportements peuvent créer des problèmes d’enregistrement; un transfert frauduleux est à la fois un comportement et un défaut d’enregistrement. Mais le registre doit agir sur le défaut d’enregistrement, et non acquérir une licence générale pour punir le comportement.

Cette distinction préserve l’avantage comparatif du registre. Il dispose de documents, de données de compte, d’historique de registre, de dossiers publics, de formulaires de transfert, de critères politiques et de la capacité de contacter les parties enregistrées. Il lui manque les pouvoirs d’enquête, les procédures contradictoires, la profondeur médico-légale et l’éventail de recours d’un tribunal. Il lui manque le rôle opérationnel au niveau des paquets détenu par les réseaux. Il lui manque l’évaluation des risques orientée marché qu’offrent les banques, les courtiers et les contreparties. La conception propre consiste donc à utiliser les pouvoirs du registre là où il possède une compétence unique et à renvoyer le reste vers les institutions conçues pour le litige.

La rareté transforme les procédures floues en argent réel

La rareté des IPv4 est le multiplicateur. Elle modifie le coût de chaque action ambiguë du registre parce que l’enregistrement de la ressource n’est plus seulement un droit technique. C’est aussi un élément du bilan, un facteur de financement, un outil de fidélisation de la clientèle et, dans de nombreux cas, le principal actif rare d’une entreprise Internet. Le marché public des transferts a rendu cela visible. La page de transfert de RIPE NCC indique qu’un transfert modifie la détention des ressources de numérotation Internet d’une partie à une autre. En termes économiques, ce changement d’enregistrement est le moment où un accord privé devient utilisable au niveau de la couche de coordination. Tout ce qui retarde, obscurcit ou menace ce changement affecte le prix.

Supposons qu’un acheteur ait accepté d’acquérir un bloc auprès d’un membre qui fait également l’objet de plaintes pour abus. Si les plaintes concernent des contacts d’abus injoignables ou des données d’enregistrement fausses, RIPE NCC a un problème de grand livre à traiter. Si les plaintes concernent le comportement des clients en aval, le lien avec le registre est plus faible. Un acheteur qui craint un examen discrétionnaire du registre réduira le prix du bloc. Un vendeur sous pression de trésorerie peut accepter cette décote. Un concurrent peut comprendre l’effet et déposer des plaintes au moment du transfert. Rien de tout cela ne nécessite de corruption. Cela nécessite seulement une incertitude quant à la frontière.

La même logique s’applique aux fermetures. Les procédures publiques de fermeture et de radiation contiennent des avis échelonnés, des périodes de rectification et des conséquences pour les ressources. Ces étapes sont précieuses car elles convertissent le pouvoir institutionnel en temps prévisible. Un membre qui connaît le défaut allégué, la date limite, le remède et la conséquence peut planifier. Un client peut renuméroter s’il le doit. Un acheteur peut décider si le risque est acceptable. Un fournisseur en amont peut faire la différence entre une controverse ordinaire et une radiation imminente. Une application vague effondre cette structure temporelle. Si les membres ne peuvent pas savoir si une allégation deviendra un avertissement, une suspension, un blocage de transfert ou une procédure de radiation, ils évaluent chaque plainte comme un risque extrême.

La rareté modifie également les incitations pour les acteurs extérieurs. Lorsque l’espace d’adressage a de la valeur, le droit de déclencher le doute est précieux. Un créancier peut préférer la pression du registre à un tribunal parce que c’est plus rapide et moins cher. Un concurrent peut préférer une allégation d’abus à la concurrence parce qu’elle peut augmenter les coûts de conformité. Un acheteur peut préférer une plainte à la négociation parce qu’elle affaiblit le vendeur. Un ancien dirigeant peut préférer un blocage à un procès d’entreprise parce que le guichet du registre semble plus accessible qu’un juge. Un acteur étatique peut préférer une pression informelle à une ordonnance formelle. Chacun peut présenter une raison plausible d’intérêt public. Le registre doit encore se demander si l’action demandée relève du périmètre du grand livre.

Il existe un préjudice de second ordre: l’investissement se retire des environnements où le risque administratif n’est pas tarifé. Le déploiement d’IPv6 ne supprime pas ce problème. De nombreux réseaux ont encore besoin d’IPv4 pour les clients, la compatibilité, les services de transition et les applications héritées. Les opérateurs qui investissent dans la sécurité des routes, l’intégration propre des clients et l’hygiène du registre ne devraient pas avoir à s’assurer contre une application imprévisible sur des questions dépassant le cadre de l’enregistrement. Si c’est le cas, la prime de risque pèse le plus lourd sur les petits détenteurs et les nouveaux entrants. Les grandes entreprises peuvent absorber la correspondance juridique, les équipes de conformité et les délais d’attente. Un petit réseau peut perdre un contrat client si un transfert ou une mise à jour est bloqué pendant des semaines.

Des frontières claires augmentent donc la conformité au lieu de l’affaiblir. Les membres sont plus susceptibles de maintenir des enregistrements exacts lorsqu’ils savent que le pouvoir du registre est lié à l’exactitude, à la situation contractuelle, à l’éligibilité politique et à la contrainte juridique. Ils sont moins susceptibles de coopérer lorsque chaque interaction pourrait ouvrir une enquête générale sur la conduite des affaires. Un registre précis peut être ferme. Un registre vague devient à la fois craint et manipulé.

La tentation de faire appliquer les comportements est compréhensible

Plaider pour la retenue n’est pas plaider pour l’indifférence. Les abus de réseau nuisent aux victimes. Les fuites de routes et les détournements peuvent perturber le trafic. Les coquilles frauduleuses peuvent polluer le registre. Les risques de sanctions sont réels. Des données de contact inexactes rendent la coordination coûteuse. Si RIPE NCC refuse toute demande ne relevant pas d’une lecture étroite de ses obligations, le public peut y voir une institution technique se cachant derrière la paperasse pendant que des réseaux malveillants prospèrent. Cette pression politique explique pourquoi la tentation de faire appliquer les règles apparaît.

La tentation a plusieurs sources. Premièrement, le registre est visible. Les victimes d’abus ne peuvent souvent pas identifier un client d’hébergement, un revendeur ou une machine compromise, mais elles peuvent rechercher une adresse IP et trouver un détenteur de ressource. Le registre devient le carnet d’adresses de dernier recours. Deuxièmement, le registre est en amont de nombreuses relations privées. Si RIPE NCC marque un enregistrement, gèle un transfert ou menace de radiation, l’effet se répercute sur les fournisseurs en amont, les clients et les contreparties. Troisièmement, le registre a des coûts d’activation inférieurs à ceux des tribunaux. Un e-mail de plainte est plus facile qu’un litige. Quatrièmement, le langage public de « responsabilité » peut passer de la responsabilité des enregistrements à la responsabilité de tout ce qui se passe derrière une adresse.

