Résumé

  • Un transfert IPv4 comprend au moins trois événements juridiquement et opérationnellement distincts: les parties concluent et finalisent un accord commercial; le RIR responsable modifie la position d'enregistrement faisant autorité; et les réseaux originent, acceptent et propagent des routes pour les préfixes transférés. Chaque événement a son propre acteur, ses preuves, son horodatage et ses conditions d'échec.
  • Un contrat de vente peut répartir le prix, les risques, les garanties et les obligations de clôture, mais il ne peut pas à lui seul réécrire les enregistrements d'un RIR ou obliger un fournisseur amont à transporter une route. Une entrée de registre peut identifier le détenteur reconnu, mais elle ne prouve pas le paiement, toutes les obligations contractuelles ou l'accessibilité mondiale. Les observations BGP prouvent que certains réseaux ont vu une annonce, pas que l'annonceur a acheté le bloc ou que chaque condition du registre a été satisfaite.
  • Le rôle approprié du registre dans le transfert est restreint mais important: authentifier les parties, vérifier que la partie offrante contrôle la position enregistrée, détecter les revendications conflictuelles ou les verrous applicables, préserver l'unicité, mettre à jour l'enregistrement, coordonner un changement inter-RIR et publier un état d'achèvement clair. Il ne doit pas devenir fixateur de prix, courtier, tribunal commercial, planificateur de réseau ou garant de la routabilité.
  • RPKI accentue plutôt que n'efface la séparation. Une ROA exprime l'autorisation d'un détenteur d'adresse pour un AS d'origine; les opérateurs décident toujours localement s'ils utilisent les résultats de validation et comment. Le séquencement du transfert nécessite donc une gestion make-before-break pour les autorisations de routage sans prétendre qu'une ROA valide est un acte de vente ou une commande BGP.
  • Une conception crédible de l'achèvement utilise trois horodatages et trois reçus, plus un enregistrement d'exception pour les litiges. La clôture commerciale, l'achèvement du registre et la première utilisation opérationnelle stable doivent pouvoir être rapprochés sans être confondus. Cela permet aux acheteurs, vendeurs, prêteurs, courtiers et opérateurs de localiser les retards et d'attribuer les responsabilités avec précision.
  • La Number Resource Society (Société des ressources numériques) pointe vers un avenir plus discipliné: un service de registre portable et vérifiable avec des transitions d'état déterministes, un examen limité, une finalité claire, des preuves standard et aucun contrôle discrétionnaire sur le prix, le financement, le calendrier de déploiement ou les choix de routage qui ne menacent pas l'unicité ou l'intégrité de l'enregistrement.

Trois horloges tournent dans la même salle de clôture

Imaginez qu'un acheteur a accepté d'acquérir un bloc d'adresses IPv4 auprès d'un vendeur. Les parties ont négocié un prix, effectué une diligence raisonnable, signé des documents et placé de l'argent auprès d'un agent de séquestre. Le vendeur a ouvert une demande de transfert. L'acheteur l'a acceptée. Le RIR examine l'autorité et l'éligibilité. Les ingénieurs chez l'acheteur et ses fournisseurs amont préparent les filtres de route, le DNS inverse, les avis de géolocalisation, les contacts d'abus et les autorisations d'origine.

Tout le monde peut utiliser le mot « transfert » pour ce qui se passe. Ils ne décrivent pas un seul acte.

L'équipe commerciale entend un accord par lequel le vendeur promet de livrer une position d'enregistrement convenue et l'acheteur promet de payer. Le RIR entend un changement contrôlé dans l'organisation associée à une ressource numérique dans ses enregistrements faisant autorité. L'équipe réseau entend un ensemble de changements opérationnels grâce auxquels les paquets peuvent atteindre les adresses sous la topologie prévue par l'acheteur. Ces actes peuvent avoir lieu le même jour, mais la simultanéité ne fusionne pas leur caractère juridique ou technique.

La distinction compte surtout quand quelque chose échoue. Si le registre refuse la demande, y a-t-il quand même un contrat? En général, il peut y avoir un accord contraire soumis à une condition défaillante, mais la réponse dépend de ses termes et de la loi applicable. Si le registre approuve le changement mais que l'acheteur ne peut pas obtenir un transit utilisable, la ressource a-t-elle été transférée? L'événement d'enregistrement peut être complet même si le déploiement opérationnel ne l'est pas. Si des routes apparaissent depuis l'ASN de l'acheteur avant le changement d'enregistrement, y a-t-il eu vente? Pas nécessairement.

Le vendeur peut avoir autorisé une utilisation temporaire, fourni une lettre d'autorisation ou organisé une migration progressive.

Un seul champ de statut ne peut pas répondre aux trois questions. Ni une institution ne devrait essayer. Les preuves doivent être séparées car chaque événement protège un intérêt différent. Les preuves contractuelles protègent l'accord. Les preuves du registre protègent l'unicité et le contrôle reconnu. Les preuves de routage protègent la confiance opérationnelle. Un marché sain a besoin des trois, connectés mais non confondus.

