Une fonction IANA contractualisable sans propriété politique

Résumé

• La fonction de numérotation de l'IANA est plus solide lorsqu'elle est traitée comme un service technique contractualisable: maintien de l'état de premier niveau d'IPv4, IPv6 et des numéros AS, traitement des demandes validées par les politiques des RIR, soutien à la délégation parentale du DNS inversé et publication de preuves publiques que le registre mondial des numéros reste unique.
• La propriété politique est le mauvais cadre. Ni un gouvernement, ni ICANN, PTI, un registre Internet régional ou la Société des ressources numériques ne doivent être décrits comme propriétaires des numéros Internet en vertu de l'exploitation d'un service de registre. L'autorité défendable est plus étroite: effectuer des tâches de coordination spécifiées selon des normes convenues et rester remplaçable en cas de défaillance du service.
• Un modèle compatible avec la Société des ressources numériques peut être positif sans être imprudent. La NRS peut plaider pour la portabilité des titulaires, la vérification ouverte, les preuves de données, l'auditabilité et la liberté de veto des titulaires tout en préservant l'unicité mondiale et en étiquetant séparément l'autorité reconnue des preuves supplémentaires.
• L'architecture nécessaire est contractuelle et probante: engagements signés sur l'état actuel, rapprochement avec les registres d'allocation, preuve RDAP et DNS inversé, continuité RPKI, registres d'incidents et de corrections, préparation du successeur, tests de qualification transparents et un processus de remplacement qui protège les opérateurs contre la double inscription ou la prise en otage du service.

Le faux choix autour de l'IANA

Le débat sur l'IANA est souvent tiré vers un faux choix. D'un côté, on traite l'IANA comme la dernière couronne publique de la gouvernance de l'Internet, un point symbolique qui doit être politiquement possédé ou défendu. De l'autre, on la traite comme un bureau technique neutre dont les questions de pouvoir environnantes sont résolues par de bonnes manières d'ingénierie. Aucune de ces descriptions n'est suffisante pour les ressources numériques.

La fonction de numérotation n'est pas un territoire souverain. Elle ne possède pas chaque adresse, ne licence pas chaque opérateur et ne gouverne pas chaque route. Mais elle n'est pas non plus une simple arrière-pensée administrative. L'enregistrement de premier niveau des délégations IPv4, IPv6 et des numéros de système autonome donne au système de registre un point de départ commun.

La délégation parentale du DNS inversé, les données d'amorçage RDAP, les hypothèses de hiérarchie RPKI et la reconnaissance des politiques mondiales reposent toutes, directement ou indirectement, sur un compte stable de quel registre est faisant autorité pour quelles ressources.

Le bon cadre est celui d'un service contractualisable. Une fonction IANA contractualisable a des clients nommés, des devoirs nommés, des attentes de service mesurables, des preuves de performance, des obligations de sécurité et de continuité, la portabilité des données, un processus de résolution des litiges et des règles de remplacement. Elle n'est politique que dans le sens où les institutions doivent décider qui peut effectuer le service et sous quelles conditions de responsabilité. Sa légitimité quotidienne doit reposer sur la performance et la preuve, pas sur la rhétorique de la propriété.

Cette distinction est importante pour tout avenir compatible avec la Société des ressources numériques. Le meilleur argument positif de la NRS n'est pas qu'elle peut déclarer une nouvelle autorité politique sur les numéros. C'est que la coordination des ressources numériques doit être portable, vérifiable et suffisamment ouverte pour qu'aucun fournisseur de services en place ne puisse convertir une dépendance technique en veto institutionnel permanent. Cet argument ne réussit que si l'unicité mondiale est préservée de manière plus rigoureuse, pas moins.

Ce qui est contractualisable

La partie contractualisable de la numérotation de l'IANA est la performance d'un service défini. Il comprend la tenue des registres de premier niveau pour les ressources IPv4, IPv6 et ASN non allouées ou déléguées; le traitement des demandes qui satisfont à la politique mondiale; l'enregistrement des retours ou des réallocations au niveau supérieur; le soutien aux délégations supérieures du DNS inversé; la tenue des registres publics pertinents; et le partage des preuves opérationnelles avec les parties qui dépendent du service.

Le SLA actuel des services de numérotation de l'IANA prouve déjà qu'un tel service peut être réduit à des obligations juridiques. Il identifie ICANN comme opérateur, les cinq RIR comme parties, le traitement valide des demandes, les rapports de performance, les obligations de sécurité, la résolution des litiges, le non-renouvellement, la résiliation et les arrangements de successeur. Il n'est pas parfait. Sa voie de recours visible peut être lente, et les manquements aux indicateurs ordinaires ne deviennent pas automatiquement des plans de guérison publics.

Mais l'existence de l'accord réfute l'idée que la numérotation de l'IANA doit être gouvernée uniquement par la confiance institutionnelle.

La prochaine étape est de rendre le contrat plus natif des données. Un indicateur de temps indique si une demande a été accusée de réception ou mise en œuvre dans un délai. Un indicateur de preuve de données indique si l'état résultant peut être reconstruit indépendamment. Le registre de premier niveau est-il passé d'un état exact à un autre? Le changement était-il lié à une demande valide selon la politique? L'état antérieur a-t-il été archivé? Tous les registres publics dépendants ont-ils été mis à jour? Un tiers peut-il détecter si deux historiques incohérents ont été présentés?

C'est là que la pensée compatible avec la NRS peut aider. La NRS met l'accent sur une comptabilité précise et un pouvoir de registre limité. Cette philosophie devrait conduire à un contrat de service où le pouvoir de l'opérateur est limité par des preuves publiques. La fonction ne devient pas plus faible lorsque la preuve s'améliore. Elle devient moins dépendante de la confiance personnelle et de la réputation du titulaire.