Il existe également un problème d’information. De nombreux déclarants d’abus ne comprennent pas la différence entre un registre, un opérateur de réseau, un revendeur d’hébergement et un utilisateur final. Ils voient une base de données publique et supposent que l’opérateur de la base de données peut arrêter le préjudice. Les directives publiques de RIPE NCC sur les abus tentent de corriger cela, en notant qu’il alloue des blocs et peut aider à trouver le contact pertinent, mais n’est pas impliqué dans la manière dont les adresses sont utilisées par les utilisateurs. Cette phrase est plus qu’une instruction d’assistance. C’est une déclaration de frontière.

Les incidents de routage créent une pression différente. Une anomalie BGP visible peut ressembler à un vol. Parfois, c’en est un. Parfois, il s’agit d’une erreur de configuration, d’un enregistrement de route obsolète, d’une fuite client, d’un ROA manquant, d’une politique d’importation erronée ou d’une atténuation temporaire. RIPE NCC dispose d’outils et de services qui peuvent exposer les incohérences, et des vérifications assistées du registre peuvent aider les membres à améliorer les enregistrements, le DNS inverse et les données du registre de routage. Mais l’observation n’est pas une adjudication. Voir une discordance ne prouve pas automatiquement que le détenteur a perdu ses ressources. Un registre qui traite chaque irrégularité de routage comme une infraction de comportement risque de punir les opérateurs pour la réalité bruyante et décentralisée du routage interdomaine.

La pression la plus forte survient lorsque le plaignant est moralement sympathique. Une victime de phishing, un régulateur confronté à un préjudice public ou un réseau subissant des attaques répétées peut avoir raison de dire que la réponse du détenteur est médiocre. Pourtant, la question du registre reste plus étroite: le contact d’abus est-il valide et à jour? La partie responsable est-elle joignable? Les enregistrements sont-ils faux? La ressource a-t-elle été obtenue par fraude? Existe-t-il une ordonnance compétente? Une condition politique a-t-elle été violée? Si la réponse est non, RIPE NCC peut faciliter le contact, documenter le problème et orienter vers les canaux appropriés, mais devrait être réticent à transformer la frustration en sanctions sur les ressources.

Cette retenue peut sembler insatisfaisante. Elle est néanmoins moins coûteuse que l’alternative. Une fois que le registre devient un gardien général des comportements, il doit définir les mauvaises conduites, évaluer les preuves, traiter les défenses, comparer les cas, établir des droits d’appel, faire face aux accusations d’application sélective et supporter les pertes économiques dues aux erreurs. Ce n’est pas une petite extension du support. C’est une institution différente.

L’identité, la fraude et la joignabilité relèvent du périmètre

Le cas le plus solide pour une action du registre n’est pas l’abus; c’est l’identité. Un grand livre qui ne peut pas dire qui détient une ressource, comment ce détenteur est représenté et comment ce détenteur peut être joint n’est pas un grand livre. Le document de diligence raisonnable de RIPE NCC indique que l’organisation effectue des contrôles avant et après l’enregistrement pour maintenir les données d’enregistrement valides et à jour. Il exige la preuve que les personnes morales existent, que les personnes physiques peuvent être identifiées et que les représentants ont autorité. Ce ne sont pas des formalités facultatives. C’est la base sur laquelle le reste du système fait confiance à l’enregistrement.

La fraude relève également du périmètre lorsqu’elle affecte l’enregistrement. Si une partie a utilisé des documents d’entreprise falsifiés, de faux papiers d’identité, des déclarations de besoin trompeuses, des informations de réseau fabriquées ou un consentement de transfert non autorisé, l’enregistrement du registre est contaminé. Agir sur cette contamination n’est pas une dérive de mission comportementale. C’est une réparation du grand livre. L’objectif économique est d’empêcher que l’espace d’adressage ne soit blanchi par une fausse identité, puis vendu à des acheteurs de bonne foi ou utilisé pour créer un levier de négociation contre le véritable détenteur.

La joignabilité relève également du périmètre, mais elle doit être traitée avec prudence. Une boîte aux lettres d’abus valide et un contact responsable sont des exigences du registre car ils réduisent les coûts de coordination. La procédure publique de fermeture et de radiation fait référence aux données qui doivent permettre à RIPE NCC de contacter la partie responsable dans un délai raisonnable, et à un attribut de boîte aux lettres d’abus valide lorsqu’il est référencé. Cela donne à RIPE NCC une base légitime pour exiger une correction lorsque les contacts sont manquants, invalides ou à plusieurs reprises inexacts. Cela ne donne pas un chèque en blanc pour punir un détenteur parce que le plaignant n’aime pas la qualité de la réponse. Un contact valide peut être inutile. Une réponse inutile peut être commercialement ou moralement peu attrayante. Ce n’est pas nécessairement un défaut du registre.

La distinction peut être exprimée sous forme de test pratique. RIPE NCC peut-il vérifier le problème en utilisant les faits du registre, les documents contractuels, les données de compte, les critères politiques et les tentatives de contact direct? Le membre peut-il corriger le défaut en rectifiant les enregistrements, en prouvant son identité, en rétablissant sa situation contractuelle, en mettant à jour ses contacts ou en fournissant des preuves manquantes? Le remède améliore-t-il le grand livre plutôt que de punir un comportement sans rapport? Si oui, le problème relève probablement du périmètre. Si le remède proposé est de retirer des ressources parce qu’un tiers allègue un comportement nuisible, le problème est probablement en dehors, à moins que le comportement ne prouve une fraude, de faux enregistrements, une violation de politique ou une obligation légale contraignant le registre.

Ce test protège également le marché. Les acheteurs, les prêteurs et les opérateurs ont besoin d’avoir confiance que les enregistrements du registre signifient quelque chose. Si les fausses identités peuvent persister indéfiniment, les marchés d’adresses deviennent des marchés de risque. Si les détenteurs injoignables peuvent ignorer les enregistrements, le coût de la coordination augmente pour tous. Si les demandes frauduleuses ne sont pas annulées, la valeur de rareté des IPv4 récompense la tromperie. Une diligence raisonnable ferme soutient donc la liquidité. Le problème n’est pas un contrôle d’identité fort. Le problème est de laisser le contrôle d’identité devenir un véhicule pour des accusations sans rapport.

Un périmètre d’identité étroit devrait être procédural, et non un théâtre discrétionnaire. RIPE NCC devrait préciser quelles preuves sont requises, quel défaut a été constaté, quel enregistrement doit être corrigé, quel délai s’applique et ce qui se passe si le membre y remédie. Plus la question repose sur un comportement externe, un motif ou des faits privés hors de la compétence du registre, plus le registre devrait rechercher une ordonnance judiciaire, une voie arbitrale, un ancrage politique clair ou une note de statut limitée plutôt qu’une sanction sur les ressources. L’identité est une porte. Elle ne devrait pas devenir une trappe.

