대장이 움직이기 전에: AFRINIC 결의안 202002.550이 요구한 것

요약

• 결의안 202002.550은 필요한 제도적 연쇄를 가시화했다: 내부 감사 결과, 중앙 CID로의 회부, 가능한 국제 협력, 레지스트리 기록의 교정, 그리고 할당과 데이터베이스 변경을 둘러싼 통제의 수리.
• 의심되는 WHOIS 항목이 변경되기 전에 증거가 동결되어야 한다. 이전 상태, 변경 이벤트, 행위자, 승인, 타임스탬프, 지원 작업 문서는 서로 다른 기록이며, 깔끔한 최종 행으로 대체될 수 없다.
• AFRINIC은 자체 파일을 감사하고, 접근을 제한하고, 기록을 보존하고, 수사관을 지원하고, 입증된 오류를 교정할 수 있었다. 이는 민간 기술적 장부 관리자의 의무이며, 강제 수사, 기소, 처벌, 압수 또는 권리 판정이라는 주권적 권한이 아니다.
• 방어 가능한 교정 절차는 문서화된 보관 이력, 통지, 분쟁 기록의 격리, 이유 있는 결정, 그리고 데이터베이스 통제를 기반 운영 현실의 소유와 혼동하지 않는 검토 가능한 경로를 통해 수사관과 영향받은 보유자 모두를 보호해야 한다.
• 이 결의안의 가치는 감사 결과와 외부 회부를 공개한 데 있었다. 그 제도적 가치는 궁극적으로 그 공개가 검증 가능한 인계, 정확한 기록 수리, 다층 검증, 예외 종결, 회원이 검토할 수 있는 보고와 연결되었는지에 달려 있다.

L3 — 기록을 고치기 전에 증거를 동결하라

감사인이 할당 파일을 열고 세 가지가 일치하지 않음을 발견한다. 파일은 한 주소 블록이 기록된 근거에 대해 한 가지를 말한다. 승인 흔적에는 그 결과에 기대되는 권한이 나타나지 않는다. 공개 WHOIS 항목은 마치 그에 이른 경로가 평범한 것처럼 완성된 할당을 제시한다. 그 순간 매력적인 행정적 대응은 공개 행을 교정하는 것이다. 그리고 그 순간은 레지스트리가 이해해야 할 사건의 일부를 실수로 지울 수 있는 시점이기도 하다.

최종 WHOIS 행을 복사하는 것으로는 충분하지 않다. 최종 행은 상태를 보여줄 뿐, 그 상태가 어떻게 존재하게 되었는지는 보여주지 않는다. 증거적 대상에는 원래의 데이터베이스 상태, 관련된 모든 변경 이벤트, 그 변경과 연관된 계정 또는 인물, 그에 대해 주장된 권한, 타임스탬프, 승인 기록, 그리고 불일치를 적발한 내부 감사 작업 문서가 포함된다. 기각된 시도, 권한 변경, 파일 주석, 내부 할당 기록과 공개된 내용 사이의 관계도 포함될 수 있다. 레지스트리가 먼저 편집하고 나중에 재구성한다면, 당시의 증거를 그 증거에 대한 자신의 기억으로 대체할 위험이 있다. 따라서 보존은 교정에 앞서야 한다. 교정이 긴급하더라도.

이 순서가 AFRINIC 결의안 202002.550의 제도적 핵심이다. 이사회 등록부는 이 결의안을 2020년 2월에 배치하지만 일자는 주지 않는다. 결의안은 이사회의 성명으로, 최근 내부 감사가 IP 자원 할당에서 상당한 "배임(malversation)"이라 부른 것을 드러냈다고 기록한다. 또한 이 사안이 이미 현지 경찰의 중앙 CID에 수사를 위해 보고되었으며, 국제적 파장 가능성을 언급하고, AFRINIC이 관련 국제 법집행기관과 협력할 것을 결의했다고 기록한다. 이는 중요한 공개이며, 유죄 판정이 아니다.