L'unicité mondiale est une propriété de données avant d'être une revendication politique

Le système d'enregistrement des numéros Internet décrit dans la RFC 7020 existe pour distribuer un espace d'adresses IP et des numéros AS uniques au niveau mondial. L'unicité est la promesse opérationnelle centrale. Cela signifie que deux parties non liées ne devraient pas recevoir la même ressource de la part de deux autorités qui prétendent toutes deux être finales. Cela signifie également que les changements historiques devraient être reconstructibles pour expliquer pourquoi l'état actuel est ce qu'il est.

Cette promesse peut être exprimée comme une propriété de données. À un moment donné, une plage de ressources a un statut de premier niveau dans l'enregistrement faisant autorité: non alloué, réservé, délégué à un registre, retourné ou autrement marqué sous une catégorie définie. Un état ultérieur devrait prolonger ou remplacer l'état antérieur par un changement enregistré. Chaque changement devrait identifier son autorité source, sa classe de raison, son heure d'effet, sa plage affectée et ses effets de dépendance.

Le langage de la propriété politique obscurcit cela. Si un gouvernement revendique la propriété, la question devient la légitimité du gouvernement. Si ICANN ou un RIR est traité comme propriétaire, le fournisseur de services devient plus difficile à remplacer. Si la NRS revendique la propriété, elle répète l'erreur qu'elle critique. Aucune de ces actions n'améliore l'unicité. La question pratique est de savoir si toutes les parties prenantes peuvent vérifier le même état actuel et si toute déviation peut être détectée rapidement.

La preuve de données ne peut pas régler tous les litiges. Un enregistrement signé peut montrer qu'une décision a été prise, mais pas que la décision était juste, légale ou commercialement sage. Un engagement de hachage peut montrer qu'un document existait avant une date, mais pas que le signataire avait autorité. Un rapport de rapprochement peut montrer qu'il n'y a pas de chevauchement dans le grand livre public de premier niveau, mais pas que chaque enregistrement régional est parfait. Mais ces propositions limitées sont toujours précieuses. Elles réduisent les divergences et rendent les revendications institutionnelles testables.

Une fonction IANA contractualisable devrait donc traiter l'unicité comme un état prouvé en continu. L'opérateur de service ne devrait pas seulement dire que le registre est correct. Il devrait publier suffisamment de preuves structurées pour que des auditeurs qualifiés, les RIR, des chercheurs indépendants d'intérêt public, des défenseurs de la portabilité et des opérateurs de réseau puissent détecter des incohérences sans exposer de documents confidentiels.

Le client du service est plus large que la partie contractante

Le contrat actuel de numérotation de l'IANA est entre ICANN et les cinq RIR. C'est logique car les RIR sont les clients directs des allocations de numérotation de premier niveau et de la coordination du DNS inversé. Ils soumettent des demandes, remboursent les coûts et supervisent les performances via la structure du NRO. Un contrat a besoin de contreparties, et les RIR sont les clients juridiques évidents.

La dépendance opérationnelle est plus large. Un fournisseur de cloud qui décide d'accepter BYOIP dépend de l'enregistrement des adresses. Une banque qui évalue une garantie IPv4 dépend de la reconnaissance des transferts. Un opérateur de réseau qui valide des routes dépend de la confiance RPKI. Une agence publique qui achète de la connectivité dépend des preuves RDAP et DNS inversé. Un titulaire qui tente de déménager après une défaillance de registre dépend de la portabilité des données.

Ces acteurs n'ont peut-être aucune revendication directe en vertu du SLA de l'IANA, mais ils supportent le coût lorsque la coordination de premier niveau est opaque ou captive.

Une conception compatible avec la NRS devrait préserver les RIR en tant que parties contractantes nécessaires tout en ajoutant des droits de dépendance publique par le biais de preuves. Cela ne nécessite pas que chaque opérateur poursuive l'opérateur de l'IANA. Cela nécessite des enregistrements vérifiables, des avis d'incident publics, des résumés d'audit indépendants, des reçus lisibles par les titulaires et des normes de qualification ouvertes pour tout service qui prétend soutenir la continuité.

La distinction entre client juridique et partie prenante opérationnelle est courante dans les infrastructures critiques. Une chambre de compensation peut contracter avec des membres tandis que les investisseurs comptent sur le caractère définitif du règlement. Une autorité de certification peut contracter avec des abonnés tandis que les navigateurs et les utilisateurs comptent sur la validation. Un registre peut contracter avec des bureaux d'enregistrement tandis que les titulaires et les résolveurs comptent sur l'état résultant.

La loi ne donne pas toujours à chaque partie prenante un recours direct, donc la couche de preuve devient plus importante.

La NRS peut être utile à cette couche. Elle peut plaider pour les reçus des titulaires, l'observation indépendante, les paquets de portabilité et la preuve de continuité qui rendent la dépendance moins aveugle. Elle ne devrait pas utiliser la dépendance comme un raccourci vers l'autorité. La revendication plus sûre est qu'une dépendance plus large mérite une vérification plus large, pas une commande politique plus large.

Un SLA technique devrait mesurer plus que le temps de réponse

Les promesses de temps du SLA actuel sont nécessaires. Une demande valide doit être accusée de réception, des informations supplémentaires doivent être demandées dans un délai défini et l'exécution ordinaire doit se produire dans un délai défini après le point de départ pertinent. Si l'opérateur ne peut ou ne veut pas exécuter une demande dans un délai plus long, il doit expliquer l'état et les raisons. Ces obligations empêchent le service de disparaître dans le silence.

Pour un modèle contractualisable futur, le temps ne devrait être que la couche externe. Le véritable niveau de service est l'intégrité de la transition d'état. Un bon SLA mesurerait l'acceptation des demandes, les raisons de rejet, la latence de mise en œuvre, la cohérence de l'état du registre, la publication des engagements d'état antérieur et nouveau, la propagation du DNS inversé, l'alignement de la mise à jour de l'amorçage RDAP, les effets de la confiance RPKI, la divulgation des incidents, la latence de correction et la préparation à l'exportation du successeur.