L'événement un est l'accord entre vendeur et acheteur

Le premier événement est commercial. Ses faits essentiels sont l'identité et l'autorité des parties, les préfixes spécifiés, le prix ou autre contrepartie, les obligations attachées à la clôture, la répartition des frais et taxes, le traitement d'un refus d'approbation, et les recours si une partie n'exécute pas ses obligations. Un courtier peut présenter les parties et coordonner les documents. Un fournisseur de séquestre peut détenir les fonds. Des avocats peuvent définir des déclarations concernant l'autorité, les litiges, l'utilisation antérieure, l'historique des abus, l'exposition aux sanctions ou l'état des enregistrements connexes.

L'accord peut être signé avant qu'une partie ne demande une action au registre. Il peut aussi être conditionnel. De nombreux accords sensés distinguent la signature de la clôture: la signature crée des obligations, tandis que la clôture n'a lieu qu'après la satisfaction de conditions identifiées. L'approbation du registre peut être l'une de ces conditions. Le déblocage du paiement peut dépendre de la preuve que l'enregistrement a changé. Un montant retenu peut rester jusqu'à ce que le nettoyage technique ou l'assistance convenue soit terminé.

Rien de tout cela n'exige que le RIR juge chaque terme commercial. Un registre a besoin de suffisamment de preuves pour savoir que des représentants autorisés du détenteur reconnu et du destinataire prévu demandent un changement. Il n'a pas besoin du prix, de la marge de financement de l'acheteur, de la commission du courtier, de la clause de litige du séquestre ou du calendrier complet des garanties des parties simplement pour préserver un état d'enregistrement unique et précis.

L'accord de transfert publié par le RIPE NCC illustre la distinction avec une clarté inhabituelle. Son formulaire stipule que les parties offrante et recevante acceptent de transférer l'enregistrement des ressources numériques Internet listées. Le formulaire identifie les parties, leurs coordonnées d'enregistrement et les ressources, et enregistre leur demande de changement de registre. Il ne s'agit pas d'un contrat de vente complet. Un contrat commercial séparé peut exister autour, et le formulaire du registre ne révèle ni ne règle l'intégralité de l'accord.

LACNIC énonce la limite encore plus directement sur sa page de facilitation des transferts: il n'intervient pas dans les opérations commerciales entre les parties. Il peut lister les offreurs, destinataires ou intermédiaires potentiels et appliquer la politique régissant les changements d'enregistrement, mais il ne vérifie ni n'assume la responsabilité des services d'un courtier. C'est une retenue institutionnelle, pas un abandon. Le marché reste responsable par le contrat, la loi, la diligence et la responsabilité professionnelle plutôt que d'être absorbé dans le bureau du registre.

La preuve du premier événement est donc contractuelle. Elle peut inclure des accords signés, des autorisations d'entreprise, des avis de séquestre, des factures et des certificats de clôture. Ces documents peuvent montrer que la valeur a changé de mains et que les obligations sont devenues effectives. Ils ne montrent pas, sans preuve indépendante du registre, que l'enregistrement faisant autorité a bougé.

L'événement deux est le changement d'état reconnu du registre

Le deuxième événement est administratif et probant. Le RIR responsable authentifie la demande, vérifie la partie offrante par rapport à la position d'enregistrement, confirme le statut du destinataire selon la politique applicable, teste tout verrou de transfert ou condition de litige, puis met à jour ses enregistrements. Pour un transfert inter-RIR, les registres source et récepteur doivent coordonner afin que la ressource ne soit pas laissée simultanément sous une administration conflictuelle ou perdue entre les systèmes.

La politique actuelle du RIPE NCC stipule que le détenteur initial reste responsable jusqu'à ce que le transfert au destinataire soit achevé et que le RIPE NCC met à jour les enregistrements pour refléter l'achèvement. Le guide public d'APNIC décrit une demande initiée par la source, un accusé de réception du destinataire, une évaluation de la politique, le paiement des frais le cas échéant, puis une mise à jour de la base Whois d'APNIC. La politique d'ARIN exige que la source soit le détenteur enregistré ou reconnu actuel et qu'il n'y ait pas de litige sur le statut de la ressource pour les transferts à destinataire spécifié.

Les règles de transfert de LACNIC prévoient également une vérification du détenteur, des vérifications de litige et une mise à jour de l'enregistrement après achèvement.

Ce sont des procédures régionales différentes, mais le noyau commun est visible. Le registre ne crée pas le réseau de l'acheteur et ne déplace pas les paquets. Il modifie le compte administratif partagé de qui est reconnu pour le bloc. Cet acte a de la valeur car les opérateurs, les contreparties, les systèmes de sécurité et les tribunaux ont besoin d'une référence fiable. Il réduit la probabilité qu'un préfixe soit représenté comme appartenant à deux parties non liées simultanément.

L'achèvement du registre devrait avoir son propre horodatage. La date dans un journal de transfert public est souvent la date à laquelle le RIR a traité ou enregistré le changement. Le RIPE NCC définit sa date publiée de cette façon. Cette date ne devrait pas être décrite silencieusement comme la date de signature du contrat de vente, la date de déblocage du paiement ou la date à laquelle l'acheteur a routé l'espace pour la première fois. C'est l'événement du registre.

