Cinco monopólios regionais não eram o único projeto possível

Resumo

• Qualquer alternativa ao modelo dos cinco RIRs deveria ter impedido atribuições duplas, preservado a agregação, protegido o estado de segurança do roteamento, financiado os bens públicos compartilhados e permitido a recuperação após uma falha do provedor. Este teste de falha é primordial.
• Os primeiros RFCs identificaram um problema de escalabilidade na administração de endereços; o ICP-2 então converteu a coordenação regional em uma regra explícita de um RIR sob uma direção única e uma localização única para cada região em escala continental.
• O agrupamento institucional reuniu funções diferentes com exigências técnicas diferentes: o estado autoritativo dos recursos de numeração requer consistência, enquanto a prestação de serviços, a formação, as operações de certificação, o tratamento de litígios e algumas funções de responsabilização podem ser analisados separadamente.
• Os arquivos disponíveis não provam que a dissociação teria sido mais barata, mais segura ou preferida pelos operadores. Eles sustentam uma conclusão mais restrita: os cinco monopólios regionais eram projetos contingentes cujas alternativas exigem testes mensuráveis de coordenação, segurança, financiamento e recuperação.

O teste de falha antes de qualquer hipótese institucional

O ponto de partida útil não é a indignação com o monopólio. É o teste de falha que qualquer projeto rival deve passar. Um sistema de numeração não pode tolerar que duas autoridades independentes atribuam o mesmo bloco de endereços a detentores diferentes. Não pode considerar a agregação como opcional quando a estabilidade do roteamento depende de uma hierarquia consistente. Não pode deixar as afirmações de segurança de roteamento para redatores não coordenados sem um meio de decidir qual delas é autoritativa.

Não pode financiar educação, elaboração de políticas, gestão de registros e capacidade de tratamento de litígios apenas quando são lucrativas na margem. Também não pode permitir que um provedor com falha bloqueie registros, chaves, responsabilidades de DNS reverso ou obrigações dos membros sem um caminho de recuperação comprovado.

Este teste fornece o melhor argumento para o sistema atual de Registros Regionais da Internet. Um único registro reconhecido para uma vasta região reduz atualizações conflitantes, simplifica a responsabilidade e cria um lar estável para a expertise. Oferece aos operadores um fórum conhecido para serviços aos membros e discussões políticas. Permite subsidiar tarefas de interesse público com receitas de registro. Reduz o número de instituições com as quais a IANA, outros registros e operadores de rede precisam se coordenar para o estado global. Estes não são benefícios cosméticos.

São as razões pelas quais um monopólio regional de registro pode ser defendido como infraestrutura, não como simples status quo.

O mesmo teste também impede a conclusão preguiçosa de que o agrupamento atual era tecnicamente inevitável. A unicidade global exige um estado autoritativo coordenado. Não impõe automaticamente que cada serviço em torno desse estado seja fornecido por um provedor permanente único para uma região em escala continental.

A questão difícil é específica para cada função: quais tarefas exigem um redator autoritativo único, quais tarefas exigem regras comuns, quais tarefas exigem estado certificado, quais tarefas exigem serviço local, e quais tarefas poderiam ter sido fornecidas por prestadores credenciados sob um registro compartilhado e mecanismo de recuperação. Se essa distinção não for feita, a necessidade de registros únicos torna-se silenciosamente um argumento para um monopólio organizacional permanente.

A tese limitada é, portanto, simples. A delegação hierárquica foi uma resposta racional ao crescimento da Internet, à globalização e à escala administrativa. O modelo de um registro por região posteriormente tornou essa resposta legível e durável. Mas o registro, a adesão, a política, a certificação, o DNS reverso, a formação, o tratamento de litígios e o reconhecimento não eram um objeto natural único. Eles se tornaram um agrupamento pela prática da era dos padrões, pela política de reconhecimento e pela coordenação entre registros.