표현은 발언자에게 붙어 있어야 한다. "배임"과 "사기"는 AFRINIC의 기관 서술에서 사용된 용어였다. 2월 업데이트는 "주장된 절도"를 언급했다. 8월 성명은 AFRINIC이 자원이 횡령되었다고 믿을 이유가 있다고 말하면서도 형사 수사가 계속 진행 중이라고 밝혔다. 그 어떤 표현도 경찰 파일의 결론, 기소 결정 또는 판결이라는 결핍된 결론을 채워주지 못한다. 여기서 다루는 공개 기록은 누가 주장된 행위를 수행했는지, 특정 인물이 유죄인지, 그리고 유능한 당국이 어떤 최종 처리에 이르렀는지를 입증하지 않는다. 책임 있는 분석은 기업의 언어를 판정으로 바꾸지 않고 AFRINIC의 진술이 시사하는 통제를 검토할 수 있다.

첫 번째 통제 문제는 따라서 압박 속에서의 보존이다. 레지스트리 데이터베이스는 운용 인프라다. 모든 질문이 해결될 때까지 항목을 박물관에 넣어둘 수는 없다. 운영자와 보유자는 사용 가능한 등록 정보에 의존하고, 레지스트리 직원은 여전히 요청에 답해야 하며, 눈에 띄게 의심스러운 기록은 계속 오도할 수 있다. 그러나 같은 데이터베이스에는 무슨 일이 있었는지 확립하는 데 필요한 흔적이 있을 수 있다. 과제는 증거와 서비스 중 하나를 고르는 것이 아니다. 이력 상태를 은밀히 재작성될 수 없는 형태로 보존하면서, 라이브 항목은 문서화되고 검토 가능한 운영 결정에 따라 다루는 통제된 분기를 만드는 것이다.

보존은 현재 화면을 단순히 찍는 것이 아니라 이벤트를 정의하는 것에서 시작한다. 유용한 증거 기록은 변경된 대상과 그것을 변경한 이벤트를 구분한다. 이전 상태와 이후 상태를 식별한다. 변경이 요청되고, 승인되고, 적용된 때는 언제였는지, 어떤 자격 증명이 사용되었는지, 어떤 인간 또는 자동화 역할이 작동했는지, 어떤 지원 자료가 제공되었는지, 그리고 변경의 권한이 어디에 문서화되어 있는지를 기록한다. 감사인이 마주쳤던 상태 그대로 할당 파일과 승인 흔적을 보존한다. 감사인이 여러 출처에 걸쳐 불일치를 연결하도록 이끈 작업도 함께 보존한다. 그 연결이 없으면 각 개별 기록은 그럴듯해 보이면서 기록들 사이의 불일치는 사라질 수 있다.

이것이 감사 결론만으로는 충분한 인계가 아닌 이유다. 수사관들은 결론을 검증할 수 있는 재료가 필요하다. 내부 감사인은 통제가 실패했거나 기록이 일치하지 않는다고 유능하게 말할 수 있다. 공직 수사관은 어떤 증거가 존재하는지, 어떻게 입수되었는지, 온전히 유지되었는지, 어떤 대안적 설명을 허용하는지를 확립할 수 있어야 한다. 따라서 증거 패키지는 원 기록과 분석을, 당시 자료와 나중의 주석을 구분해야 한다. 각 항목을 누가 수집했는지, 보관이 언제 바뀌었는지, 이후 접근이 무엇을 변경했는지를 기록해야 한다. 공개 자료에는 목록, 보관 이력, 해시, 인계 접수증, 경찰 파일이 없으므로 어떤 특정 보존 기법이 사용되었다고 주장할 수 없다. 요점은 검증 가능하려면 제도적 연쇄가 무엇을 요구하는가이다.

고치기 전에 동결해야 하는 두 번째 이유: 교정 자체가 새로운 이벤트라는 점이다. 교정이 검토 대상인 이벤트와 은밀히 합쳐져서는 안 된다. 검토자가 라이브 항목을 그대로 두는 것이 안전하지 않다고 결론 내렸다고 하자. 레지스트리는 그 항목을 격리, 주석, 역방향 처리 또는 교정해야 할 수 있다. 어떤 조치를 택하든, 그 변경은 자체의 권한, 증거 근거, 시각, 검토자를 갖는 자체 기록을 만들어야 한다. 그렇지 않으면 이후의 독자는 의심스러운 이력 상태와 시정 행위를 구별할 수 없게 된다. 레지스트리는 하나의 출처 문제를 다른 출처 문제로 바꿔 놓게 될 것이다.