Les sanctions et les ordonnances judiciaires sont différentes de la pression privée

La contrainte juridique relève d’une catégorie différente de la pression privée. RIPE NCC est basé aux Pays-Bas et doit se conformer à la loi applicable. Ses documents publics comprennent des rapports de transparence sur les sanctions et des procédures pour traiter les demandes, ordonnances et enquêtes des autorités répressives. Son document de fermeture et de radiation indique que si un tribunal néerlandais ordonne la radiation de ressources spécifiques, RIPE NCC doit et va s’y conformer. Il ne s’agit pas d’efforts discrétionnaires pour façonner le comportement des membres. Ce sont des contraintes qui pèsent sur le registre en tant que personne morale.

La frontière économique ici est toujours importante. Une sanction ou une ordonnance judiciaire est un acte juridique externe avec une autorité, une portée et une voie de contestation identifiables. Une plainte privée ne l’est pas. Si une banque, un concurrent, un client ou un demandeur étranger demande à RIPE NCC de geler un enregistrement sans ordonnance contraignante, la demande peut sembler similaire dans son effet pratique, mais elle ne l’est pas en termes de légitimité. Le registre devrait être extrêmement prudent avant de donner à la pression privée le même effet qu’à la loi.

Les sanctions montrent également pourquoi la transparence est importante. Un registre desservant une région qui comprend l’Europe, le Moyen-Orient et l’Asie centrale sera confronté à des pressions géopolitiques. Certains membres opèrent dans des juridictions sous sanctions. Certains ont des propriétaires, des administrateurs, des clients ou des contreparties qui sont sensibles. Le filtrage de conformité peut créer des cas difficiles: un faux positif, une question de propriété effective, une partie nouvellement inscrite, une partie radiée, un détenteur de ressources avec des filiales légales, ou un membre qui peut recevoir des services limités mais pas d’autres. La frontière devrait être rédigée en termes d’obligation légale et de limitation de service, et non de condamnation morale. Le registre devrait expliquer quelle action était légalement requise, quels services sont affectés, quelles preuves peuvent résoudre le problème et quel recours existe si la classification est erronée.

Les ordonnances judiciaires posent un défi de conception similaire. Une ordonnance judiciaire peut exiger une action, mais le registre doit toujours mettre en correspondance l’ordonnance avec l’enregistrement avec précision. L’ordonnance vise-t-elle le détenteur, la ressource, un transfert, une divulgation, un gel ou une radiation? Émane-t-elle d’un tribunal compétent aux fins de RIPE NCC? Exige-t-elle une action immédiate ou la préservation du statu quo dans l’attente d’un litige? Affecte-t-elle toutes les ressources d’un membre ou seulement un bloc nommé? La précision réduit les dommages collatéraux. Elle limite également l’incitation des plaideurs à rechercher des ordonnances trop larges, car ils savent que le registre n’étendra pas l’ordonnance au-delà de ses termes.

Les litiges privés, en revanche, devraient normalement rester des litiges privés jusqu’à ce qu’ils soient traduits en un instrument juridique compétent ou un défaut d’enregistrement. Un acheteur qui allègue une violation d’un accord de transfert peut avoir une créance. Un créancier qui affirme que les adresses appartiennent à une succession peut avoir une créance. Un ancien dirigeant qui dit qu’une signature n’était pas autorisée peut avoir une créance. RIPE NCC peut préserver les preuves, exiger une preuve d’autorité pour les mises à jour du registre, refuser de finaliser un transfert sans consentement clair, ou observer une ordonnance judiciaire. Il ne devrait pas trancher le conflit de propriété sous-jacent, à moins que la question ne relève directement d’une qualification du registre et que la procédure offre aux parties une voie équitable.

Le principe économique plus large est que la contrainte juridique devrait être coûteuse à obtenir et claire dans sa portée. Ce coût filtre les demandes faibles. Si RIPE NCC offre un soulagement comparable par une pression informelle, le filtre disparaît. Le registre devient alors un substitut bon marché au litige, et l’espace d’adressage rare devient le prix d’une course au guichet du registre.

Les plaintes pour abus nécessitent l’exactitude des contacts, pas des sanctions sur les ressources

Les abus de réseau sont le domaine où le public souhaite le plus souvent une main plus ferme du registre. Le spam, le phishing, l’hébergement de logiciels malveillants, le scan et la fraude causent un préjudice immédiat. La victime voit une adresse IP, trouve un enregistrement de registre et s’attend à ce que l’institution nommée dans la chaîne d’enregistrement mette fin à l’abus. La page d’assistance publique de RIPE NCC trace une ligne: elle peut aider à trouver le contact réseau pertinent, et son rôle est de s’assurer que les contacts d’abus sont valides et à jour; l’opérateur de réseau est responsable du traitement du signalement. C’est la position par défaut correcte.

L’économie est simple. Les abus sont généralement produits par les utilisateurs finaux, les machines compromises, les clients des fournisseurs d’hébergement, les revendeurs ou les infrastructures criminelles qui se déplacent à travers les réseaux. Le registre manque souvent des faits nécessaires pour identifier l’acteur, évaluer les connaissances de l’opérateur, juger de l’adéquation des mesures d’atténuation ou peser des preuves contradictoires. Une sanction sur les ressources à l’encontre du détenteur peut punir la mauvaise partie. Cela peut également créer des incitations perverses. Les opérateurs pourraient cacher des détails, éviter la transparence volontaire ou réduire le service aux clients à haut risque d’une manière qui nuit aux utilisateurs légitimes. Les plaignants pourraient utiliser les signalements d’abus pour perturber leurs concurrents.

Cela ne signifie pas que le registre n’a aucun rôle. Il peut exiger un contact d’abus fonctionnel. Il peut vérifier si l’organisation responsable dans l’enregistrement est réelle et joignable. Il peut encourager une meilleure hygiène des enregistrements. Il peut fournir des outils qui orientent les plaignants vers l’opérateur concerné. Il peut recueillir des preuves qu’un membre maintient à plusieurs reprises des contacts invalides. Si des informations de contact invalides deviennent un défaut du registre, alors une action du registre est appropriée. Mais l’action doit cibler le défaut: mettre à jour le contact, prouver la joignabilité, corriger l’enregistrement de l’organisation, ou faire face à des conséquences liées à des enregistrements inexacts. L’action ne devrait pas être présentée comme une punition pour le spam, à moins que la preuve du spam ne prouve également une violation du registre.

Cette frontière protège à la fois les victimes et les membres. Si RIPE NCC promet plus qu’il ne peut fournir, les déclarants d’abus dépenseront leur énergie au mauvais endroit. Ils pourraient retarder le contact avec l’opérateur, le fournisseur d’hébergement, le bureau d’enregistrement, l’intermédiaire de paiement, l’unité nationale de cybercriminalité ou le tribunal. Un registre qui dit clairement « nous pouvons vous aider à trouver et à valider le contact; nous n’exploitons pas le réseau » réduit les fausses attentes et accélère le dossier vers la partie qui peut agir.