Les preuves de cet événement incluent l'avis d'achèvement du registre, le journal de transfert public là où il existe, l'enregistrement modifié et l'état du compte visible par le destinataire. Cela peut également inclure un certificat de ressource ou une surface de contrôle rendue disponible après le changement. Chaque élément a un périmètre défini. Un journal public peut prouver qu'un registre a enregistré un transfert d'une partie nommée à une autre pour des ressources listées à une date. Il ne peut généralement pas prouver le prix commercial, les conditions exactes de clôture contractuelle ou l'utilisation en direct de l'acheteur.

L'enregistrement mérite autorité sur son sujet restreint. Il ne mérite pas une autorité métaphysique sur chaque fait entourant la ressource. Le traiter comme une preuve concluante d'une vente exagère ce que le registre a observé. Le traiter comme non pertinent sous-estime la valeur de coordination d'un enregistrement unique. La position disciplinée se situe entre ces erreurs.

L'événement trois est l'utilisation opérationnelle dans le routage

Le troisième événement se produit dans les réseaux. L'acheteur ou un fournisseur de services autorisé initie les routes, les fournisseurs amont les acceptent, les pairs les propagent, et les autres réseaux sélectionnent les chemins selon leur propre politique. Les adresses transférées peuvent alors supporter des serveurs, des réseaux d'accès, une infrastructure cloud, des assignations clients, des pools de traduction ou d'autres services. C'est l'événement par lequel la valeur commerciale devient connectivité en direct.

BGP n'a pas été conçu comme un système de transfert de propriété. Le RFC 4271 définit une route comme des informations de destination accompagnées d'attributs de chemin. Un locuteur BGP reçoit des routes, applique une politique locale, sélectionne des routes pour son propre usage et décide quoi annoncer à ses pairs. Le protocole ne demande pas de contrat d'achat. Il n'interroge pas le prix. Il ne déclare pas qu'une organisation est le propriétaire légal du préfixe simplement parce qu'un ASN apparaît à la fin d'un chemin observé.

Cette architecture rend la preuve de routage puissante et limitée. Les données BGP historiques peuvent montrer quand un préfixe était visible, quel AS d'origine est apparu, dans quelle mesure les observations se sont propagées et si les annonces ont changé autour d'une date d'enregistrement. Le Routing Information Service du RIPE NCC collecte les mises à jour des pairs depuis 1999, et ses archives peuvent soutenir cette reconstruction. RIPEstat fournit des vues actuelles et historiques, tandis que d'autres collecteurs offrent des points de vue supplémentaires.

Aucun collecteur ne voit l'ensemble d'Internet. Une route visible à un point d'observation peut être filtrée ailleurs. Un changement d'origine peut refléter une migration de fournisseur, un service de mitigation DDoS, un déploiement anycast, une reconfiguration client ou une fuite temporaire plutôt qu'une vente. Un bloc peut être enregistré à un nouveau détenteur tout en restant originé par le même ASN parce que l'acheteur garde le vendeur ou un fournisseur commun pendant la transition. Inversement, une nouvelle origine peut apparaître avant l'achèvement du registre dans le cadre d'un arrangement de services autorisé.

La preuve opérationnelle devrait donc être énoncée avec précision. « Le préfixe a été observé depuis l'AS d'origine X à ces collecteurs à partir de ce moment » est étayable. « L'acheteur possédait les adresses à partir de ce moment » n'est pas établi par BGP seul. Les tests d'accessibilité, les collecteurs de routage, les confirmations amont et les preuves de configuration ensemble peuvent montrer l'utilisation. Ils ne peuvent pas remplacer le contrat ou le reçu du registre.

RPKI ajoute un événement d'autorisation sans en faire un transport

RPKI peut sembler compliquer le modèle à trois événements car il ajoute du matériel cryptographique proche à la fois de l'enregistrement et du routage. En réalité, il clarifie les limites.

Le RFC 6480 dit que les certificats de ressource représentent la hiérarchie d'allocation et permettent à un détenteur légitime d'autoriser un ou plusieurs AS à originer des routes. Il dit aussi que les informations d'allocation seules ne suffisent pas à guider les décisions de routage. Une autorisation d'origine de route (ROA) fournit une déclaration explicite qu'un AS donné est autorisé à originer des préfixes spécifiés. Le RFC 6811 décrit ensuite comment un locuteur BGP peut dériver un état de validation, tout en faisant de l'action prise sur cet état une question de politique locale.

Une ROA valide ne prouve donc ni vente ni accessibilité universelle. Elle prouve qu'une autorisation cryptographiquement valide existe dans la hiérarchie RPKI pour une combinaison d'origine et de préfixe. Un opérateur peut utiliser ce résultat pour rejeter, dé-préférer ou accepter une route selon la politique configurée. D'autres contrôles opérationnels comptent toujours: filtres de préfixe, registres de routage, contrats clients, paramètres de max-prefix, politique de chemin et disponibilité physique du transit.

Les transferts créent une transition délicate. Le vendeur peut avoir des ROAs couvrant l'espace. L'acheteur peut avoir l'intention de conserver la même origine, d'en utiliser une nouvelle ou d'autoriser plusieurs fournisseurs. Révoquer une ancienne autorisation trop tôt peut rendre les routes invalides avant que le remplacement ne se propage dans les caches. Conserver une autorisation obsolète indéfiniment peut laisser une autorité inutile.