Il distinguerait également la gravité. Un accusé de réception tardif n'est pas la même chose qu'une allocation en double. Une entrée d'amorçage RDAP obsolète n'est pas la même chose qu'une clé de signature compromise. Un retard du DNS inversé n'est pas la même chose qu'une perte d'historique de registre faisant autorité. Un SLA mature devrait avoir des classes d'incident, des explications requises, une période de guérison, un résumé public et un déclencheur d'escalade pour chaque classe.

Ce n'est pas de la bureaucratie pour elle-même. Sans classes de gravité, les recours les plus forts sont trop forts et les indicateurs ordinaires trop faibles. La résiliation n'est pas une réponse sensée à chaque manquement. Le silence n'est pas une réponse sensée à des échecs répétés ou inexpliqués. Les recours intermédiaires rendent le remplacement crédible car ils créent une piste: avertissement, classification publique, plan de correction, vérification indépendante, échec répété, puis action du successeur.

Une réforme compatible avec la NRS devrait insister sur cette couche intermédiaire. Un futur service de registre ne peut pas être responsable si les seules options sont la confiance institutionnelle ou la mort institutionnelle. La responsabilité contractualisable vit entre les deux.

Les preuves de données devraient être intégrées au service

Le service de numérotation de premier niveau devrait publier des engagements structurés sur son état actuel. Un engagement n'est pas un vidage complet de données. Il peut être une déclaration signée qui lie un fichier d'état particulier, une heure, un ensemble de modifications et une clé d'opérateur. Les parties indépendantes peuvent ensuite confirmer si l'état qu'elles ont reçu correspond à l'enregistrement engagé. Si deux engagements incompatibles apparaissent pour la même heure ou séquence, l'équivoque devient visible.

L'ensemble de preuves devrait inclure plusieurs couches. Premièrement, un fichier d'état actuel signé couvrant les délégations, réservations et retours de premier niveau IPv4, IPv6 et ASN. Deuxièmement, un journal des modifications signé qui lie chaque nouvel état à un état antérieur et à une classe de raison. Troisièmement, un rapport de rapprochement comparant les entrées d'amorçage RDAP, les délégations parentales du DNS inversé et les registres d'allocation IANA publics.

Quatrièmement, un paquet d'exportation suffisant pour qu'un successeur reconstruise le service sans demander à l'opérateur en place d'expliquer sa propre histoire de mémoire.

Les limites de confidentialité et de sécurité sont importantes. Tous les documents de demande, échanges de personnel ou détails d'authentification ne devraient pas être publics. Une preuve peut s'engager sur du matériel protégé sans l'exposer. Une entrée publique pourrait dire qu'une demande valide selon la politique, authentifiée par un rôle RIR nommé, a soutenu un changement et que l'enregistrement de la demande protégée est détenu selon des règles d'accès définies. Les examinateurs pourraient ensuite inspecter le matériel en cas de litige.

Le résultat est une confiance limitée. Les opérateurs n'ont pas besoin de faire confiance à chaque conversation interne comme parfaite. Ils ont besoin d'avoir confiance que l'état public a un seul historique, que les changements sont attribuables, que des preuves protégées existent, que les auditeurs peuvent les inspecter et qu'un successeur peut les utiliser. C'est le même esprit derrière les manifestes RPKI, la synchronisation des dépôts et les journaux de transparence: prouver ce qui peut être prouvé, étiqueter ce qui reste un jugement et conserver suffisamment de preuves pour la correction.

La NRS devrait militer pour cette discipline de preuve car elle s'aligne avec le principe de comptable dans son plaidoyer public. Un meilleur comptable ne revendique pas une autorité mystique. Il tient des registres qui survivent à l'audit.

RPKI montre l'importance d'une confiance acceptée, pas d'une autorité auto-déclarée

RPKI donne une leçon importante pour tout futur modèle de numérotation. Les certificats et les objets signés peuvent rendre l'autorisation d'origine de route plus vérifiable, mais leur autorité dépend de points d'ancrage de confiance acceptés et de délégation de ressources. La RFC 6480 décrit une hiérarchie enracinée à l'IANA et s'étendant à travers les RIR et les niveaux inférieurs. Une signature en dehors de la chaîne acceptée peut être techniquement correcte et ignorée opérationnellement.

Pour l'IANA, cela signifie que la continuité des points d'ancrage de confiance est un problème de service. Si l'autorité de ressources de premier niveau ou les clés de soutien changent, les parties prenantes doivent recevoir des informations claires, progressives et authentifiées. Le modèle du localisateur de point d'ancrage de confiance (TAL) de la RFC 8630 et les travaux ultérieurs sur les clés de point d'ancrage de confiance montrent que l'amorçage et la transition de clé sont des problèmes de gouvernance autant que des problèmes de format de fichier.

Les parties prenantes ont besoin de temps, de coexistence, de multiples emplacements de récupération et de la certitude qu'une clé successeur n'est pas un imposteur.

Pour la NRS, ce même point est une frontière. La NRS peut publier des analyses fondées sur des sources des préoccupations des titulaires et plaider pour que les fournisseurs de services autorisés émettent des enregistrements de continuité clairement étiquetés. Ce n'est pas une autorité de certification, un dépositaire de clés, un registre ou un service de reçus opérationnels, et ses déclarations n'établissent pas le statut de registre faisant autorité d'un titulaire.

Les opérateurs doivent savoir si une signature d'un émetteur autorisé prouve l'appartenance, l'affirmation du titulaire, l'examen indépendant, un reçu de registre reconnu ou une délégation de premier niveau. Chaque proposition nécessite une étiquette de confiance différente.

Une fonction IANA contractualisable devrait donc séparer les classes de confiance. L'état du registre de premier niveau faisant autorité devrait provenir de l'opérateur IANA accepté ou de son successeur en vertu du contrat. Les preuves de portabilité supplémentaires devraient provenir d'un fournisseur d'assurance dûment autorisé et examiné indépendamment; la NRS peut comparer ou critiquer ces services en tant que défenseur, mais elle n'émet pas de preuves opérationnelles de confiance. La validité de l'origine de route RPKI peut provenir de la chaîne de certificats acceptée.