Les cas les plus difficiles sont les non-réponses répétées. Une boîte aux lettres valide qui ne répond jamais est frustrante. Pourtant, la non-réponse n’est pas la même chose que l’invalidité. Le registre peut mesurer la validité: la boîte aux lettres existe-t-elle, accepte-t-elle le courrier et correspond-elle à la ressource enregistrée? Il ne peut pas facilement mesurer l’adéquation: l’opérateur a-t-il enquêté, a-t-il agi assez rapidement, la loi sur la protection de la vie privée a-t-elle limité la divulgation, le signalement contenait-il des preuves utiles, un client a-t-il contesté l’allégation? Transformer l’adéquation en une obligation du registre nécessiterait une norme de traitement des abus pour tous les membres et les utilisateurs finaux. Cela pourrait faire l’objet d’un débat de politique publique, mais ce n’est pas une simple extension de la maintenance du registre.

Il y a de la place pour une catégorie intermédiaire: signaler sans punir. RIPE NCC pourrait, lorsque la politique le permet et après une procédure définie, marquer le statut de validation des contacts, fournir des voies d’assistance plus claires ou enregistrer que les données de contact ont échoué à la vérification. Ces signaux devraient être factuels, datés, remédiables et limités aux données du registre. Ils ne devraient pas qualifier un réseau d’abusif, ni impliquer une culpabilité dans un litige privé. Dans un marché rare, même une note peut faire bouger les prix. La note devrait donc décrire l’état de l’enregistrement, et non la moralité du détenteur.

Les incidents de routage devraient déclencher une correction, pas une licence morale

Le routage est tentant parce qu’il est visible, technique et proche de la ressource. Une fuite de route peut placer le trafic au mauvais endroit. Un détournement peut être un vol sous forme opérationnelle. Une discordance entre les enregistrements du registre, les données RPKI et les annonces BGP peut suggérer une négligence ou pire. RIPE NCC dispose de services liés au routage et de pages publiques qui encouragent la cohérence, y compris les informations du registre de routage, RPKI et les vérifications assistées du registre. Il peut aider les membres à trouver les discordances entre les enregistrements et les annonces observées. Mais la frontière d’application reste nécessaire.

BGP est un système décentralisé d’assertions, de filtres, de relations de confiance et d’erreurs. Un préfixe peut être annoncé par un AS inattendu en raison d’un cône client, d’une relation de revendeur, d’une atténuation temporaire, d’un problème de serveur de route, d’une entrée obsolète, d’une fuite non autorisée, d’un routeur compromis ou d’un détournement délibéré. L’enregistrement du registre est un élément de preuve. Ce n’est pas l’ensemble du dossier. Si le détenteur enregistré affirme que l’annonce est autorisée, le registre peut encore devoir vérifier si le détenteur est réel et joignable. Si le détenteur est injoignable ou que les enregistrements sont faux, le problème relève du périmètre. Si le détenteur est joignable et dit que la route est un arrangement commercial, le registre doit veiller à ne pas se transformer en tribunal du routage.

RPKI accentue mais n’élimine pas le problème. Un ROA peut indiquer quel AS d’origine est autorisé pour un préfixe. Un ROA manquant, obsolète ou invalide peut affecter les décisions de routage des réseaux qui utilisent la validation d’origine. Pourtant, RPKI est un outil de sécurité et d’autorisation de routage, pas un code de conduite complet. Un membre peut ne pas créer de ROA par prudence opérationnelle. Il peut en créer un de manière incorrecte. Il peut déléguer la certification. Il peut être en transition. La politique de RIPE a également continué d’évoluer autour des fonctions RPKI, y compris les modifications acceptées pour révoquer les autorités de certification déléguées constamment non fonctionnelles après un préavis défini. Ce type de révocation liée à la politique est différent d’une punition ad hoc pour un incident de routage. Il a un déclencheur technique et une procédure spécifiques.

Le rôle approprié du registre dans les incidents de routage est probatoire et correctif. Il peut vérifier si le détenteur de la ressource est la partie dans le registre. Il peut aider à corriger les enregistrements de route, les mainteneurs, le DNS inverse et les données de contact. Il peut offrir des outils pour les vérifications de cohérence. Il peut informer le détenteur des anomalies observées. Il peut coopérer lorsqu’une autorité compétente ou une procédure valide exige une action. Il peut conserver une trace qu’une mise à jour a été demandée ou rejetée. Il ne devrait pas décider automatiquement qu’un événement BGP observé prouve la perte des ressources.

Une raison économique renforce cette retenue. Les litiges de routage sont souvent sensibles au facteur temps. Si une sanction du registre devient un remède standard, les parties chercheront l’intervention du registre pendant des incidents en direct pour obtenir un levier opérationnel. Un plaignant peut demander un blocage de transfert alors qu’une allégation de détournement est encore contestée. Un réseau peut demander une note d’avertissement qui dissuade les pairs d’accepter la route. Un vendeur peut faire face à une offre réduite parce qu’un acheteur estime que l’historique de routage est risqué. Ces résultats peuvent être justifiés dans des cas de fraude évidente, mais pas comme des réponses de routine à des incidents ambigus.

La meilleure frontière est une échelle. Premièrement, établir la joignabilité et l’exactitude des enregistrements. Deuxièmement, informer le détenteur de l’incohérence observée. Troisièmement, fournir ou indiquer des outils de correction. Quatrièmement, si le détenteur est injoignable, que les enregistrements sont faux, que les ressources ont été obtenues frauduleusement ou qu’une condition politique définie est violée, passer à l’application du registre. Cinquièmement, si le litige porte sur le point de savoir si un arrangement de routage commercial est autorisé, exiger que les parties le résolvent par contrat, arbitrage ou tribunal. L’échelle préserve le rôle du registre sans en faire le concédant de tous les comportements de routage.

C’est dans les transferts et les fermetures que le pouvoir discrétionnaire fait bouger les prix

La force économique de la frontière d’application est la plus claire lors des transferts et des fermetures. Les transferts sont la face du registre tournée vers le marché. Un transfert ne se contente pas de mettre à jour un champ administratif; il permet à des ressources rares de changer de détenteur reconnu. La page de transfert publique de RIPE NCC indique qu’il autorise et facilite les transferts et qu’un transfert modifie la détention d’une partie à une autre. Les procédures de fermeture et de radiation, en revanche, définissent la voie par laquelle un membre ou des ressources peuvent perdre leur statut au registre. Ensemble, ces fonctions façonnent la liquidité, le crédit et la continuité.

Tout pouvoir discrétionnaire autour de ces points devrait donc être traité comme sensible aux prix. Un retard de transfert peut modifier un accord. Une demande de documents supplémentaires peut révéler une détresse. Une note de suspicion peut amener un acheteur à renégocier. Un avertissement de fermeture peut déclencher des départs de clients. Une ressource susceptible d’être radiée peut être inutilisable comme garantie. Un membre dont le transfert est bloqué peut perdre les liquidités nécessaires pour résoudre le problème sous-jacent. Parce que ces effets sont prévisibles, les parties tenteront de les utiliser de manière stratégique.

