요약

  • 드래프트 3의 새로운 규칙은 의미 있는 억제 장치였습니다. AFRINIC은 회수 절차가 끝나기 전에 회수 대상 자원을 AS0 단언으로 전환해서는 안 됩니다.
  • 이 순서가 중요한 이유는, 레지스트리 기록이 서명된 라우팅 증거가 될 수 있고, 검증기가 충돌하는 일반 오리진을 Invalid로 분류할 수 있으며, 개별 네트워크가 서로 다른 도달 가능성 결과를 적용할 수 있기 때문입니다.
  • 올바른 AS0 객체는 일반 오리진이 실제로 불가능한 공간에 대해 참여를 원하는 운영자에게 유용하고 인증된 경고를 제공할 수 있습니다. 위험은 미완성이거나 분쟁 중인 행정적 주장을 서명하는 데 있습니다.
  • 이 제안은 완결성에 대한 공개적이고 재현 가능한 판정 기준을 정의하지 않았고, 충돌 격리, 이의 제기, 정정 시점, 독립적 관찰에 관한 질문을 남겨두었습니다.
  • 비례에 맞는 답은 부정형 보안 메타데이터를 금지하는 것도, AFRINIC을 보유자와 네트워크에 대한 권위 기관으로 격상시키는 것도 아닙니다. 필요한 것은 좁고 버전 관리되는 완결 기록을 요구하고 운영자의 현지 선택을 보존하는 것입니다.

완결성을 중요하게 만든 문장

AFRINIC의 AS0 제안 3차 버전에서 가장 중요한 단어는 "authority(권한)", "invalid", "reclaimed"가 아니라 "end(끝)"입니다. 2021년 4월 19일, Haitham El-Nakhal과 Yazid Akanho가 AFPUB-2019-GEN-006의 3차 버전을 제출했습니다. 공식 개정 이력은 이 변경을 "회수된 자원에 대한 고려"로 기술했습니다. 실질적 추가 내용은 AFRINIC이 회수된 자원을 회수 절차가 끝난 이후에만 추가해야 한다는 것이었습니다. 서명된 라우팅 정보를 다루는 문서에서 이 겉보기로 소박한 시점 규칙은 그 길이가 암시하는 것보다 더 큰 제도적 무게를 지닙니다.

이 문장은 진행 중인 행위와 타인에게 표현할 준비가 된 상태를 구분합니다. 회수는 절차입니다. 회수됨은 결론입니다. 전자는 통지, 조사, 미완성 반납, 경쟁하는 주장, 마무리되지 않은 행정 작업을 포함할 수 있습니다. 이들은 절차가 담을 수 있는 내용의 예시이며, 이 제안과 관련해 그러한 사건이 실제로 발생했다는 주장이 아닙니다. 후자는 제안된 AS0 Route Origin Authorization 자동 생성이 의존하는 대장 상태입니다. 절차가 끝나야 한다는 요구를 통해 드래프트 3는 회수의 시작이 결과를 참으로 만들지 않는다는 점을 암묵적으로 인정한 것입니다.

이 구분이 중요한 이유는 AS0 객체가 단순한 사설 레지스트리 데이터베이스의 또 다른 항목이 아니기 때문입니다. 그것은 Resource Public Key Infrastructure를 통해 유통되도록 설계된 서명된 진술입니다. 이 제안은 AFRINIC이 현재 관리자인 미할당·미할인 IPv4 및 IPv6 공간을 다루었으며, 자원 보유자가 자신의 계정이나 관리 하에 있는 자원에 대해 AS0 ROA를 만들 수 있는 별도 능력도 보존했습니다. 이들은 서로 다른 발화자입니다. 하나는 보유자의 자원에 대한 보유자 자신의 부정형 오리진 의도를 표현합니다. 다른 하나는 회원에게 할당·할인되지 않은 공간에 대해 AFRINIC의 재고 기록이 말하는 바를 표현합니다. 드래프트 3의 회수 자원 문장은 레지스트리가 언제 이전과 다른 자원 상태를 후자의 범주로 넣을 수 있는지를 규율합니다.