Le droit légal peut nécessiter des contrats, des dossiers judiciaires ou des décisions de registres régionaux. Mélanger ces étiquettes crée confusion et risque.

L'avenir positif n'est pas une seule racine pour régner sur toutes les revendications. C'est un environnement de preuves interopérable où chaque racine prouve une chose étroite et où le remplacement d'un fournisseur de services ne détruit pas la preuve historique.

RDAP et le DNS inversé exposent les chaînes de dépendance

RDAP et le DNS inversé montrent pourquoi l'IANA ne peut pas être réduite à une table d'allocation d'adresses. La RFC 9224 décrit les registres d'amorçage RDAP générés à partir des données d'allocation de l'IANA avec des informations de service RDAP. Le but est de diriger les utilisateurs vers les données d'enregistrement faisant autorité plutôt que vers des sources frauduleuses. La RFC 3172 décrit la délégation de in-addr.arpa et ip6.arpa via l'IANA et les registres régionaux. Ce sont des chaînes de dépendance construites sur la reconnaissance de premier niveau.

Si l'opérateur de l'IANA ou un successeur gère mal ces chaînes, le préjudice est pratique. Les outils de requête pointent vers le mauvais service. Les services de lutte contre les abus trouvent des enregistrements obsolètes. Les vérifications d'approvisionnement échouent. L'identité inversée reste liée à une ancienne délégation. RPKI et RDAP peuvent discordés d'une manière qui confond les parties prenantes. Un titulaire essayant de déménager après une défaillance de registre est confronté à un enregistrement public qui ne voyage pas.

Le contrat devrait donc exiger une cohérence entre les surfaces dépendantes. Un changement d'allocation de premier niveau devrait déclencher une vérification par rapport à l'état d'amorçage RDAP. Un changement de délégation parentale du DNS inversé devrait avoir une source enregistrée et un rapport de propagation. Le remplacement d'un service de registre devrait inclure un plan pour les points de terminaison publics, les caches, les numéros de série, les certificats et les notifications aux mainteneurs d'outils. Un litige devrait être marqué sans rendre l'état illisible.

C'est là que le veto d'un titulaire peut se cacher. Un registre ou fournisseur de services en place peut arguer que lui seul comprend les surfaces dépendantes et que le remplacement mettrait en danger la continuité. Parfois, cet avertissement est vrai. Parfois, c'est une position de négociation. Les preuves de données et les paquets d'exportation répétés aident à distinguer les deux. Si les dépendances sont documentées et testées, le risque de continuité devient gérable. Si les dépendances sont privées et basées sur la personnalité, le titulaire devient irremplaçable par conception.

Une approche compatible avec la NRS devrait être pro-continuité plutôt qu'anti-titulaire. Elle ne devrait pas exiger le remplacement pour lui-même. Elle devrait exiger qu'aucun titulaire ne rende le remplacement impossible en retenant des preuves, des formats, des clés, des états historiques ou des cartes de service.

Le remplacement est une procédure, pas une menace

Le mot « remplacement » peut sembler déstabilisant. Pour la numérotation de l'IANA, il devrait signifier le contraire: un chemin testé qui permet au service de se poursuivre si l'opérateur actuel échoue matériellement, perd son autorité, ne peut pas effectuer le service ou n'est pas renouvelé. L'existence d'un chemin de remplacement discipline le titulaire précisément parce qu'il réduit la panique.

Une procédure crédible commence bien avant la défaillance. Elle définit des normes de qualification pour un successeur: capacité technique, neutralité, résilience financière, contrôles de sécurité, rapports publics, garde des données, gestion des clés, règles de conflit, audit, capacité linguistique et exercices de continuité. Elle exige que le titulaire maintienne un état exportable et fournisse une coopération. Elle définit qui peut déclencher une évaluation, qui peut approuver un successeur, comment les litiges sont marqués et comment les opérateurs sont notifiés.

La procédure doit également protéger l'unicité pendant la transition. Il devrait y avoir une période de gel ou de changement contrôlé pour certains états de premier niveau. Il devrait y avoir un rapprochement entre les enregistrements du titulaire et du successeur. Il devrait y avoir une date de basculement public, des engagements d'état antérieur et nouveau, des règles de retour d'urgence et une méthode pour traiter les demandes déjà en cours. Aucun titulaire ne devrait être en mesure d'exploiter la transition en présentant un enregistrement à un service et un autre ailleurs.

Le remplacement ne devrait pas dépendre de la permission du titulaire au dernier moment. Le titulaire devrait avoir un processus équitable, une chance de guérir et un rôle dans le transfert. Il ne devrait pas avoir de veto après que des conditions de défaillance ou de non-renouvellement définies sont remplies. Sinon, le droit de remplacement devient du théâtre.

Ce principe est central à la thèse compatible avec la NRS. Les titulaires peuvent être excellents. Ils peuvent détenir une expertise légitime. Ils devraient être entendus. Ils ne devraient pas être en mesure de convertir la mémoire opérationnelle en propriété politique permanente. Le service appartient à l'exigence d'unicité commune, pas au bureau qui l'exécute actuellement.

Le langage de la souveraineté crée les mauvais recours

Les ressources numériques traversent les frontières, mais cela n'en fait pas un territoire souverain. Les gouvernements ont une autorité légale sur les entreprises, les contrats, les impôts, les sanctions, la fraude, les licences de télécommunications, l'insolvabilité et la sécurité publique dans leurs juridictions. Ces faits peuvent affecter les preuves du registre. Ils ne signifient pas qu'un État possède un préfixe simplement parce qu'un titulaire y réside ou qu'un registre y est constitué.