현재 항목을 의심할 증거는 있지만 모든 경합하는 이해관계를 확정할 증거는 아직 부족할 때 격리가 특히 중요하다. 분쟁 기록을 부정할 수 없이 정상적인 것으로 다루어야 하는 것은 아니다. 데이터베이스의 행정적 통제가 있다고 해서 레지스트리가 자원과 연관된 모든 이해관계의 최종 소유자를 선언할 수 있는 것도 아니다. 검역 또는 표지된 검토 상태는 운영적 주의를 최종 판정과 분리할 수 있다. 이는 추가적인 무단 변경을 제한하고, 이전 상태를 유지하며, 통지와 유능한 검토의 시간을 벌 수 있다. 정확한 처리는 주권적 압수를 모방하려는 욕망이 아니라 증거와 레지스트리의 계약적·기술적 역할로 정당화되어야 한다.

AFRINIC의 이후 공개 업데이트는 이 운영적 대응의 일부를 기술하지만, 그것이 이루어진 수준에서 읽어야 한다. 2020년 2월 21일, AFRINIC은 모리셔스 경찰이 수사를 시작했고 레지스트리가 이를 지원하고 있다고 말했다. 같은 업데이트는 별도로 내부 통제에 대한 지속 작업, 자원 회수 활동, 진행 중인 WHOIS 업데이트를 기술했다. 이 흐름들은 관련되어 있지만 서로 바꿔 쓸 수 있는 것은 아니다. 경찰 수사 지원은 외부 협력 기능이다. WHOIS 업데이트와 통제 강화는 레지스트리 기능이다. 회수 활동은 증거, 통지, 경합 청구에 관한 추가 질문을 낳을 수 있다. 경찰 수사와 나란히 언급된다고 해서 그것이 법적으로 타당해지는 것은 아니다.

이 구분은 2020년 8월 25일 AFRINIC 성명에서 더 명확해진다. AFRINIC은 진행 중인 사건을 위해 충분한 증거를 보존하는 실사 과정을 따랐고, 기존 WHOIS 할당에 대한 종합 감사를 수행했고, 영향받은 보유자에게 연락했고, 일부 항목을 역방향 처리했으며, 다층 검증을 사용했다고 말했다. 또한 형사 수사를 별도로 유지하고 진행 중이라고 기술했다. 이 진술들은 보존, 보유자 참여, 기록 작업, 통제 강화를 연결하려는 시도를 시사한다. 그것들은 여전히 AFRINIC의 행위 서술이다. 근거 있는 증거 목록, 항목별 결정에 대한 이유, 모든 분쟁에 대한 최종 답을 제공하지는 않는다.

연간 보고서는 범위에 대한 개관적 기술을 더한다. 감사가 레거시 및 비레거시 IPv4 자원의 정당한 보관 책임과 할당 절차를 검토했으며, 내부 및 외부 절차가 여러 검증 계층을 갖게 되었다고 보고한다. 이는 통제 면을 이해하는 데 유용하다. 그러나 감사 작업 문서나 완전한 예외 대장은 공개하지 않는다. 또한 이후 논의에 붙은 더 넓은 물량과 회수 분쟁이 이 결의안 고유의 질문을 대신해서는 안 된다. 유용한 분석 대상은 연결이다. 내부 발견을 보존된 증거, 유능한 회부, 구별 가능한 교정, 재발을 막는 수리와 무엇이 연결해야 하는가?

답은 무단 변경에 대한 명시적 정지에서 시작된다. 신뢰할 만한 불일치가 확인되면 레지스트리는 영향받은 기록을 수정할 수 있는 자격 증명, 역할 또는 절차를 제한해야 한다. 그것은 처벌이 아니다. 레지스트리 자체 시스템 안에서의 봉쇄이다. 잠정적 제한은 운영 환경을 보호하고 후속 검토의 신뢰성을 지킨다. 무기한 또는 불투명한 제한 자체가 검토 불가능한 권력 행사가 될 수 있으므로, 범위를 정하고, 기록하고, 재검토해야 한다. 원칙은 최소 필요 권한이다: 오염이나 재발을 막기에 충분한 통제, 그러나 의심을 사람에 대한 최종 판정으로 취급하지 않는 통제.