AS 0에는 특정한 기술적 의미가 있습니다. 그것은 일반적인 BGP 오리진이 아닙니다. AS0 ROA는 커버되는 프리픽스가 일반 공개 오리진으로 나타날 것으로 예상되지 않는다는 것을 전달합니다. 검증기가 관련 서명 객체를 받아 관측된 광고와 비교하면, route-origin validation에서 그 결과는 Valid, Invalid 또는 NotFound가 될 수 있습니다. AS0 객체 하에서 충돌하는 일반 오리진은 Invalid로 분류될 수 있습니다. 그러나 그 기술적 분류 자체가 광고를 철회하거나, BGP에서 지우거나, 소유권을 판단하거나, 네트워크에 거절을 강요하지 않습니다. 다음 단계는 의존하는 네트워크가 결정합니다.

따라서 드래프트 3의 문장은 그것이 규율하는 데이터베이스 필드를 훨씬 넘는 결과를 낳는 연쇄의 시작에 위치합니다. AFRINIC이 프리픽스가 특정 상태에 도달했다고 기록하면, 그 시스템은 서명 객체를 만들어 게시할 수 있습니다. 관련 신뢰 경로를 선택한 검증기들이 그 객체를 검색·처리합니다. 네트워크들은 자체 라우팅 정책에 따라 그 분류를 사용합니다. 어떤 곳은 기록하고, 어떤 곳은 선호도를 낮추고, 어떤 곳은 거절하고, 어떤 곳은 아무 변경도 하지 않습니다. 첫 단계의 오류가 기계적으로 하나의 보편적 결과를 만들지는 않지만, 많은 독립적 결정으로 전파될 수 있습니다.

"끝에"라는 표현은 그 전파에 대한 제안된 브레이크입니다. 적어도 원칙적으로 서명 시스템이 잠정적인 행정적 입장을 완결된 조건으로 취급하지 못하게 합니다. 규칙을 시험하기 위한 가설이지 실제 프리픽스에 대한 주장이 아니지만, 회수 통지가 발송되었는데도 사실이 미해결인 경우를 가정해 봅시다. 내부 조사가 시작되었거나, 반납이 불완전하게 기록되었거나, 자원 상태에 대한 두 개의 상충하는 설명이 남아 있는 경우를 가정해 봅시다. 그 어느 것도 반드시 끝난 회수와 동일하지 않습니다. 자동화가 하나를 최종으로 취급한다면, 레지스트리는 단순히 진행 중인 자신의 작업을 기록하는 것이 아니라 다른 네트워크들이 행동할 수 있는 부정 단언을 배포하는 것이 됩니다.

이것이 위양성 경계입니다. 프리픽스는 기저 상태가 정확할 때, 즉 실제로 미할당되었거나 실제로 미할인되었거나 최종적으로 회수되었을 때 AS0 집합에 올바르게 나타날 수 있습니다. 게시 시스템이 그것이 기술해야 할 상태보다 앞서 실행될 때 잘못 나타날 수 있습니다. 기술적 서명은 여전히 검증될 것이고, 저장소는 여전히 올바르게 배포할 것이고, 검증기는 여전히 Invalid를 올바르게 계산할 것이고, 운영자는 여전히 자신이 선택한 정책을 올바르게 적용할 것입니다. 그러나 연쇄의 시작점에 있는 서명된 전제가 조술했다면 전체 결과가 틀릴 수 있습니다.

이것이 암호학적 정확성이 제도적 정확성을 대체할 수 없는 이유입니다. 서명은 객체와 자격을 갖춘 게시자 사이의 관계를 확립합니다. 그것은 의존 당사자가 객체가 관련 인증 구조 내에서 발급되었고 눈에 띄지 않게 변경되지 않았음을 확인하도록 돕습니다. 그러나 객체에 인코딩된 사실 판단이 완전했는지, 공정했는지, 이견이 없었는지를 증명하지는 않습니다. 레지스트리 상태가 틀리면 암호학은 틀린 진술을 뛰어난 무결성으로 배포할 수 있습니다. 전송을 둘러싼 기술적 보장이 강할수록, 원천 상태를 지배하는 규율이 더 중요해집니다.