Prenons un litige commercial entre un vendeur et un courtier. Le courtier affirme qu’une commission lui est due et demande à RIPE NCC de ne pas traiter un transfert tant que la facture n’est pas payée. Ce n’est pas une question de registre, à moins que le courtier ne puisse démontrer une autorité sur la ressource, une fraude dans le transfert, un consentement invalide, une ordonnance judiciaire ou un autre défaut d’enregistrement. Si le registre bloque le transfert parce que la demande semble plausible, il a effectivement accordé au courtier une sûreté sur l’espace d’adressage. Cela modifie le pouvoir de négociation sans les garanties du droit du crédit garanti.

Prenons le cas d’une acquisition avortée. Deux administrateurs revendiquent l’autorité de signer les documents de transfert. Ici, le registre a effectivement un rôle, car la représentation et le consentement sont des conditions préalables du registre. Mais le remède devrait être limité: exiger une preuve d’autorité, refuser de se fier à des signatures contestées, préserver le statu quo le cas échéant et dire aux parties quel instrument juridique résoudrait la question. Le registre ne devrait pas trancher le litige commercial plus large, à moins que ses propres documents de procédure et normes de preuve ne permettent clairement une décision.

La fermeture est similaire. Les procédures publiques énumèrent les motifs de résiliation et de radiation, y compris le non-respect des politiques, l’enregistrement incorrect, le non-respect des décisions arbitrales, les événements d’insolvabilité, les informations falsifiées, les demandes frauduleuses et les ordonnances judiciaires. Ces catégories sont liées à la relation de registre. Elles ne constituent pas un catalogue général de mauvais comportements. Les périodes de préavis échelonnées dans la procédure sont précieuses car elles donnent aux membres le temps de remédier, aux clients le temps de planifier et au marché un sentiment de séquence. Un pouvoir large et vague de résilier pour malaise de réputation détruirait cette valeur.

Les litiges commerciaux ne devraient pas être blanchis par le registre

Les litiges commerciaux sont l’ennemi naturel d’une frontière d’application propre. L’espace d’adressage se situe à l’intersection des contrats de service, des acquisitions, des relations d’hébergement, des chaînes de revendeurs, des montages financiers et de l’insolvabilité. Lorsqu’un accord échoue, l’enregistrement du registre devient un levier attrayant. La partie qui peut ralentir un transfert, jeter le doute sur l’autorité ou menacer la continuité peut gagner davantage de la pression du registre que d’une victoire devant les tribunaux.

Le registre devrait donc traiter les réclamations commerciales privées comme étant en dehors du périmètre, à moins qu’elles ne se manifestent comme des défauts d’enregistrement. Un litige de paiement n’est pas un défaut d’enregistrement. Une violation d’un contrat d’hébergement n’est pas un défaut d’enregistrement. Un désaccord sur qui doit supporter les coûts de renumérotage n’est pas un défaut d’enregistrement. Une commission de courtage impayée n’est pas un défaut d’enregistrement. Une allégation selon laquelle une contrepartie a induit les clients en erreur peut être grave, mais ce n’est pas automatiquement un problème de registre. Le problème de registre commence lorsque l’enregistrement est faux, que le consentement est invalide, que la ressource a été obtenue frauduleusement, que la partie responsable ne peut être jointe, que la condition politique pertinente n’est pas remplie ou qu’une ordonnance compétente ordonne une action.

Cela peut sembler formaliste, mais c’est le seul moyen d’empêcher le registre de devenir un forum privé de recouvrement de créances. Si RIPE NCC gèle des ressources chaque fois qu’une réclamation commerciale plausible est faite, les créanciers éviteront rationnellement les recours plus lents et s’adresseront directement au registre. Cela réduirait leurs coûts mais augmenterait les coûts du système. Des clients innocents seraient confrontés à l’incertitude. Des acheteurs de bonne foi exigeraient des rabais. Les membres devraient divulguer davantage de documents commerciaux privés pour défendre des mises à jour de routine. Le registre deviendrait un lieu de règlement pour des litiges qu’il ne peut pas enquêter correctement.

L’insolvabilité est un cas particulier car elle peut affecter l’autorité juridique. Si un membre est liquidé, en faillite, insolvable ou n’est plus en mesure d’agir par l’intermédiaire de représentants autorisés, le registre doit savoir qui peut parler pour le détenteur. Les procédures de fermeture publiques reconnaissent les événements d’insolvabilité comme pertinents pour la résiliation dans certains cas. Mais même dans ce cas, le rôle du registre devrait être d’identifier la partie juridiquement autorisée et l’effet sur la relation de registre, et non de décider des priorités des créanciers. Si un bureau d’insolvabilité ou un tribunal fournit une ordonnance compétente, le registre peut agir. Si les créanciers font simplement valoir des intérêts, le registre devrait exiger l’instrument juridique approprié.

Les fusions et acquisitions sont un autre cas particulier. RIPE NCC exige déjà des documents pour les changements de structure d’entreprise et les transferts. Cela est approprié parce que le registre doit savoir si le détenteur légal a changé. Le danger n’est pas l’examen des documents. Le danger est que l’examen des documents s’étende à un jugement sur les mérites commerciaux d’un accord, l’équité de la contrepartie ou les motivations d’un vendeur. Ce sont des questions de marché, à moins qu’elles ne révèlent une fraude ou une autorité invalide.

La frontière peut être protégée par un principe de refus simple: RIPE NCC ne devrait pas accorder à une partie privée un recours par le biais du registre que cette partie ne pourrait pas justifier comme nécessaire pour préserver des enregistrements exacts, un consentement valide, la conformité aux politiques ou une obligation légale. Si l’action demandée vise principalement à faire pression pour un paiement, à punir un mauvais partenaire ou à obtenir un levier de négociation, elle relève d’ailleurs. Le registre peut dire non tout en invitant la partie à revenir avec une ordonnance judiciaire, une décision arbitrale ou la preuve d’un défaut d’enregistrement spécifique.

Ce principe de refus n’est pas une hostilité envers les plaignants. C’est une protection pour le marché. Un registre qui refuse de blanchir les litiges commerciaux par le biais des enregistrements de ressources rend le marché des adresses plus prévisible. La prévisibilité réduit les coûts de transaction, soutient les transferts légitimes et empêche le plaignant le plus fort de devenir le propriétaire temporaire du processus.

Les petits membres paient en premier lorsque la frontière est vague

L’application vague est souvent défendue comme de la flexibilité. En pratique, c’est une taxe sur ceux qui ont le moins de capacité à gérer l’incertitude. Les grands membres peuvent engager des avocats, affecter du personnel à la conformité, préparer des dossiers et attendre. Ils peuvent rassurer leurs clients. Ils peuvent remplacer la capacité contestée. Ils peuvent faire remonter le problème par les canaux établis. Les petits membres peuvent être à un ticket non résolu de perdre un contrat de transit, un client d’hébergement ou un acheteur.