Le langage de la souveraineté crée des recours brutaux. Si un État est dit posséder la ressource, le registre devient un instrument diplomatique. Si une société mondiale est dite la posséder, la gouvernance privée se durcit en quasi-souveraineté. Si un registre régional est dit la posséder, le service aux membres se transforme en contrôle territorial. Si la NRS revendique la propriété en réponse, le conflit change simplement de drapeaux.

Le meilleur recours est le contrat et la preuve. Une ordonnance judiciaire peut être enregistrée comme un fait juridique avec un effet défini. Une liste de sanctions peut être traitée via un chemin de classification de service et de notification. Un régulateur peut exiger d'un opérateur national qu'il agisse sans réécrire le grand livre mondial de premier niveau. Un registre peut marquer un litige sans réallouer les ressources prématurément. Un successeur peut poursuivre le service sans revendiquer un contrôle politique.

Cette approche respecte l'autorité publique là où elle appartient et l'empêche d'engloutir la coordination technique. Elle protège également les opérateurs. Ils ont besoin d'enregistrements prévisibles, pas de théâtre de souveraineté. Une banque finançant des actifs IPv4, un cloud acceptant un objet de route, une agence publique dépendant d'un service ou un petit FAI transférant des ressources a besoin de savoir quelle institution enregistrera un changement et pourquoi. Il ne profite pas de grandes déclarations sur qui possède l'Internet.

La philosophie la plus forte de la NRS est l'insistance que les organismes de ressources numériques sont des comptables, pas des dirigeants. Le modèle IANA contractualisable opérationnalise cette philosophie au sommet: tenir le livre précis, le prouver, rendre le teneur remplaçable et laisser l'autorité politique ordinaire en dehors du service de registre.

Pas de veto du titulaire signifie qualification objective

Supprimer le veto du titulaire ne signifie pas permettre à tout nouvel entrant de revendiquer l'autorité. Cela signifie séparer la qualification du consentement des institutions dont la position de marché serait menacée. Tout futur fournisseur de services devrait passer des tests objectifs avant de recevoir une responsabilité reconnue par le biais du processus institutionnel compétent. La NRS n'est pas un tel fournisseur: son rôle est de plaider pour des critères équitables, de contribuer à des preuves de membres fondées sur des sources et d'examiner si le processus protège les titulaires.

Ces tests devraient être publics. Le candidat peut-il maintenir des points de terminaison de service accessibles mondialement? Peut-il protéger des clés? Peut-il traiter des demandes de premier niveau en vertu de la politique mondiale sans inventer de politique? Peut-il publier des engagements d'état signés et des reçus de preuves protégés? Peut-il effectuer des exercices de rapprochement RDAP et DNS inversé? Peut-il préserver la confidentialité? Peut-il gérer les conflits? Peut-il survivre à un stress de financement? Peut-il se soumettre à un examen indépendant? Peut-il exporter des données vers un autre successeur?

Les titulaires devraient contribuer au test car ils comprennent les modes de défaillance. Leurs preuves devraient être utilisées. Leur opposition ne devrait pas être déterminante. Un régime de qualification contrôlé par les titulaires devient une constitution de cartel. Un régime de qualification qui ignore les connaissances des titulaires devient dangereux. La réponse est une évaluation indépendante selon des critères convenus avant une crise.

Le NRO, ICANN, les experts techniques proches de l'IETF, les opérateurs, les titulaires, les auditeurs et les défenseurs de la portabilité peuvent tous contribuer aux critères. La NRS peut contribuer au point de vue de la portabilité des titulaires et de l'anti-capture. La règle finale devrait être neutre du service: quiconque peut répondre aux normes de preuve, de continuité et de responsabilité peut être considéré; quiconque ne le peut pas ne devrait pas recevoir de reconnaissance.

C'est le sens pratique d'une fonction contractualisable. L'autorité suit les obligations de service testées et la preuve acceptée, pas la personnalité, l'histoire ou le veto.

Le rôle de la NRS est le plaidoyer, pas le remplacement

Un article positif compatible avec la NRS ne devrait pas prétendre que la NRS exploite le service de numérotation de l'IANA, un registre, un service d'assurance ou un point d'ancrage de confiance mondial accepté. Ses documents publics actuels sont des plaidoyers, des déclarations de charte et des conditions d'adhésion. Ils établissent une philosophie et une surface de représentation des membres. Ils n'établissent pas une large adoption par les opérateurs, une délégation de l'IANA, une acceptation de la racine RPKI, une autorité de certification ou une autorité de registre mondial.

Cette limitation ne rend pas la NRS non pertinente. Elle identifie un rôle durable: défenseur de normes de preuve portables, recherche sur l'impact des systèmes existants sur les titulaires, convocation des réseaux affectés et représentation des membres dans les processus de politique publique. La NRS peut publier des comparaisons fondées sur des sources des propositions de continuité, expliquer quels reçus et droits de revue les titulaires devraient exiger, et presser les opérateurs autorisés et les examinateurs indépendants de divulguer si leurs enregistrements survivent à l'audit.

L'émission de reçus opérationnels, la protection des clés de continuité, la garde des preuves des titulaires et la tenue de l'historique du registre appartiennent à des institutions qui ont le mandat, les contrôles et la responsabilité appropriés.

La NRS peut soutenir les titulaires dans les litiges, les transferts ou la planification de la continuité par le biais de conseils publics, de représentation des membres et de références à des conseillers compétents, plutôt qu'en conditionnant des preuves faisant autorité ou en déclarant des résultats.

Un titulaire peut avoir besoin d'un historique signé, d'une preuve de succession d'entreprise, de reçus de registre, d'un état RPKI, de références RDAP, d'enregistrements DNS inversés et de notes de litige, mais ces documents doivent être obtenus et vérifiés auprès des registres, tribunaux, registres d'entreprise et opérateurs techniques autorisés concernés. La NRS peut documenter les problèmes d'accès récurrents et plaider pour des recours sans devenir l'autorité qui valide le paquet.