Le RFC 6480 recommande une gestion de type make-before-break lorsqu'un détenteur souhaite une connectivité continue: établir une alternative appropriée avant de révoquer la ROA précédente et permettre aux parties prenantes de récupérer le nouvel état.

Cela ne donne pas au registre la permission de planifier le réseau de l'acheteur. Cela donne au registre et au système de certificats le devoir de rendre la transition autorisée fiable et observable. Le destinataire choisit les origines et le calendrier de déploiement. Les fournisseurs amont choisissent la politique d'import et d'export. Le RIR maintient le service de crédential lié à la ressource en cohérence avec l'enregistrement reconnu.

Dans un enregistrement de transaction, RPKI devrait apparaître comme un quatrième reçu attaché aux deuxième et troisième événements: le moment où la nouvelle autorisation est devenue disponible et l'ancienne autorité a été retirée. Il ne doit pas être confondu avec l'horodatage de clôture du contrat ou la première route stable.

Les séquences possibles prouvent qu'aucun événement unique n'est décisif

La séquence de transaction la plus simple est l'accord, l'achèvement du registre et le déploiement du routage. Même là, les horloges s'alignent rarement exactement. Les parties peuvent signer des semaines avant l'achèvement. Le registre peut mettre à jour à un moment choisi par son bureau de service. L'acheteur peut annoncer un préfixe de test immédiatement, attendre les mises à jour de géolocalisation et de filtrage, ou conserver le bloc inutilisé jusqu'à un lancement réseau prévu.

D'autres séquences sont légitimes. Un acheteur peut obtenir une pré-approbation avant de négocier le prix. Un vendeur peut permettre une annonce temporaire pour que l'acheteur teste l'acceptation par les fournisseurs amont, la clôture restant conditionnelle. Un acheteur peut acquérir une entreprise dont le réseau initie déjà les routes, faisant ainsi du changement de contrôle commercial le premier événement tandis que l'AS d'origine reste constant.

Un transfert temporaire RIPE peut mettre l'enregistrement chez la partie recevante pour une durée définie puis le restituer, tandis que l'arrangement commercial ressemble plus à une location qu'à une vente pure et simple.

La séquence inverse peut aussi exposer des risques. Les routes peuvent bouger alors que l'ancien titulaire reste dans l'enregistrement public. Les rapports d'abus et les systèmes de géolocalisation pointent alors vers la mauvaise organisation. Un fournisseur amont peut se fier à une lettre d'autorisation qui devient contestée. Les identifiants d'un vendeur peuvent rester capables de modifier les autorisations de routage après que l'acheteur a payé. Ce sont des raisons d'aligner les événements, pas de les déclarer identiques.

Un changement de registre sans changement de routage n'est pas intrinsèquement suspect. L'acheteur peut inventorier un bloc, migrer progressivement, conserver un fournisseur de réseau géré ou acquérir une holding dont la filiale opérationnelle continue d'initier. Un changement de routage sans changement de registre n'est pas une preuve de vente clandestine: les annonces de clients, la réaffectation, la location, l'hébergement et les services de mitigation peuvent tous séparer l'utilisation de l'enregistrement de niveau supérieur.

La question d'audit n'est pas de savoir si chaque transfert suit un ordre idéal. Elle est de savoir si l'ordre était autorisé, documenté et sûr; s'il n'existait pas de revendications incompatibles; et si chaque acteur n'a exécuté que la décision qui lui était assignée.

Les journaux de transfert sont des reçus du registre, pas des bandes de marché complètes

Les journaux de transfert des RIR sont indispensables car ils créent une trace publique des changements reconnus. Le RIPE NCC publie la partie offrante, les blocs originaux et transférés, la partie recevante, les informations de pays lorsqu'elles sont disponibles, le type de transfert et la date de traitement. APNIC tient un journal public couvrant les transferts de marché, de fusion, d'acquisition et historiques. ARIN publie des statistiques de transfert et des données pour les activités intra-régionales et inter-RIR. La politique de LACNIC exige un journal accessible au public avec les parties, les ressources et la date de transaction.

Ces journaux doivent être lus comme des reçus administratifs. Ils sont plus solides que l'anecdote pour le fait de la reconnaissance par le registre et une preuve faible pour tout ce qui est omis. La plupart ne publient pas le prix, la date de paiement, les conditions défaillantes, les frais de courtage, la structure de financement, la première route, les anciennes et nouvelles ROAs, les garanties contractuelles ou le temps pendant lequel le registre a contrôlé la demande.

Une analyse d'APNIC des journaux des RIR a estimé que les entrées depuis 2012 représentaient environ 309 millions d'adresses transférées jusqu'en 2024, tout en avertissant que les blocs transférés plusieurs fois font de cet agrégat une surestimation de l'espace unique. L'analyse a également soulevé la question non résolue de savoir si chaque transfert pratique est enregistré. Cette mise en garde est précisément la raison pour laquelle le modèle à trois événements est utile. Un journal de registre peut être complet en ses propres termes tout en manquant les arrangements d'utilisation privée.

BGP peut révéler un changement opérationnel tout en manquant l'accord. Aucun ensemble de données ne devrait être étiré pour couvrir l'autre.