Uma hipótese contrafactual séria deve avaliar os riscos de separá-los, mas o próprio exercício de avaliação mostra que o agrupamento era uma escolha de governança, e não uma lei da física.

A escolha de escala precoce era real, mas incompleta

Os primeiros documentos de gestão de endereços devem ser lidos como a evidência de uma escolha de escala, e não como um plano institucional completo para a ordem RIR madura. O RFC 1366 de 1992 apresentou a distribuição regional como uma resposta ao crescimento e à globalização. O problema não era abstrato. À medida que a Internet se expandia para além de um pequeno ambiente de coordenação, a centralização administrativa criou atrasos, lacunas de conhecimento local e um descompasso entre a unicidade global e as necessidades de serviço regionais.

A delegação para organismos regionais oferecia uma maneira prática de manter a consistência dos registros enquanto aproximava o trabalho de atribuição de rotina das comunidades que usam os recursos.

RFC 1466, publicado em 1993, deu mais forma operacional à escolha. Ele descrevia registros regionais distribuídos habilitados pela IANA e pelo registro da Internet e estabelecia critérios para seleção de registros. Sua importância reside na direção tomada. A gestão de endereços poderia permanecer coordenada globalmente enquanto era administrada por estruturas regionais. Esse foi um movimento conceitual importante, afastando-se de um escritório puramente central. Reconhecia que o crescimento exigia distribuição institucional sem abandonar o objetivo de unicidade.

Os limites desses textos da era dos RFCs são igualmente importantes. Eram instrumentos da era da atribuição, não uma resposta definitiva a todas as questões posteriores de escassez, transferência, certificação, governança de adesões ou portabilidade de serviços. Eles mostram por que a administração regional era atraente antes de o sistema dos cinco RIRs amadurecer. Eles não provam que um provedor corporativo único em cada região deveria controlar indefinidamente todas as funções adjacentes.

Eles também não determinam se um mercado posterior de prestadores de serviços de registro credenciados poderia ter servido aos membros enquanto escrevia em um estado comum autoritativo.

Este artigo não reexamina uma hipótese contrafactual de portabilidade desde o início. A comparação mais restrita é a seguinte: no momento em que a ordem dos cinco RIRs se formou, o problema de design havia passado de "A gestão de endereços deve ser regionalizada?" para "Quais partes do agrupamento de registros regionais devem permanecer exclusivas, e quais poderiam ter se tornado portáteis ou federadas sem quebrar a unicidade?" Os primeiros RFCs respondem à primeira pergunta mais claramente do que à segunda. Eles identificam a razão para a distribuição, e não os limites permanentes da instituição que essa distribuição finalmente produziu.

O ICP-2 converteu um risco de coordenação em regra de provedor único

O texto institucional decisivo para o modelo maduro é oICP-2, aceito em 4 de junho de 2001. O ICP-2 não descrevia simplesmente uma preferência pela coordenação regional. Ele estipulava que cada região, aproximadamente em escala continental, deveria ser servida por um único Registro Regional da Internet sob uma direção única e em uma única localização. A preocupação declarada era a fragmentação. A presença de vários registros servindo à mesma região era apresentada como criando dificuldades de coordenação, serviço inconsistente e confusão entre os usuários do sistema de registros.

Esta regra merece respeito como um julgamento de risco. Um registro de numeração não é um negócio comum de atendimento ao cliente. Se dois provedores podem fazer alterações incompatíveis no mesmo estado de recurso autoritativo, o problema não é inconveniente; é a perda da verdade. Se duas interpretações de política geram resultados de registro conflitantes, os operadores e as redes upstream precisam saber qual resultado prevalece. Se um provedor de serviços desaparece, deve haver uma maneira de preservar registros, chaves, DNS reverso, contatos e obrigações.

A insistência do ICP-2 em um único registro reconhecido por região pode, portanto, ser defendida como uma regra de infraestrutura conservadora.