Aucun chemin étagé ne devrait brouiller cette division. Les services de preuve, les points d'ancrage de confiance, les fonctions de l'IANA et les opérations de registre nécessitent leurs propres mandats institutionnels et ne peuvent pas être déduits de la qualité des recherches ou des pratiques d'adhésion d'une organisation de plaidoyer. La NRS peut appeler ces opérateurs à expliquer leurs décisions, à préserver les preuves, à soutenir l'examen et à exporter l'état, mais ce plaidoyer ne fait pas de la NRS un opérateur candidat.

Le cas positif de la NRS est donc civique plutôt qu'opérationnel. Sa contribution est de maintenir les intérêts des titulaires visibles, de publier des recherches défendables, de comparer les performances institutionnelles et de presser les organismes autorisés pour la retenue, la preuve et l'interopérabilité. La reconnaissance de tout fournisseur de services techniques doit se faire séparément par les institutions compétentes pour conférer ce rôle.

Le contrat devrait protéger les titulaires ainsi que les registres

Le SLA actuel de numérotation est construit autour des clients RIR, ce qui est logique pour les allocations de premier niveau. Un futur modèle de responsabilité devrait ajouter des protections envers les titulaires sans faire de chaque titulaire une partie contractante. Le contrat peut exiger que l'opérateur et le successeur préservent les preuves dont les titulaires ont besoin: état historique de premier niveau, marqueurs de reconnaissance de transfert, notations de litige, historique de délégation du DNS inversé, informations de continuité RPKI et explications publiques des corrections.

Les protections des titulaires sont importantes car les défaillances du service de registre ne s'arrêtent pas aux frontières institutionnelles. Si un RIR ou un opérateur de premier niveau ne peut pas prouver la continuité, un titulaire peut perdre l'acceptation du cloud, la valeur du prêt, la certitude du transfert, la confiance dans l'origine de la route ou l'éligibilité du secteur public. Le titulaire peut ne pas se soucier de l'institution qui a échoué; il se soucie que son historique de ressources puisse toujours être vérifié.

Le contrat devrait donc spécifier des droits d'exportation minimaux. Lors du remplacement, l'état actuel non sensible devrait être public. Les preuves protégées devraient être déplacées sous séquestre ou garde indépendante. Les titulaires devraient recevoir un avis des enregistrements les concernant. Les litiges devraient rester visibles sans publier d'allégations privées. Les procédures de correction devraient survivre au transfert. Un successeur ne devrait pas commencer avec une mémoire institutionnelle vierge.

Cela s'aligne avec l'architecture du marché des transferts. La rareté de l'IPv4 a rendu les ressources numériques économiquement significatives. Un marché ne peut pas fonctionner si la reconnaissance disparaît chaque fois que le fournisseur de services change. Le caractère définitif nécessite un enregistrement qui survit au bureau. La portabilité nécessite une preuve qui voyage avec le titulaire. La concurrence entre les services de registre nécessite un moyen de se déplacer sans dupliquer les ressources.

La NRS peut insister sur cette dimension des droits des titulaires tout en restant fidèle à l'unicité. Le but n'est pas de permettre à un titulaire de chercher le registre le plus facile. Le but est d'empêcher un titulaire légitime d'être piégé par une relation de registre non redevable lorsque la preuve peut prouver la continuité.

L'anti-fragmentation nécessite un seul état et de multiples vérificateurs

La peur autour des services de registre alternatifs est la fragmentation: deux enregistrements incompatibles pour la même ressource, deux vues RPKI, deux réponses RDAP, deux historiques de transfert et des opérateurs choisissant des camps. Cette peur est légitime. Un modèle futur qui traite chaque institution comme également faisant autorité par déclaration nuirait à l'unicité même qu'il prétend protéger.

La réponse n'est pas une institution irremplaçable. C'est un seul état actuel faisant autorité, de multiples vérificateurs et une procédure définie pour changer le fournisseur de services qui publie cet état. Les RIR, les opérateurs autorisés et les auditeurs indépendants peuvent vérifier l'état opérationnel; les chercheurs, les fournisseurs de cloud et les archives publiques peuvent tester la cohérence publique. La NRS peut publier des recherches sur ces résultats et représenter les préoccupations des membres. Aucun de ces rôles de plaidoyer ou d'observation ne crée un état actuel conflictuel.

Cette distinction est familière dans d'autres systèmes. De nombreuses parties peuvent vérifier un grand livre sans que chacune frappe le solde officiel. De nombreux moniteurs peuvent surveiller un journal de transparence sans que chacun émette des certificats. De nombreux opérateurs peuvent valider RPKI sans que chacun attribue de l'espace d'adressage. La vérification distribuée renforce un état unique lorsque les rôles sont clairs.

Une fonction IANA contractualisable devrait encourager les miroirs indépendants, les engagements témoignés, les fichiers d'état reproductibles, les validateurs publics et les audits externes. Elle devrait décourager les états parallèles privés qui semblent faire autorité mais ne se rapprochent pas. La NRS devrait rester du côté du plaidoyer, de la recherche et de la représentation des membres: elle peut insister sur les normes de vérification et publier des comparaisons fondées sur des sources, mais elle n'est pas l'éditeur ou le dépositaire de l'état faisant autorité. Cette posture rend ses arguments plus sûrs et plus convaincants.

L'anti-fragmentation signifie aussi planifier l'urgence. Si le titulaire échoue, le successeur devrait publier le même dernier état valide, pas une réécriture politique préférée. Les corrections peuvent intervenir après notification et examen des preuves. Le premier devoir lors de la transition est la continuité de l'unicité.

Le financement devrait suivre le service, pas l'institution

Une fonction contractualisable a besoin d'un modèle de financement qui paie pour un service fiable sans rendre l'opérateur irremplaçable. Le financement devrait couvrir le personnel, la sécurité, l'infrastructure, l'audit, la préparation juridique, le séquestre, l'examen indépendant, la gestion des clés, les exercices de continuité et les rapports publics. Il ne devrait pas devenir un paiement de loyauté au bureau en place.