Un bon reporting public relierait les couches sans divulguer les contrats confidentiels. Il peut publier l'achèvement du registre, le type de transfert, le préfixe et les parties; agréger le temps de traitement et la raison du refus; et un indicateur opérationnel optionnel ultérieur montrant si le bloc est devenu visible depuis une nouvelle origine. La transparence des prix appartient à une conception de reporting de marché séparée et devrait utiliser l'agrégation lorsque la confidentialité est justifiée.

La discipline consiste à étiqueter chaque champ par événement. Une date sans définition est une source de fausse certitude.

Les courtiers connectent les événements mais ne les fusionnent pas

Les courtiers existent en partie parce que les trois événements nécessitent une expertise différente. Ils trouvent des contreparties, aident à déterminer si un bloc est éligible, organisent la diligence, coordonnent les formulaires RIR, séquencent le séquestre et introduisent des vérifications techniques. APNIC maintient une liste de courtiers qui acceptent de mener les activités de transfert de manière équitable, d'agir de bonne foi et de représenter avec précision les politiques des RIR.

LACNIC permet aux intermédiaires sur sa liste de mise en relation tout en précisant que leur utilisation est facultative et que leurs services ne sont pas garantis par le registre.

Le pouvoir pratique du courtier rend la définition du rôle importante. Un courtier peut connaître le calendrier de la transaction mieux qu'un seul entité, mais ne devrait pas certifier des faits en dehors de ses preuves. Il peut attester que les parties ont signé par son processus ou qu'il a soumis les documents spécifiés. Il ne peut pas attester de manière concluante que tous les fournisseurs amont accepteront les routes. Il ne devrait pas présenter la pré-approbation du registre comme une garantie de clôture si l'éligibilité de la source, les litiges ou la coordination inter-RIR restent ouverts.

Les conflits traversent également les limites des événements. Un courtier payé à la clôture peut préférer un accord commercial rapide, tandis que les ingénieurs ont besoin de temps pour tester l'acceptation de la route. Un courtier détenant ou sélectionnant le séquestre peut influencer le déblocage du paiement. Un courtier qui loue également de l'espace pourrait avoir un intérêt à savoir si l'acheteur choisit la propriété ou l'utilisation temporaire. Ces conflits appellent à la divulgation et à des contrôles contractuels, pas à ce que le RIR reprenne le courtage.

Le meilleur enregistrement de courtier est une feuille de rapprochement. Elle liste la signature du contrat, les conditions, la soumission au registre, les accusés de réception des parties, l'approbation, la mise à jour de l'enregistrement, le déblocage du séquestre, le transfert des identifiants, le changement de ROA, la première annonce et l'utilisation stable. Chaque ligne identifie l'acteur responsable et la preuve. La feuille ne transforme pas le courtier en autorité publique. Elle rend la coordination inspectable.

Les réseaux amont détiennent un droit de décision opérationnel indépendant

Les acheteurs considèrent parfois l'approbation du registre comme si elle obligeait un fournisseur à router l'espace. Ce n'est pas le cas. Les fournisseurs amont ont des contrats, des politiques de routage, des contrôles de sécurité, des règles de longueur de préfixe, une authentification client et des jugements de risque. Le RFC 8212 reflète le principe selon lequel les routes BGP externes ne doivent pas être envoyées ou acceptées sans politique explicite. La validation RPKI peut être une entrée. Les données du registre, les objets de routage et les lettres d'autorisation peuvent en être d'autres.

Cette indépendance peut frustrer un acheteur qui a payé et effectué le changement d'enregistrement. Pourtant, la supprimer serait pire. Un registre central ne devrait pas commander à des milliers de réseaux autonomes d'accepter une route. Les opérateurs doivent rester capables de filtrer un détournement, de rejeter une annonce malformée, de faire respecter les limites des clients et de choisir les chemins. Le prix du contrôle distribué est que l'acceptation opérationnelle nécessite une préparation plutôt qu'une approbation cérémonielle.

La diligence technique de l'acheteur devrait commencer avant la clôture. Elle devrait inventorier les tailles de préfixe, les origines actuelles, les annonces plus spécifiques, les objets de route, les ROAs, le DNS inverse, les contacts d'abus, l'historique de géolocalisation, les listes noires et les exigences des fournisseurs. Elle devrait demander à chaque fournisseur amont prévu quelles preuves et quel délai il nécessite. Aucune de ces vérifications ne signifie que le fournisseur amont décide si la vente commerciale est valide. Elles signifient que le fournisseur décide ce qu'il transportera.

Le vendeur a également des devoirs. Il devrait identifier les services en direct, les clients, les délégations et les identifiants qui doivent être retirés ou migrés. Il ne devrait pas retirer les routes ou révoquer les autorisations plus tôt que convenu si cela interrompt le service. Il ne devrait pas non plus conserver le contrôle opérationnel après le transfert. Un transfert propre réduit la période pendant laquelle deux organisations peuvent agir de manière plausible sur le même bloc.

La finalité du routage est donc probabiliste et définie. Elle peut signifier que l'origine prévue est restée visible à un ensemble déclaré de collecteurs et acceptée par les fournisseurs amont nommés pendant un intervalle spécifié, sans origine conflictuelle et avec un état RPKI acceptable. Elle ne peut pas honnêtement signifier que tous les réseaux de la Terre ont convergé pour toujours.