Mas um julgamento de risco não é o mesmo que uma prova comparativa. O ICP-2 afirmou o perigo de múltiplos registros regionais. Ele não publicou uma avaliação comparativa de projetos de registro compartilhado, prestadores de serviços credenciados, órgãos políticos separados, sistemas de litígios modulares ou disposições contratuais de sucessão. A política foi formulada com a participação dos RIRs existentes, o que não a torna ilegítima, mas significa que o texto não deve ser tratado como um estudo de mercado neutro. Ele nos diz como o sistema reconhecido escolheu gerenciar o risco.

Ele não nos diz o que todas as alternativas viáveis teriam custado.

A fórmula uma direção única e uma localização única é particularmente reveladora. Ela trata a fragmentação como um problema institucional resolvido pela concentração. O postulado é que a clareza melhora quando a região tem um registro reconhecido, uma estrutura de direção e uma localização. Isso pode ser verdade para o estado autoritativo, a responsabilidade pública e a coordenação entre registros. É menos evidentemente verdade para treinamento, suporte técnico, operações de certificação, comunicação com membros ou apoio local a litígios. O mesmo rótulo de risco foi aplicado a funções cujas necessidades técnicas diferem.

A leitura correta não é hostil nem deferente. O ICP-2 forneceu uma regra que ajudou a estabilizar a ordem dos registros regionais. Reduziu a confusão e deu à IANA, aos RIRs e aos operadores um mapa simples de autoridade. Ao mesmo tempo, converteu uma exigência técnica de estado de registro consistente em uma regra de exclusividade organizacional mais ampla. O texto justifica a conversão invocando fragmentação e confusão. A evidência ausente é a comparação: todas as funções precisavam dessa exclusividade, e salvaguardas modulares poderiam ter controlado os mesmos riscos a um custo de lock-in menor.

O agrupamento que pareceu natural posteriormente

No momento em que o sistema dos cinco RIRs se tornou o mapa comum da governança dos recursos de numeração, várias tarefas diferentes haviam sido integradas em um provedor institucional único para cada região. O RIR reconhecido era a fonte do serviço de registro. Era também a organização dos membros, a arena política local, o guardião dos registros de inscrição, um coordenador para o DNS reverso, uma entidade com acordos de certificação, um fornecedor de educação e reuniões comunitárias, e um fórum onde os litígios eram primeiramente formulados antes de o direito externo ou mecanismos de coordenação superiores intervirem.

O mesmo nome cobria o estado do livro-razão, as regras, os serviços, os bens públicos e a voz institucional.

Este agrupamento apresentava vantagens práticas. Um provedor único poderia manter a expertise da equipe em tarefas adjacentes. Poderia vincular o serviço aos membros à interpretação de políticas. Poderia financiar atividades que não produziam receitas de transação diretas. Poderia preservar a confidencialidade porque os dados operacionais sensíveis não precisavam circular entre vários prestadores de serviços. Poderia reduzir o custo de conciliação porque a organização que recebia as solicitações dos membros também mantinha o sistema de registros e entendia o histórico de políticas locais.

No domínio da infraestrutura, um baixo custo de conciliação não é um benefício menor.

O agrupamento também criou dependência. Um operador de rede que precisava de serviços de registro, acesso a políticas, gerenciamento de DNS reverso, suporte a certificação e atenção a litígios não tinha um problema normal de escolha de provedor. O registro regional reconhecido não era um provedor entre outros. Era o caminho institucional pelo qual o relacionamento do operador com os recursos de numeração era administrado. O reconhecimento, a adesão e os registros apontavam todos na mesma direção.

Com o tempo, essa concentração fez o agrupamento parecer tecnicamente inevitável, mesmo onde algumas funções tinham exigências de unicidade mais fracas do que o próprio livro-razão autoritativo.

A matriz a seguir separa as funções. Não é uma proposta de design de suprimentos. É uma maneira de manter a análise honesta perguntando o que deve ser único, o que está atualmente concentrado, o que uma alternativa modular deveria proteger e qual plano de recuperação seria necessário antes que uma mudança pudesse ser crível.