L’asymétrie n’est pas seulement financière. Elle est aussi informationnelle. Un grand opérateur sait souvent comment RIPE NCC traite les demandes, quels documents sont attendus et qui peut expliquer un statut. Un petit opérateur peut ne découvrir les règles qu’après l’apparition d’un problème. Si la frontière d’application est principalement écrite dans la mémoire institutionnelle, les précédents et les jugements au cas par cas, le petit opérateur est confronté à un règlement fantôme. Le résultat n’est pas plus de justice. C’est plus de pouvoir de négociation pour ceux qui savent naviguer dans le système.

Cette asymétrie modifie les comportements avant même qu’une action formelle ne soit entreprise. Un petit membre peut régler une réclamation commerciale faible parce qu’un plaignant menace d’écrire au registre. Il peut accepter un prix de transfert inférieur parce qu’un acheteur dit que le risque d’examen du registre est élevé. Il peut supprimer des clients de manière excessive après des plaintes pour abus parce qu’il craint d’être étiqueté comme non coopératif. Il peut éviter de desservir des régions difficiles ou de petits revendeurs parce que le risque de conformité semble illimité. Dans chaque cas, une conception vague de la frontière transfère les coûts sur les acteurs du marché les moins puissants.

La protection des petits membres ne nécessite pas des normes moins élevées. Elle nécessite des normes plus claires. Un petit membre devrait savoir ce qui rend un contact d’abus valide, quels documents prouvent la représentation, ce qui se passe lorsqu’un transfert est contesté, combien de temps un blocage peut durer, qui examine une décision défavorable et quels faits échappent à la compétence de RIPE NCC. Le registre devrait être strict sur les faux enregistrements et généreux pour expliquer les remèdes. Il devrait être lent à déduire la mauvaise foi d’une documentation inhabituelle et rapide à distinguer les documents manquants de la tromperie.

L’équité économique ici n’est pas de la redistribution. C’est l’évitement des coûts de transaction évitables. Lorsque la procédure est claire, même un petit membre peut se conformer. Lorsque la procédure est vague, seule la taille peut acheter la confiance. Un registre jouant un rôle de coordination irremplaçable ne devrait pas faire de la taille la principale défense contre l’incertitude administrative.

La frontière devrait être un ensemble de pouvoirs négatifs

Les institutions définissent souvent ce qu’elles peuvent faire. Pour un registre irremplaçable, il est tout aussi important de définir ce qu’il ne fera pas. Les pouvoirs négatifs sont des engagements de retenue. Ils indiquent aux plaignants, aux membres et aux marchés quelles demandes ne seront pas converties en sanctions sur les ressources sans un déclencheur reconnu. Ils réduisent les plaintes opportunistes en rendant le refus du registre prévisible.

Une frontière d’application étroite pour RIPE NCC comprendrait plusieurs engagements négatifs. Elle ne radierait ni ne suspendrait pas les ressources simplement parce qu’un tiers allègue un abus de réseau, à moins que le cas ne montre également des contacts invalides, de faux enregistrements, une fraude, une violation de politique, une obligation légale contraignante ou un autre défaut de registre défini. Elle ne gèlerait pas les transferts simplement parce qu’un créancier, un courtier ou une contrepartie commerciale prétend qu’une somme est due, à moins que la réclamation n’affecte l’autorité, le consentement, l’exactitude de l’enregistrement ou ne soit appuyée par une ordonnance compétente. Elle ne déciderait pas si un arrangement de routage est commercialement autorisé lorsque le détenteur enregistré est réel, joignable et présente une autorité plausible; elle exigerait que les parties résolvent la réclamation à l’externe. Elle ne traiterait pas la réputation, la pression publique ou l’attention médiatique comme un motif indépendant d’action du registre. Elle n’utiliserait pas d’avertissements vagues là où une note de statut factuelle suffirait.

Ces engagements négatifs ne laisseraient pas RIPE NCC sans défense. Les pouvoirs positifs restent forts: vérifier l’identité, exiger des enregistrements exacts, contrôler l’autorité, valider les contacts, mettre en œuvre la politique acceptée, traiter les transferts, observer la loi sur les sanctions, se conformer aux ordonnances judiciaires, effectuer des audits, corriger les défauts du registre, révoquer ou ajuster les services dans des conditions définies, et utiliser des avis échelonnés pour la fermeture et la radiation. La différence est que chaque pouvoir positif serait lié à une raison de registre.

Les pouvoirs négatifs disciplinent également le langage. Les communications publiques devraient séparer « le détenteur a des données de contact de registre invalides » de « le détenteur est accusé d’abus ». Elles devraient séparer « le transfert manque de preuve d’autorité » de « une partie dit que le transfert est injuste ». Elles devraient séparer « un tribunal a ordonné cette action » de « un demandeur l’a demandée ». Elles devraient séparer « un certificat de ressource est révoqué en vertu d’une condition de politique technique » de « le réseau s’est mal comporté ». Sur les marchés de la rareté, le langage devient un élément de l’application.

Le registre pourrait opérationnaliser la frontière par des classes de déclenchement. Classe un: identité et existence. Classe deux: autorité et consentement. Classe trois: éligibilité et mise en œuvre des politiques. Classe quatre: exactitude des données du registre et joignabilité. Classe cinq: fraude ou informations falsifiées affectant l’enregistrement. Classe six: situation contractuelle avec RIPE NCC ou un LIR parrain. Classe sept: sanctions ou autre contrainte juridique. Classe huit: ordonnances judiciaires ou arbitrales reconnues par la procédure pertinente. Classe neuf: services techniques de registre avec des déclencheurs techniques définis, comme les conditions de certification ou de DNS inverse. Les plaintes en dehors de ces classes recevraient des conseils de contact, la conservation de la correspondance pertinente et une déclaration indiquant que des recours externes sont nécessaires.

La procédure régulière est un instrument économique, pas une décoration

La procédure régulière est souvent abordée sous l’angle de la légitimité. Dans l’économie du registre, c’est aussi un instrument pour réduire le gaspillage. Les avis, les catégories de preuves, les périodes de remède, les voies de recours et les décisions motivées réduisent le coût de l’incertitude. Ils permettent aux membres de résoudre les problèmes avant que la valeur ne soit détruite. Ils permettent aux clients de planifier. Ils permettent aux acheteurs d’évaluer le risque. Ils permettent au registre de distinguer les défauts réels des plaintes stratégiques. Une procédure faible, en revanche, crée des pertes évitables même lorsque la décision finale est correcte.

Le premier élément de conception est la classification. Chaque action défavorable du registre devrait commencer par classer le problème: identité, autorité, joignabilité, fraude, politique, sanctions, ordonnance judiciaire, arbitrage, condition de service technique ou litige privé externe. La classification limite le remède. Un problème de joignabilité reçoit un remède de contact. Un problème d’autorité reçoit un remède de preuve d’autorité. Une ordonnance judiciaire reçoit une action conforme à l’ordonnance. Un litige privé est renvoyé vers une résolution externe. Sans classification, les remèdes dérivent.