다음은 여러 시스템에 걸친 증거 수집이다. 할당 행정은 한 필드에 존재하는 경우가 드물다. 관련 경로는 서신, 요청 기록, 승인 메모, 티켓팅 시스템, 데이터베이스 로그, 공개 등록 데이터를 지날 수 있다. 건전한 검토는 공개 출력이 전체 이야기를 말한다고 가정하지 않고 경로를 지도화한다. 그 시스템들에 걸쳐 신원과 역할을 조정하고, 공백을 기록하며, 모순되는 자료를 보존한다. 초기 이론을 약화시키는 문서는 이를 지지하는 문서와 마찬가지로 패키지에 속한다. 보존은 설득력 있는 내부 서사를 만드는 것이 아니라 유능한 수사관과 영향받은 보유자가 그 서사를 검증하는 데 필요한 자료를 유지하는 것이다.

그다음은 직무 분리다. 예외를 식별하는 사람이 이력 기록을 변경하고 시정 상태를 승인하는 제한 없는 권한을 가져서는 안 된다. 네 명 눈(4-eyes) 통제는 결론이 예정된 사안에 두 번째 서명을 추가하는 것 이상을 의미한다. 두 번째 검토자는 증거 근거, 행동 권한, 보유자에 대한 영향, 보존된 이력의 무결성을 검토할 수 있어야 한다. 검토자는 분류에 도전할 만큼 독립적이어야 한다: 이것이 데이터 품질 오류인가, 절차상 실패인가, 의심되는 비위인가, 경합하는 권리인가, 또는 그중 여러 가지인가? 각 범주는 다른 조치를 요구하며, 구분되지 않은 표지는 행정 팀의 과잉 행사를 부추길 수 있다.

실용적 긴장은 시점이다. 레지스트리가 명백히 신뢰할 수 없는 라이브 기록을 다루기 전에 모든 공법 절차가 끝나기를 기다린다면 운영자는 나쁜 데이터에 계속 의존할 수 있다. 즉시 항목을 교체하고 자신의 결론을 확정적으로 취급하면 증거와 영향받은 이해관계를 해칠 수 있다. 이 순서가 거짓 선택을 해소한다. 먼저 증거 상태를 동결한다. 잠정 격리의 근거를 기록한다. 의심되는 형사 행위를 적절한 당국에 회부한다. 정당한 수사 제약에 부합하면서 영향받은 보유자에게 실질적 통지를 한다. 증거가 그 행정 행위에 충분할 때 등록 항목을 교정하거나 역방향 처리한다. 원래 상태와 교정 이벤트를 별도로 추적 가능하게 유지한다. 도전을 허용한다. 불일치를 만들었거나 적발하지 못한 통제를 수리한다.

통지는 마지막에 덧붙이는 정중한 예의가 아니라 이 메커니즘 안에 속한다. 보유자는 겉보기 불일치를 설명하거나, 다른 통제 실패를 드러내거나, 운영 전환이 어떻게 관리되어야 하는지에 영향을 주는 의존을 보여주는 기록을 가지고 있을 수 있다. 통지는 보호된 수사 자료를 공개하거나 추가 변경을 허용한다는 뜻이 아니다. 정당하게 가능한 한도에서 어떤 기록이 영향을 받았는지, 어떤 행정적 지위가 변경되었는지, 어떤 증거나 규칙이 조치를 뒷받침하는지, 어떤 즉각적 운영 결과가 따르는지, 보유자가 어떻게 응답할 수 있는지를 말한다는 뜻이다. 증거를 초대하는 절차는 레지스트리의 첫 내부 견해를 반론 불가로 취급하는 절차보다 올바른 사실을 교정할 가능성이 높다.

경합 가능성도 증거 품질을 높인다. 이유 있는 도전은 오식별, 누락된 승인, 모순된 타임스탬프, 그리고 레지스트리 계정 통제와 주소 공간의 운영적 사용 사이의 차이를 드러낼 수 있다. 제안된 교정이 검증된 현실을 따르는지, 아니면 데이터베이스 소유자의 선호 서술을 강요하는지 보여줄 수 있다. 따라서 교정 절차는 보유자의 제출, 레지스트리의 응답, 검토자의 이유를 후속 기록의 일부로 유지해야 한다. 이는 미니 형사재판이 아니다. 장부의 기술적 보관을 장부 바깥 세계에 대한 자의적 결정으로 바꾸지 않도록 하는 행정적 안전장치다.