La finalité nécessite trois reçus, pas une seule grande déclaration

Les marchés ont besoin d'un point auquel les parties peuvent libérer l'argent, reconnaître un actif et cesser d'attendre un renversement ordinaire. Le modèle à trois événements ne rejette pas la finalité. Il rend la finalité plus précise.

La finalité commerciale est régie par l'accord. Elle se produit lorsque les conditions de clôture énoncées sont remplies ou levées et que la contrepartie est libérée. Le reçu peut être un certificat de clôture ou une confirmation de séquestre. Des recours contractuels peuvent survivre à la clôture, mais l'accord a franchi son seuil défini.

La finalité du registre se produit lorsque le RIR responsable a effectué le changement d'état reconnu, a rendu le destinataire capable de gérer la ressource selon son modèle de service, et a émis un avis d'achèvement. Tout pouvoir de correction ou de renversement devrait être limité: fraude, erreur administrative, ordonnance d'un tribunal compétent ou tout autre motif clairement défini, accompagné d'un avis et d'un examen lorsque l'urgence le permet. Un enregistrement de registre qui peut être rouvert à discrétion indéfinie n'est pas assez final pour un marché d'actifs en capital.

La finalité opérationnelle est un critère de service. Elle se produit lorsque les annonces et autorisations prévues sont suffisamment stables pour le déploiement de l'acheteur, pas lorsqu'un employé du registre appuie sur un bouton. Les parties peuvent faire dépendre le déblocage du paiement de la finalité du registre seule, d'une confirmation opérationnelle courte, ou d'étapes progressives. Elles devraient choisir explicitement.

Trois reçus améliorent également les litiges. Si le paiement a été libéré mais qu'aucun changement d'enregistrement n'a eu lieu, le recours commercial est visible. Si l'enregistrement a changé mais que les routes ont échoué parce qu'un fournisseur amont a rejeté une origine invalide, la cause opérationnelle est visible. Si le registre a retardé après que les deux parties ont satisfait à une liste de contrôle publiée, la performance institutionnelle est visible. Tout résumer par « le transfert a échoué » protège le mauvais acteur de l'examen.

Un identifiant de transaction commun peut lier les reçus sans exposer les termes secrets. Il ne doit pas nécessairement être un numéro public universel. Les parties et le RIR peuvent maintenir une référence partagée, avec un reporting public utilisant un dérivé préservant la confidentialité lorsque approprié. La caractéristique essentielle est le rapprochement, pas la surveillance.

Le registre a un droit de décision restreint et un véritable devoir de service

La restriction ne doit pas être confondue avec la passivité. Un registre qui se contente d'accepter tout courriel et de modifier un enregistrement inviterait à l'autorité falsifiée, au double transfert et à l'état contesté. Le service approprié a plusieurs devoirs affirmatifs.

Il doit authentifier les organisations et les représentants autorisés. Il doit établir que la source est le détenteur reconnu ou le successeur légal pour la ressource demandée. Il doit identifier les verrous, les transferts antérieurs, les blocs réservés et les litiges actifs que la politique rend pertinents. Il doit s'assurer que le destinataire peut entrer dans la relation de service applicable. Il doit coordonner avec un autre RIR lorsque l'administration traverse les régions. Il doit inscrire un état cohérent, préserver une piste d'audit et fournir des raisons lorsqu'il refuse.

Ces devoirs protègent l'invariant global d'unicité et l'intégrité pratique de l'enregistrement. Ils sont différents de l'évaluation de l'équité du prix, de la sagesse des investisseurs de l'acheteur, de la pertinence de son produit pour le capital, du fournisseur amont qu'il devrait utiliser ou du moment de son lancement. Le registre devrait tester l'autorité et l'état, pas le mérite commercial.

La distinction peut être exprimée comme un contrefactuel. Demandez si le fait contesté pourrait changer sans créer deux détenteurs valides, corrompre l'enregistrement ou violer une restriction de sécurité définie. Le prix peut changer sans nuire à l'unicité. Le financement peut changer. L'acheteur peut choisir un fournisseur amont ou un autre. Il peut retarder le déploiement. Ces questions relèvent du jugement ordinaire du registre. L'autorité de la source ne peut être ignorée car accepter une fausse source corromprait l'enregistrement. Un transfert conflictuel simultané ne peut être ignoré. Ces questions relèvent du registre.

Le devoir de service du RIR inclut l'opportunité. Un rôle restreint n'est pas une excuse pour une file d'attente indéfinie. Publier les preuves requises, identifier si une horloge attend le demandeur ou le registre, fournir un statut, et mesurer la queue ainsi que la médiane. Lorsqu'un cas difficile nécessite plus de preuves, expliquer la catégorie sans exposer de matériel confidentiel. La finalité dépend d'une administration limitée.

Les litiges nécessitent un gel qui préserve les faits, pas une reprise de l'accord

Les transferts réels rencontrent l'insolvabilité, les allégations de fraude, la succession d'entreprises, les sanctions, les ordonnances judiciaires et les signataires concurrents. Le modèle à trois événements est le plus précieux ici car il empêche un litige dans une couche de réécrire silencieusement toutes les couches.