Le deuxième élément est un avis qui énonce le défaut d’enregistrement, pas un nuage de suspicion. Un membre ne devrait pas avoir à déduire si le problème est un mauvais rapport d’abus, un transfert contesté, une correspondance avec une sanction, un document manquant ou un faux enregistrement. L’avis devrait dire sur quel fait on s’appuie, quel enregistrement est affecté, quelle action est proposée, quelle preuve peut y remédier, quel délai s’applique et ce qui se passera si le membre ne fait rien. Plus la conséquence économique est forte, plus l’avis doit être clair.

Le troisième élément est la proportionnalité. Tous les défauts ne justifient pas la même réponse. Une erreur typographique dans les données de contact, un enregistrement de route obsolète, un document justificatif manquant, une signature suspectée de faux et une demande frauduleuse confirmée sont différents. Le remède devrait préserver la continuité lorsque c’est possible tout en protégeant le grand livre. Un blocage limité des mises à jour peut suffire. Un blocage de transfert peut être nécessaire en cas d’autorité contestée. Un avertissement public peut n’être justifié que lorsqu’une procédure de radiation définie a commencé. La radiation devrait être réservée aux défauts graves ou aux échecs de remède dans le cadre d’une procédure écrite.

Le quatrième élément est la réversibilité. Certaines actions du registre peuvent être annulées; d’autres ne le peuvent pas complètement. Une note privée, une demande de document ou un blocage temporaire peuvent être réversibles. Un avertissement public peut laisser des résidus de réputation. La radiation, la finalisation d’un transfert et la révocation d’un certificat peuvent avoir des conséquences plus larges. Moins l’action est réversible, plus la norme de preuve et l’exigence de révision devraient être élevées. Ce n’est pas de la mollesse. C’est du contrôle des pertes.

Le cinquième élément est un réexamen indépendant. RIPE NCC dispose de mécanismes d’arbitrage pour certains litiges et d’informations publiques sur les arbitres. Le réexamen ne doit pas nécessairement signifier un litige pour chaque cas, mais les membres devraient avoir une voie crédible pour contester la classification, les preuves et la proportionnalité. Le réexamen est particulièrement important lorsque le registre agit en fonction de sa propre évaluation plutôt qu’en vertu d’une ordonnance judiciaire. Un registre qui peut imposer des conséquences sur des ressources rares sans réexamen significatif invite à la fois l’erreur et les plaintes stratégiques.

Enfin, les délais comptent. Les blocages sans fin sont économiquement coûteux car ils créent une valeur d’option pour les plaignants et de l’incertitude pour les détenteurs. Un blocage devrait avoir une raison définie, une date d’expiration ou de réexamen. Si plus de temps est nécessaire, le registre devrait expliquer pourquoi. Si un demandeur externe a besoin d’une ordonnance judiciaire, le registre peut préserver le statu quo pour une courte période définie uniquement lorsque cela est nécessaire pour éviter un préjudice irréparable à l’enregistrement, et non comme une faveur indéfinie au demandeur. Le temps est un remède. Il ne devrait pas être accordé à la légère.

Une frontière étroite laisse encore de la place pour la sécurité publique

Les critiques d’une frontière étroite peuvent dire qu’elle rend le registre aveugle aux préjudices. Cette critique méconnaît la conception. Une frontière de registre étroite n’empêche pas l’action de sécurité publique; elle aiguille les demandes de sécurité publique vers les institutions ayant l’autorité pour agir. Les autorités répressives peuvent demander des informations, des ordonnances ou d’autres mesures. Les tribunaux peuvent ordonner des actions spécifiques du registre. Les opérateurs de réseau peuvent filtrer, déconnecter, limiter le débit, enquêter et atténuer. Les fournisseurs d’hébergement peuvent supprimer du contenu. Les prestataires de paiement peuvent arrêter les transactions. Les intervenants en cas d’incident peuvent se coordonner. Le registre peut maintenir la couche fiable de contacts et de détention qui permet à ces actions d’atteindre la bonne partie.

Il y a une différence entre permettre l’application et être l’exécuteur. Un registre propre permet l’application par d’autres. Il donne aux tribunaux, aux autorités, aux opérateurs et aux contreparties une carte stable. Si le cartographe devient la police, la carte est politisée. Les parties commencent à faire pression sur le registre non seulement pour corriger la carte mais pour changer le terrain. C’est ainsi qu’une institution de coordination perd sa neutralité.

La sécurité publique peut même être compromise par une application trop large du registre. Les acteurs malveillants peuvent se déplacer plus vite que les enregistrements formels. Si l’application se concentre sur les détenteurs de ressources plutôt que sur les acteurs opérationnels, les intermédiaires innocents peuvent absorber les pertes pendant que les criminels migrent vers d’autres infrastructures. Des sanctions trop larges peuvent décourager les réseaux d’enregistrer des assignations précises de clients ou de coopérer avec les chercheurs, car la visibilité devient un passif. Si chaque incident signalé menace l’enregistrement de la ressource, les membres sont incités à minimiser les détails enregistrés. Un registre qui se concentre sur des enregistrements exacts encourage des informations plus utiles.

Il y a, bien sûr, des cas limites. Un détenteur de ressources qui fournit à plusieurs reprises de fausses informations sur l’utilisation du réseau pour obtenir des ressources n’est pas simplement un réseau avec de mauvais clients. Il a attaqué le registre. Un détenteur qui maintient des contacts injoignables et ignore la vérification n’est pas simplement lent à traiter les abus. Il a affaibli le grand livre. Un détenteur qui défie une ordonnance contraignante ne peut pas se cacher derrière la neutralité. Un détenteur qui utilise des documents de transfert frauduleux ne peut pas exiger la certitude du marché. La frontière étroite couvre tous ces cas. Elle exige simplement que le registre nomme la raison de registre.

À quoi la frontière devrait ressembler en pratique

Une frontière d’application pratique peut être décrite à travers le traitement des cas. Lorsqu’une plainte arrive, RIPE NCC devrait d’abord identifier l’action de registre demandée. Le plaignant demande-t-il des informations de contact, une validation, un blocage de transfert, un avertissement dans la base de données, une suspension, une radiation, une divulgation, une action sur un certificat ou simplement une réponse du détenteur? Les demandes qui ne visent pas une action de registre peuvent souvent être traitées par des conseils d’assistance. Les demandes qui visent une action de registre nécessitent une classification.

L’étape suivante consiste à se demander si la plainte allègue un défaut d’enregistrement. Les mots « abus », « détournement », « fraude », « vol » et « violation » ne sont pas auto-classifiants. Un signalement de phishing peut alléguer seulement une mauvaise conduite du client. Une allégation de détournement peut alléguer un faux enregistrement de route ou un compte volé. Une allégation de fraude peut alléguer un consentement de transfert falsifié. Une allégation de vol peut alléguer qu’un ancien dirigeant n’avait pas autorité. Le registre devrait traduire la réclamation en termes d’enregistrement avant d’agir: Quel enregistrement est faux? Quelle autorité est invalide? Quel contact a échoué? Quelle condition politique est violée? Quelle ordonnance s’applique?