운영자의 시각은 이 규율을 구체적으로 만든다. 레지스트리는 자원을 배치하거나, 네트워크를 재정하거나, 운영자의 고객을 서비스하지 않는다. 레지스트리 데이터가 신뢰할 수 없게 되거나 교정이 갑작스럽고 불투명하거나 잘못되었을 때 정당한 보유자나 운영자가 비용을 부담한다. 등록 오류는 실사, 라우팅 보안 결정, 고객 보증, 금융, 운영 계획으로 전파될 수 있다. LARUS의 운영자 분석은 여기서 관련이 있다. 불투명한 레지스트리 결정이 어떻게 연속성과 비용 리스크를 인프라로 전송하는지 보여주기 때문이다. 결의안 202002.550이 특정 중단이나 손실을 초래했다는 것은 증명하지 않는다. 그런 인과적 결과는 확립되지 않았다. 정확하고 검토 가능한 기록 작업이 사무적 청소가 아닌 이유를 설명한다.

IPv4 희소성은 쇼를 허가하지 않으면서도 결과의 무게를 더한다. 희소 자원에 관한 기록은 상업적 의존과 경합하는 주장을 끌 수 있다. 이것은 출처, 통지, 통제된 교정을 덜 중요하게 만드는 것이 아니라 더 중요하게 만든다. 희소성은 내부 데이터베이스 항목을 주권적 권원 문서로 바꾸지 못하고, 레지스트리 관리자를 압수자로 바꾸지 못한다. 다만 모호성의 대가를 올린다. 항목이 큰 결과를 갖는 만큼, 무엇이 변경되었는지 보존하고, 누가 승인했는지 확립하고, 잠정 보호를 최종 결정과 분리하고, 검토 가능한 흔적을 남길 필요가 커진다.

2월 결의안에 대한 가장 좋은 독해는 절차적이다. 그 가치는 비밀이 부식적일 지점에서 연쇄를 가시화한 데 있다. 이사회는 내부 감사 결과를 인정했다. 이 사안이 공직 수사 기관에 회부되었음을 공개했다. 협력이 국경을 넘어야 할 수 있음을 인식했다. 그 공개는 회원과 영향받은 당사자에게 증거가 보호되고 있는지, 라이브 기록이 책임 있게 교정되고 있는지, 근원적 접근과 승인 통제가 수리되고 있는지 물을 근거를 제공했다. 그 질문에 완전히 답하지는 않았고, 결의안 자체를 공개하지 않은 세부사항을 짊어지게 해서는 안 된다.

월 단위의 일자 표기는 작지만 계시적인 한계다. 공개 이사회 등록부는 결의안 202002.550을 2020년 2월에 배치하지만, AFRINIC은 나중에 2019년 12월 10일에 모리셔스 경찰에 이 사안을 보고했다고 말했다. 이 순서는 공개 이사회 공개 시점 이전에 또는 그때까지 회부가 존재했다는 진술을 지지한다. 2월의 정확한 결의안 일자를 만들어내는 것은 지지하지 않는다. 거버넌스 글쓰기에서의 정확성은 레지스트리 기록에서의 정확성과 같은 규율이다. 증거가 허용하는 것보다 장부가 더 확실해 보이도록 만들지 말라.

알려지지 않은 것은 상당하다. 여기에는 공개 감사 작업 문서, 완전한 증거 목록, 보관 이력, 인계 접수증, 경찰 파일이 없다. 최종 경찰, 검찰 또는 사법 처리도 없다. 이후 업데이트는 교정의 완전한 항목별 대장을 제공하지 않으며, 보관 책임에 관해 제기될 수 있는 모든 질문을 확정하지도 않는다. 결의안에 귀속되는 입증된 인과적 손실 수치, 운영자 중단, 완료된 통제 효과성 측정도 없다. 이들은 확신에 찬 추론으로 채워질 각주가 아니다. 이들은 제도 설계에 대한 방어 가능한 분석과 지지받지 않는 사건 재구성 사이의 경계를 정의한다.

그 경계 안에서 보존 규칙은 정확하다: 증거는 레지스트리의 시정책과 구별 가능한 채로 남아 있어야 한다. 원래 상태, 변경 이력, 행위자, 승인, 타임스탬프, 원자료, 감사인의 작업, 이후의 교정은 하나의 정화된 현재로 납작하게 압축될 수 없다. 서비스에는 깔끔한 행이 필요하고, 진위 검증에는 보존된 이력이 필요하다. 좋은 행정은 둘을 동시에 유지한다.