그럼에도 AFRINIC 생성 AS0 객체의 선결 사례는 강력합니다. 미할당, 미할인 또는 최종 회수로 정확히 기록된 공간은 일반 공개 오리진이 예상되지 않습니다. 기계 판독 가능한 서명된 경고는 참여를 원하는 네트워크에 그 기대에 대한 인증된 증거를 줄 수 있습니다. 그것은 낡아지기 쉽고, 운영자마다 달라지며, 명확한 책임 경로가 없을 수 있는 수작업 bogon 목록에 대한 의존을 줄일 수 있습니다. 레지스트리는 자신이 관리하는 재고 상태를 좁고 정확하게 기술하는 한 그것을 기술하기에 적합한 위치에 있습니다.

드래프트 3의 완결성 문장은 이 선결 사례를 막기보다 강화합니다. 게시자가 미완료 회수 절차 중에 보안 신호를 사용하지 않을 때 그 신호는 더 신뢰할 수 있어집니다. 여기서 기다림은 관료적 약함이 아닙니다. 운영적으로 중요한 결과를 낳는 메타데이터가 정착된 기록을 따라야 하며, 그 기록을 정착시키는 데 동원되어서는 안 된다는 인정입니다. 이 규칙은 사실상 부정 단언이 완료된 장부 정리의 산출물이어야 하고, 장부 정리 과정 내에서의 영향력 수단이 되어서는 안 된다고 말합니다.

이 억제는 또한 기술과 처벌의 구분을 보호합니다. AFRINIC은 사적이고 회원 기반의 기술 레지스트리이자 조정자입니다. 그 정당한 기능에는 고유 번호 기록 유지, 경계가 있는 인증 서비스 운영, 그 서비스 내 자원 상태에 대한 정확한 정보 게시가 포함됩니다. 그것은 주권자, 입법부, 규제 기관, 경찰, 검찰, 처벌자, 압수자, 공법 법원이 아닙니다. AS0 객체는 그 제도적 성격을 확대할 수 없습니다. 그러나 회수가 실제로 끝나기 전에 게시가 발생하면, 그 객체는 처벌 권한이 없는 레지스트리에도 영향을 받는 네트워크에는 처벌처럼 느껴질 수 있습니다.

회원에게 아직 할당·할인되지 않은 주소 공간에 대해 이런 ROA를 만들 "authority(권한)"는 오직 AFRINIC에만 있다는 제안의 진술은 그 한정된 의미에서 읽어야 합니다. 그것은 AFRINIC 자체의 인증·게시 서비스 내부의 기술-행정적 능력을 가리킵니다. 프리픽스에 대한 소유권, 보유자에 대한 관할권, 사적 분쟁을 결정할 권한, 검증 데이터를 소비하는 네트워크의 정책에 대한 통제를 확립하지 않습니다. 같은 단어가 "어떤 자격을 갖춘 게시자가 이 객체를 발급할 수 있는가"에서 "어떤 제도가 모두를 위해 권리를 최종적으로 결정할 수 있는가"로 미끄러지면 위험해집니다. 드래프트 3는 첫 번째 명제를 지지하며, 두 번째는 지지하지 않습니다.

공식 직원 평가는 이 시점 규칙에 운영적 맥락을 부여했습니다. 직원 평가는 미할당·미할인 재고를 확장 위임 통계 파일의 가용·예약 공간에 비추어 해석했습니다. 직원 평가는 재고 시스템 업그레이드, 현재 및 신규 재고에 대한 자동화, 발급 시점 변경, 갱신된 내부 통제, 모니터링을 논의했습니다. 새로운 IANA 또는 PTI 프리픽스는 즉시 AS0 ROA를 받고, 반납되거나 회수된 프리픽스는 재고 절차를 통해 들어갑니다. 이것은 순전히 수사적 제안이 아닙니다. 구상된 설계는 장부 분류를 자동 게시에 연결했습니다.

자동화는 명확한 완결성 경계를 덜 중요하게 만드는 게 아니라 더 중요하게 만듭니다. 분쟁 중인 파일을 읽는 사람은 주저하거나, 질문하거나, 겉보기 상태가 주변 증거와 충돌함을 알아차릴 수 있습니다. 자동화된 규칙은 주어진 상태를 그대로 실행합니다. 그것은 현재 재고와 미래 추가분에 걸쳐 동일한 결정을 일관되게, 규모 있게 적용합니다. 분류가 정확할 때 일관성은 가치 있습니다. 분류가 잠정적일 때 일관성은 틀린 것을 가속합니다. 드래프트 3는 자동 전환 앞에 종료 조건을 올바르게 놓았지만, 어떤 증거가 그 조건을 충족하는지는 설명하지 않았습니다.