Viennent ensuite les preuves. Les preuves du registre comprennent les enregistrements de compte, les accords signés, les documents d’entreprise, les vérifications d’identité, les enregistrements d’autorisation, l’historique du registre, les tentatives de validation des contacts, les formulaires de transfert, la correspondance d’audit, les critères politiques et les ordonnances compétentes. Les preuves techniques externes peuvent être utiles, mais elles doivent être mises en correspondance avec une question de registre. Un collecteur BGP montrant une origine inattendue est une preuve d’un événement de routage. Ce n’est pas, en soi, une preuve de détention invalide. Des captures d’écran de spam sont des preuves d’abus. Elles ne sont pas, en elles-mêmes, une preuve que le contact enregistré est faux. Une ordonnance judiciaire est une preuve de contrainte juridique, mais le registre doit encore en délimiter la portée.

Le remède devrait être l’action la plus étroite qui protège le grand livre. Si les données de contact sont invalides, exiger une correction et une validation du contact. Si l’autorité est contestée, suspendre la mise à jour concernée pendant que les parties fournissent une preuve d’autorité ou une ordonnance judiciaire. Si l’identité est fausse, suspendre le chemin de compte nécessaire pour empêcher d’autres fausses mises à jour et entamer la procédure définie de correction ou de fermeture. Si une demande de transfert est frauduleuse, la rejeter et examiner les conséquences pour la partie demanderesse en vertu de la procédure pertinente. Si une incohérence de routage est observée, notifier et aider avant de la traiter comme une violation. Si un litige privé ne présente pas de défaut d’enregistrement, refuser l’application du registre et orienter vers des recours externes.

Le statut public devrait être utilisé avec parcimonie. Une note dans la base de données peut protéger les tiers, mais elle peut aussi nuire au détenteur. La valeur par défaut devrait être un avis privé, à moins que la confiance du public dans l’enregistrement ne soit matériellement trompeuse. Lorsqu’une note publique est justifiée, elle devrait dire quelque chose comme: « RIPE NCC a engagé la procédure de radiation définie pour cette ressource; voir la date de statut. » Elle ne devrait pas dire: « Ce réseau est abusif » ou « Ce détenteur fait l’objet d’une enquête », à moins qu’une ordonnance judiciaire publique ou un cadre politique ne l’exige spécifiquement. Les faits, les dates et la procédure protègent mieux les utilisateurs que les insinuations.

Le test est de savoir si le grand livre est protégé ou utilisé

La façon la plus simple de contrôler la frontière est de se demander si l’action proposée protège le grand livre ou utilise le grand livre. Protéger le grand livre signifie s’assurer que les enregistrements sont vrais, que les contacts fonctionnent, que les ressources sont détenues par des parties éligibles et identifiables, que les transferts ont un consentement valide, que les politiques sont mises en œuvre et que les obligations légales sont respectées. Utiliser le grand livre signifie faire pression par le biais des enregistrements pour changer un comportement que le registre n’est pas institutionnellement conçu pour juger.

Ce test ne résout pas tous les cas, mais il révèle les enjeux économiques. Si une victime de spam demande à RIPE NCC d’identifier le contact d’abus, le grand livre est utilisé pour son objectif prévu: réduire les coûts de recherche. Si la victime demande à RIPE NCC de radier le détenteur parce qu’il n’a pas répondu rapidement, le grand livre est utilisé comme punition pour un comportement. Si un acheteur demande à RIPE NCC de vérifier l’autorité de transfert, le grand livre est protégé. Si l’acheteur demande à RIPE NCC de retarder un transfert parce que le vendeur négocie avec quelqu’un d’autre, le grand livre est utilisé. Si une autorité présente une ordonnance contraignante, la conformité protège la situation juridique du registre. Si un acteur privé invoque une pression politique sans ordonnance, le grand livre est utilisé.

Le test clarifie également le rôle de l’incertitude. Lorsque les faits sont incertains, le registre devrait préserver l’état de l’enregistrement, et non maximiser l’effet de levier. Une courte pause définie pour vérifier l’autorité peut protéger le grand livre. Un blocage sans fin pour encourager un règlement utilise le grand livre. Un avis exigeant des preuves de contact mises à jour protège le grand livre. Une menace vague liée à une allégation d’abus utilise le grand livre. Une déclaration d’avertissement après le début d’une procédure de radiation définie protège la confiance. Une note de réputation avant que les faits ne soient établis utilise le grand livre.

Les institutions économiques sont souvent jugées sur ce qu’elles refusent de faire. Une banque centrale qui finance tous les souhaits budgétaires cesse d’ancrer la monnaie. Un registre foncier qui modifie les titres sur la base de rumeurs cesse de réduire les coûts de transaction. Un dépositaire de titres qui gèle des actifs pour des plaintes privées sans base juridique cesse de soutenir les marchés. Un Registre Internet Régional qui traite les ressources de numérotation rares comme un levier à usage général risque la même dérive institutionnelle. Sa valeur réside dans le fait d’être ennuyeux, prévisible et difficile à capturer.

Le défi de RIPE NCC est plus aigu parce qu’il se situe entre la coordination technique et la valeur privée. L’enregistrement de la ressource n’est pas un filtre de paquets, mais il influence les paquets. Ce n’est pas un titre de propriété au sens ordinaire du droit des biens, mais les marchés le valorisent comme un droit rare. Ce n’est pas un registre judiciaire, mais les ordonnances judiciaires peuvent y transiter. Ce n’est pas un bureau de traitement des abus pour l’Internet, mais les déclarants d’abus en dépendent pour trouver des contacts. L’institution doit donc être à la fois utile et retenue.

La frontière d’application devrait être écrite pour les situations de stress, pas pour les cas faciles. Les cas faciles se trient d’eux-mêmes. Les cas difficiles arrivent avec des victimes en colère, des actifs rares, des pressions politiques, des documents incomplets, des parties transfrontalières et des faits de routage urgents. Dans ces moments-là, un large pouvoir discrétionnaire semble efficace. Avec le temps, il est coûteux. Il invite les plaintes stratégiques, refroidit les transferts, augmente les primes de conformité, nuit aux petits membres, politise les enregistrements et pousse RIPE NCC vers un rôle qu’il ne peut pas jouer avec confiance.

La meilleure réponse n’est pas la passivité. C’est un périmètre étroit et explicite autour d’un grand livre irremplaçable. Maintenez l’enregistrement. Vérifiez l’identité. Exigez des contacts valides. Rejetez les faux documents. Mettez en œuvre la politique. Obéissez à la loi contraignante. Préservez les preuves. Fournissez des avis clairs et des réexamens. Mais ne transformez pas chaque plainte concernant un comportement en une réclamation sur l’enregistrement de la ressource. Dans l’économie des ressources de numérotation Internet, cette frontière n’est pas une note de bas de page technique. C’est la différence entre un registre qui réduit les coûts de transaction et un registre qui devient l’arme la moins chère du marché.