Si les frais sont acheminés uniquement par les institutions actuelles, celles-ci peuvent présenter le remplacement comme un chaos financier. Si un successeur n'a pas de financement de transition garanti, le droit de remplacement est vide. Si tout opérateur candidat dépend d'un soutien opaque de donateurs, l'indépendance devient douteuse. Le contrat devrait donc définir le financement du service, les règles de réserve, le financement de la transition et les exigences d'audit à l'avance. La NRS peut examiner ces arrangements en tant que groupe de plaidoyer, mais elle n'est pas traitée ici comme un opérateur candidat.

Le SLA actuel utilise le remboursement par les RIR pour les services de numérotation de l'IANA. Un modèle futur pourrait conserver un financement collectif tout en rendant certaines parties portables: soutien à la transition financé par séquestre, financement d'évaluateurs indépendants, infrastructure de preuve publique et réserves opérationnelles d'urgence. L'argent devrait être attaché aux devoirs du service, pas au prestige du titulaire.

Ce n'est pas un argument pour l'appel d'offres concurrentiel à la vitesse de la machine. La numérotation de l'IANA est trop importante pour un changement décontracté. C'est un argument qu'un fournisseur de services devrait savoir qu'il peut perdre le rôle pour une défaillance définie, et un successeur devrait savoir qu'il peut exécuter sans mendier des fonds, des données ou de la coopération au titulaire.

La discipline de financement est aussi une discipline anti-politique. Les histoires de souveraineté cachent souvent des questions de ressources: qui paie, qui contrôle les réserves, qui finance le contentieux, qui finance le personnel d'urgence. Un contrat met ces questions en chiffres, audits et déclencheurs.

La preuve publique ne devrait pas devenir une exposition publique

Plus de preuves ne signifie pas toujours plus de données publiques. Les enregistrements de ressources numériques contiennent des relations commerciales, des contacts, des événements de sécurité, des négociations de transfert, des documents judiciaires et des informations personnelles. Un modèle IANA axé sur la preuve devrait exposer le minimum nécessaire pour vérifier l'état, pas chaque document derrière une décision.

La couche publique peut montrer la portée des ressources, le statut de premier niveau actuel, l'émetteur, la séquence, l'heure, la classe de raison, le statut du service dépendant et les engagements envers des preuves protégées. La couche protégée peut contenir des demandes authentifiées, des preuves d'identité, des documents juridiques, des analyses du personnel et des détails de sécurité selon des règles d'accès. La couche d'audit peut permettre à des examinateurs indépendants de confirmer que les preuves protégées soutiennent l'état public sans publier les preuves elles-mêmes.

Cela importe également pour les services de portabilité que la NRS et d'autres groupes d'intérêt public peuvent examiner. Un service autorisé qui publie trop découragera les titulaires et créera un risque de sécurité. Un service qui publie trop peu demandera au monde de lui faire confiance. La bonne réponse est la divulgation sélective plus des engagements forts: prouver l'existence, l'intégrité, la séquence et la vérifiabilité; divulguer le contenu uniquement aux parties ayant un besoin légitime. La contribution de la NRS est de rechercher si cet équilibre protège les membres et de plaider pour des corrections là où ce n'est pas le cas.

La conception devrait également tenir compte de la correction. Si un engagement public inclut un état erroné, l'enregistrement ne devrait pas être effacé. Il devrait être remplacé par une correction, une raison et un lien vers l'engagement antérieur. L'intégrité historique et l'exactitude actuelle importent toutes deux. Supprimer des enregistrements embarrassants rend un comptable non fiable; geler des enregistrements faux le rend dangereux.

La preuve sans exposition est donc une exigence de conception, pas un slogan. C'est ainsi qu'un service mondial peut être responsable tout en respectant les frontières commerciales et personnelles.

Le déclencheur de remplacement devrait être précis

Une procédure de remplacement n'est crédible que lorsque les déclencheurs sont définis. L'insatisfaction vague n'est pas suffisante. Le service devrait identifier des conditions telles que: échec matériel répété à atteindre des niveaux de service de haute gravité, refus de fournir l'exportation de données requise, compromission de sécurité sans guérison adéquate, perte de capacité juridique, insolvabilité affectant le service, échec persistant à mettre en œuvre des demandes politiques mondiales valides, échec à préserver l'unicité, ou non-renouvellement après un processus équitable.

Chaque déclencheur devrait avoir des preuves. Un manquement répété au service nécessite des indicateurs et des classifications d'incident. Un échec d'exportation de données nécessite une preuve de la demande et de la non-livraison. Un échec de sécurité nécessite des conclusions protégées mais vérifiables. Un échec d'unicité nécessite des enregistrements d'état contradictoires ou une délégation en double. Une question de capacité juridique nécessite des documents formels. La décision de remplacement ne devrait pas reposer sur l'humeur.

La procédure devrait également avoir un chemin de guérison. Certains échecs peuvent être corrigés. Certains nécessitent une intervention temporaire sans remplacement permanent. Certains nécessitent une surveillance indépendante. Certains justifient une action d'urgence immédiate. Le contrat devrait les distinguer avant une crise.

La NRS devrait soutenir des déclencheurs précis car ils empêchent à la fois la capture et le chaos. Les titulaires ne peuvent pas être retirés simplement parce qu'un alternative les a en disgrâce. Les titulaires ne peuvent pas non plus rester simplement parce que le retrait est politiquement gênant. La norme de service, et non l'identité institutionnelle, fait le travail.

La précision protège également l'unicité mondiale. Pendant un remplacement contesté, les opérateurs ont besoin de savoir sur quel état se fier. Un déclencheur défini et un avis public réduisent le risque que deux institutions revendiquent le même rôle en même temps.