공개 텍스트는 "끝"을 재현 가능한 결과가 아닌 단언으로 남겨둡니다. 완료된 회수에 대한 공개 판정 기준을 명시하지 않습니다. 상충하는 주장이 어떻게 표현되는지, 어떤 충돌이 게시를 막는지, 긴급 이의 제기가 어떤 모습인지, 잘못된 객체가 얼마나 빨리 철회되어야 하는지, 외부 관찰자가 정정을 어떻게 확인할 수 있는지, 최종 장부 변경을 게시된 AS0 객체와 연결하는 기록이 무엇인지 말하지 않습니다. 이것은 공개 제안이 정의한 바에 대한 비판이지, 사적 기록이나 내부 절차 또는 추가 기록이 존재하지 않았다는 주장이 아닙니다.

이 구분은 증거 규율에 필수적입니다. 기록은 드래프트 3가 게시되었음을 확립하고, 저자와 날짜를 밝히며, 더 넓은 AS0 설계를 보존하고, 회수 자원 규칙을 추가합니다. 직원들이 구현에 무엇이 필요하다고 말했는지 확립합니다. 그러나 제안이 구현되었는지, 실제 운영 AS0 객체가 만들어졌는지, 운영자가 피드를 채택했는지, 어떤 프리픽스가 잘못 분류되었는지는 확립하지 않습니다. 우리 앞에 입증된 위양성, 거절된 경로, 중단, 보유자 손실, 측정된 보안 이득은 없습니다. 분석은 이 문장이 만든 설계 경계에 관한 것이지, 사건에 대한 소급적 주장이 아닙니다.

이렇게 보면 이 추가는 정확하면서 동시에 불완전합니다. 정확한 이유는 서명 시스템에 회수의 시작에서 부정 게시로 건너뛰지 말라고 말하기 때문입니다. 불완전한 이유는 독자가 회수가 끝났다는 판단을 재현할 수 없기 때문입니다. 좋은 경계는 규칙과 검사 가능한 통과점을 모두 필요로 합니다. 드래프트 3는 규칙을 제공했습니다. 영수증은 제공하지 않았습니다.

누락된 영수증을 레지스트리 내부에 공개 법원을 요구하는 것과 혼동해서는 안 됩니다. 질문은 더 좁습니다. 사적 게시자는 보안 관련 상태를 변경하고 그 결과를 서명하기 전에 무엇에 근거했는가? 적합한 기록은 영향받는 프리픽스, 이전 상태, 변경의 계기, 검토된 증거, 미해결 충돌 여부, 전환에 책임 있는 경계가 있는 내부 행위자, 효력 시점, 이의 제기 경로를 식별해야 합니다. 그리고 그 상태 변경을 게시, 저장소 관찰, 이후 철회, 정정 이력과 연결해야 합니다.

그런 기록은 "끝"이라는 단어를 AFRINIC의 내부 시스템을 볼 수 없는 당사자들에게 유용하게 만듭니다. Invalid 결과를 본 운영자는 통상적으로 기저 프리픽스가 처음부터 할당되지 않았는지, 깨끗하게 반납되었는지, 회수 절차 후에 집합에 들어왔는지 추론할 수 없습니다. 상태에 의문을 갖는 보유자는 암호 객체만으로 시점을 진단할 수 없습니다. 독립적 관찰자는 양쪽에 시간 기록과 연결이 없다면 장부 전환과 저장소 행동을 비교할 수 없습니다. 영수증은 서명 객체가 전달하도록 설계되지 않은 맥락을 공급합니다.

이것이 드래프트 3 문장의 중심 성과입니다. 부정형 라우팅 증거는 그것에 앞선 전환만큼만 정당하다는 것을 드러냅니다. "회수 중"과 "회수 종료" 사이의 선은 미정착 사적 절차와 게시 가능한 자원 상태 사이의 선입니다. 그 선을 보존하면 AFRINIC이 주권자인 척하지 않고도 유용할 수 있습니다. 통과점을 가시화하면 다른 이들이 게시자에게 판단을 넘기지 않고 신호를 신뢰할 수 있습니다.