Si deux personnes revendiquent l'autorité pour le vendeur, le registre peut avoir besoin de suspendre le changement d'enregistrement pendant qu'il vérifie l'autorité de l'entreprise ou respecte une ordonnance compétente. Cette suspension ne détermine pas qui a violé le contrat d'achat. Un tribunal ou un tribunal convenu peut décider des droits contractuels. Le RIR fournit des enregistrements précis, préserve les preuves et suit le résultat dans son rôle légal.

Si des routes bougent pendant un litige sur le registre, leur existence devrait être enregistrée mais pas traitée comme une victoire automatique. Un annonceur non autorisé peut créer un fait opérationnel sans acquérir de droit contractuel ou d'enregistrement. De même, le registre ne devrait pas décrire une route valide existante comme techniquement irréelle simplement parce qu'un litige commercial est en cours. Les opérateurs peuvent avoir besoin de continuité pendant que les réclamations sont résolues.

Un gel proportionné a une portée, une raison, un moment de début, un réviseur et une date d'expiration ou de révision. Il empêche l'état d'enregistrement contesté de changer tout en préservant les services actuels lorsqu'il est sûr. Il ne devrait pas geler des ressources non liées, divulguer des allégations confidentielles comme des faits prouvés ou forcer les parties à un règlement préféré par le registre.

Une action d'urgence peut être nécessaire lorsqu'il existe des preuves crédibles de compromission du compte ou d'autorité falsifiée. Même alors, la restauration et l'examen devraient suivre. Une mise en attente de sécurité protège l'enregistrement; ce n'est pas une opportunité d'acquérir un pouvoir illimité sur l'activité du détenteur.

Les transferts inter-RIR nécessitent une validation à deux registres

Lorsqu'un transfert traverse les frontières des RIR, l'événement du registre lui-même a deux côtés institutionnels. Le RIR source connaît l'enregistrement existant et les restrictions de la source. Le RIR récepteur connaît la relation avec le destinataire et la politique de destination. S'ils mettent à jour indépendamment sans règle d'achèvement partagée, la ressource peut apparaître dans les deux endroits, dans aucun, ou dans des états différents à des moments différents.

La solution ressemble à une validation contrôlée à deux registres. D'abord, chaque RIR valide les faits qui lui sont assignés. Ensuite, les deux marquent leur préparation par rapport au même ensemble de ressources et aux mêmes parties. Troisièmement, une action coordonnée établit le moment d'achèvement effectif. Quatrièmement, les enregistrements publics et de compte sont rapprochés. Si l'action ne peut pas aboutir, le système revient à l'état antérieur sans prétendre qu'un demi-transfert est final.

Ce langage décrit la conception du service, pas une affirmation que les systèmes actuels des RIR utilisent littéralement un protocole de transaction technique unique. L'exigence est une cohérence observable. Les parties devraient recevoir un seul horodatage de registre effectif et savoir quelle institution est responsable de toute divergence restante.

La compatibilité des politiques inter-RIR est une question distincte. Un registre peut imposer un test de besoin ou une période de détention plus longue. Cela peut empêcher le transfert même lorsque la technologie de mise à jour de l'enregistrement est saine. Le présent article ne résout pas cette barrière commerciale. Il insiste sur le fait qu'un refus politique soit étiqueté comme tel plutôt que déguisé en incapacité technique de modifier l'enregistrement.

Le routage reste en dehors de la validation à deux registres. Les autorisations d'origine peuvent être séquencées autour, mais les opérateurs externes conservent le choix local. Une transaction de registre mondiale qui tenterait de rendre l'acceptation de route automatique transformerait un service d'enregistrement utile en un système de commandement.

Un audit devrait reconstruire les trois événements séparément

Un audit de transfert de haute qualité commence par trois colonnes. La colonne commerciale enregistre la signature, les conditions, l'autorité de clôture, le statut du séquestre et le déblocage du paiement. La colonne du registre enregistre la pré-approbation le cas échéant, la soumission, les demandes de preuve, l'accusé de réception des parties, la décision politique, l'achèvement coordonné et le changement d'enregistrement public.

La colonne opérationnelle enregistre les origines prévues, les états des ROAs, les objets de route, l'acceptation par les fournisseurs amont, les premières annonces, la stabilité et le retrait de l'accès du vendeur.

Chaque entrée nécessite une source, un horodatage, un acteur et une confiance. Un contrat signé est une preuve primaire pour ses termes. Un avis d'achèvement du registre est une preuve primaire pour la reconnaissance par le registre. Les observations des collecteurs sont une preuve primaire de ce que ces points de vue ont vu. Le souvenir d'un courtier peut connecter un contexte manquant mais ne devrait pas remplacer des enregistrements plus solides.

La reconstruction devrait préserver le désaccord. Si le contrat définit la clôture à 14h00 UTC et le journal de transfert public montre le jour calendaire suivant, la différence peut refléter le traitement ou la convention de fuseau horaire. Elle devrait être expliquée, pas arrondie à une seule date. Si un préfixe est apparu de deux origines pendant la migration, le chevauchement devrait être mesuré. Si l'acheteur n'a jamais routé le bloc, la colonne opérationnelle devrait le dire sans impliquer que le transfert du registre était invalide.