Le premier contrat devrait être testable sans crise

Un modèle IANA contractualisable ne devrait pas attendre une défaillance institutionnelle pour tester ses promesses. Le premier contrat de service, ou la prochaine révision d'un contrat existant, devrait exiger des exercices réguliers qui prouvent que le service peut être reconstruit à partir de preuves plutôt que de la mémoire institutionnelle. Un exercice sur table est utile, mais il ne suffit pas. L'opérateur devrait périodiquement produire une exportation successeur, un engagement d'état actuel, un rapprochement de service dépendant et un paquet d'échantillons de preuves protégées pour examen indépendant.

L'exercice devrait être étroit et sûr. Il ne devrait pas déplacer l'autorité en direct. Il devrait choisir un changement historique, un état de délégation actuel, un chemin de mise à jour du DNS inversé et une relation d'amorçage RDAP, puis demander à un examinateur indépendant de reconstruire ce qui s'est passé à partir des preuves exportées. Si l'examinateur ne peut pas dire quel état est actuel, pourquoi il a changé, quelles surfaces dépendantes ont été touchées ou quelles preuves protégées soutiennent le changement, le service a un défaut de portabilité même si les opérations quotidiennes sont vertes.

Ce type de test changerait les incitations. Un opérateur en place saurait qu'il doit tenir des registres sous une forme lisible par un successeur. Un successeur potentiel apprendrait la surface opérationnelle réelle avant une crise. Les RIR apprendraient quelles dépendances sont mal documentées. Les titulaires gagneraient en confiance que leur historique de reconnaissance n'est pas piégé dans des systèmes privés. La NRS et d'autres observateurs externes d'intérêt public seraient en mesure de critiquer la qualité des preuves publiées sans revendiquer l'autorité sur le registre en direct.

Le test devrait inclure des hypothèses de défaillance. Et si le dépôt principal du titulaire est indisponible? Et si une clé de signature est tournée pendant la période d'exportation? Et si une demande est en cours d'examen? Et si une ordonnance judiciaire affecte un titulaire mais pas la délégation de premier niveau? Et si les enregistrements d'amorçage RDAP et de DNS inversé discordent? Et si un RIR conteste l'état exporté tandis que quatre l'acceptent? Un contrat qui ne peut pas répondre à ces questions avant la défaillance y répondra sous pression plus tard.

Le résultat public peut être limité. Les détails de sécurité, le matériel d'authentification et les preuves privées des titulaires devraient rester protégés. Mais l'examinateur peut publier si l'exportation était complète, si l'état était cohérent en interne, si les services dépendants se rapprochaient, si des preuves protégées existaient, si le temps de récupération répondait aux attentes et quelles catégories ont besoin de correction. C'est suffisant pour rendre le remplacement crédible sans exposer des enregistrements sensibles.

Cette approche de contrat testable est là où la NRS peut contribuer le plus constructivement en tant que défenseur. Au lieu de demander au monde de choisir entre les titulaires d'aujourd'hui et le challenger de demain, la NRS peut demander à chaque fournisseur de services autorisé ou candidat de prouver la portabilité et peut publier une analyse fondée sur des sources des résultats. La demande est neutre. Si PTI réussit, la confiance en PTI augmente. Si un autre opérateur candidat réussit, la preuve soutient sa qualification.

Si un titulaire bloque le test, la communauté apprend que la menace sur la continuité vient de l'opacité, pas de l'idée de remplacement. Aucun de ces résultats ne fait de la NRS l'autorité de test ou l'opérateur de service.

Un test régulier empêche également la réforme de devenir une arme de crise. Le but n'est pas de maintenir un successeur en embuscade. Le but est de faire agir chaque opérateur comme si le service, et non le bureau, était la chose permanente. C'est la discipline centrale d'une fonction IANA contractualisable.

Si l'exercice est ennuyeux, il a réussi. Une preuve ennuyeuse est ce qui maintient le remplacement légal, calme et techniquement survivable lorsque la confiance institutionnelle chute soudainement. Elle donne également aux opérateurs une référence partagée avant que la rumeur ne devienne politique de route.

Un modèle futur peut être radical en étant étroit

Le changement le plus radical serait de rendre la fonction de numérotation de l'IANA ennuyeusement contractualisable. Pas symbolique. Pas souveraine. Pas possédée. Pas immunisée. Un service défini, effectué par un opérateur qualifié, sous des indicateurs visibles, des preuves de données, un examen indépendant, des règles de preuve sensibles aux titulaires et un véritable remplacement.

Ce modèle est compatible avec la meilleure version de la NRS. La NRS peut arguer que le pouvoir du registre devrait être limité, que les preuves devraient voyager, que les titulaires ne devraient pas être captifs, que les marchés devraient recevoir des preuves fiables et que les titulaires devraient rester remplaçables. Elle peut le faire tout en insistant sur le fait que l'état actuel faisant autorité reste singulier et que les enregistrements supplémentaires ne doivent pas se faire passer pour une allocation reconnue.

Le modèle est également compatible avec le rôle légitime d'ICANN. ICANN peut continuer à coordonner au niveau le plus élevé là où sa mission l'exige. PTI peut continuer à exploiter la fonction si elle répond à la norme de service. Les RIR peuvent rester des parties et des développeurs de politiques. Les opérateurs peuvent obtenir de meilleures preuves. Les titulaires peuvent gagner en portabilité. Les gouvernements peuvent agir dans le cadre de leur juridiction ordinaire sans revendiquer la propriété de l'espace numéroté.

La tension n'est pas entre l'ordre et la réforme. Elle est entre l'ordre non vérifiable et l'ordre vérifié. Une fonction IANA contractualisable choisit l'ordre vérifié. Elle dit: gardez un état, prouvez-le, rendez le teneur responsable et préparez le remplacement avant que le remplacement ne soit nécessaire.

C'est le chemin par lequel l'unicité mondiale peut survivre au changement institutionnel sans devenir une propriété politique.