Cette méthode empêche également les affirmations gonflées dans l'analyse de marché. Compter les lignes de registre mesure les changements reconnus. Compter les changements d'origine mesure les événements de routage. Compter les accords de courtier mesure les arrangements commerciaux connus de ce courtier. Les dénominateurs sont différents. Un chercheur peut les comparer, mais ne devrait pas les additionner comme s'il s'agissait d'une seule population.

Pour les parties, l'audit devient un contrôle post-clôture. Il confirme que les identifiants du vendeur ont été retirés, que les contacts de l'acheteur sont exacts, que les autorisations correspondent aux origines prévues et que les enregistrements contractuels se concilient avec le reçu du registre. Pour le RIR, les audits agrégés peuvent exposer les cas retardés, les demandes de preuve incohérentes et les échecs inter-RIR récurrents sans exposer les prix.

La Number Resource Society peut rendre le registre plus léger et le transfert plus sûr

L'alternative positive n'est pas un marché sans enregistrements. Les identifiants rares et globalement uniques ont besoin d'un état fiable, et les marchés ont besoin de finalité. La Number Resource Society offre une direction dans laquelle ce service d'état devient plus portable, vérifiable et modeste.

Un service de transfert NRS définirait la transition d'état minimale valide: source identifiée, preuve de contrôle, destinataire identifié, ressource exacte, aucun état antérieur incompatible, signatures autorisées, heure effective et historique durable. Les règles de validation seraient publiques. Les formats de preuve seraient standard. L'enregistrement et les preuves du détenteur seraient exportables plutôt que piégés dans le système de compte d'un seul opérateur.

Les fournisseurs de services pourraient vérifier et publier la transition sans acquérir d'autorité sur le prix, le financement, le choix du courtier, le plan client ou la route. Une transition contestée porterait un statut visible et un chemin de preuve plutôt que d'être effacée par une discrétion inexpliquée. Les règles de finalité identifieraient les motifs restreints et le processus de correction. Des miroirs indépendants et une succession testée protégeraient la continuité si un opérateur de service faisait défaut.

La portabilité est essentielle car elle discipline le tenancier du registre. Si un détenteur peut déplacer son état vérifié et son historique vers un service compatible sans perdre la reconnaissance pratique, un mauvais service a une conséquence de sortie. L'opérateur doit toujours préserver l'unicité; il n'obtient pas une licence pour créer des copies conflictuelles. La portabilité concerne la garde et le service, pas la duplication de la ressource.

NRS clarifie également la limite du routage. Il peut supporter une preuve portable de contrôle et des objets d'autorisation de route, mais les réseaux continuent de valider et de choisir localement. La couche commune déclare ce qui est authentique. Les opérateurs décident quoi transporter dans leurs relations de sécurité et commerciales.

C'est plus fort que de simplement demander aux RIR d'aujourd'hui de promettre la retenue. Cela rend la retenue partie de l'architecture de service: un petit ensemble de vérifications déterministes, une piste d'audit complète, un enregistrement portable, une finalité explicite et aucune permission permanente sur les choix commerciaux ordinaires.

Le mot transfert ne devrait plus jamais être utilisé seul

La rareté de l'IPv4 a rendu un changement de registre économiquement significatif, mais la signification ne fusionne pas les institutions. Le vendeur et l'acheteur créent un accord. Le registre reconnaît un changement d'état. Les opérateurs créent et acceptent la connectivité. RPKI relie le contrôle reconnu à l'autorisation d'origine tout en laissant l'action de routage locale. Les courtiers et agents de séquestre coordonnent les limites sans devenir la source de toute vérité.

La réforme pratique est à la fois linguistique et institutionnelle. Chaque rapport sérieux devrait dire quel transfert il entend. Le contrat a-t-il été signé? A-t-il été clôturé? Le RIR a-t-il effectué le changement d'enregistrement? L'acheteur a-t-il obtenu le contrôle du compte? Une ROA prévue a-t-elle été publiée? La nouvelle origine est-elle devenue visible? Les fournisseurs amont l'ont-ils acceptée? Ce sont des questions auxquelles on peut répondre. « Le transfert a-t-il eu lieu? » n'a pas de réponse tant que l'événement n'est pas nommé.

Cette précision protège toutes les parties. Les acheteurs obtiennent une conception de clôture plus claire et peuvent localiser le risque opérationnel avant de payer. Les vendeurs peuvent prouver la livraison sans garantir le réseau de l'acheteur. Les courtiers peuvent énoncer la limite de leur coordination. Les fournisseurs amont conservent leur autonomie de routage. Les registres peuvent être tenus à un standard de service exigeant mais limité.

Plus important encore, la distinction rend le tenancier du registre à l'échelle du registre. Le registre n'a pas créé la valeur commerciale, n'a pas négocié l'accord ni transporté les paquets. Il accomplit l'acte intermédiaire indispensable: préserver un compte cohérent du contrôle reconnu. Cet acte mérite une authentification soignée, une exécution rapide, une vérifiabilité et une continuité. Il ne justifie pas la domination sur les actes de part et d'autre.

Un marché de transfert mature publiera et rapprochera donc trois horloges. La finalité contractuelle, la finalité du registre et l'utilisation opérationnelle peuvent être proches, mais ne seront jamais le même événement. Le système devient plus sûr lorsqu'il cesse de prétendre le contraire.

Sources