A matriz destaca duas realidades frequentemente confundidas. Primeiro, o livro-razão não pode ser tratado como um mercado aberto comum. Múltiplos redatores sem consenso e sem recuperação criariam exatamente os perigos que o ICP-2 temia. Segundo, todas as funções em torno do livro-razão não têm a mesma exigência de exclusividade. Educação, suporte aos membros, parte da revisão de litígios e segmentos da prestação de serviços podem ser imaginados como funções modulares se, e somente se, o estado autoritativo permanecer protegido por disposições de seguro de identidade, auditoria, responsabilidade, financiamento e sucessão.

O livro-razão autoritativo é o núcleo duro

A fronteira mais sólida em torno do modelo RIR é o livro-razão autoritativo dos recursos de numeração. Sem um estado de confiança indicando quem detém quais recursos, o resto do sistema torna-se ambíguo. Os registros de atribuição e cessão influenciam a prática de roteamento, o DNS reverso, a possibilidade de contato, a certificação e a avaliação de transferências. Um design que permite atribuições duplas ou mudanças de estado inconciliáveis falharia antes que sua filosofia de governança importasse.

É por isso que a palavra "monopólio" pode ser enganosa se usada vagamente. O núcleo duro não é o monopólio como preferência comercial. É a exclusividade da verdade autoritativa. Um livro-razão de numeração precisa de finalidade. Ele precisa de uma maneira de saber qual bloco é delegado, qual detentor está registrado, qual condição de política se aplica e qual instituição pode modificar o registro. Se um modelo modular não puder especificar essa finalidade, não é um modelo. É um convite ao conflito.

No entanto, a finalidade pode ser produzida de diferentes maneiras institucionais. Pode vir de um provedor regional único controlando o registro. Pode vir de um livro-razão compartilhado com um processo de decisão aceito único. Pode vir de um operador contratual cujas ações são auditadas e recuperáveis. Pode vir de uma hierarquia na qual apenas certas instituições podem escrever certas classes de estado. A necessidade técnica é consistência, não necessariamente que todos os serviços ao redor permaneçam indefinidamente dentro de uma única organização.

O sistema RIR atual resolveu a finalidade por meio de autoridades regionais reconhecidas. Essa solução tinha um baixo custo conceitual adicional. Os operadores sabiam a quem recorrer. A IANA sabia a quem delegar. Os outros RIRs sabiam com quem se coordenar. O modelo evitava protocolos de escrita complexos de múltiplos provedores dentro de uma região. Durante o período de crescimento, do início dos anos 1990 até o estabelecimento da ordem RIR madura, a simplicidade tinha valor.

O custo dessa simplicidade é a dependência institucional. Uma vez que o registro regional reconhecido se torna o único lugar onde o estado autoritativo pode ser modificado, cada serviço adjacente se aproveita dessa posição. As obrigações de adesão, os procedimentos de serviço, os conflitos de política e os acordos de certificação funcionam todos à sombra do livro-razão único. Mesmo quando uma função poderia teoricamente ser fornecida em outro lugar, o operador não pode facilmente sair do relacionamento com o registro reconhecido sem deixar o estado do registro reconhecido.

Esse é o mecanismo de lock-in que deve ser nomeado sem pretender que a unicidade em si seja opcional.

Prestação de serviços não é idêntica à autoridade final

O serviço de registro consiste em receber solicitações, verificar identidade, verificar elegibilidade política, comunicar-se com os membros, atualizar registros e reter evidências. Parte desse trabalho é indissociável da autoridade final. Uma mudança de estado não pode ser considerada válida até ser aceita no registro autoritativo. Mas o trabalho de contato com o cliente antes dessa atualização final é mais modular do que o próprio livro-razão. A verificação, documentação, tradução, divulgação regional e suporte técnico podem ser estruturados de várias maneiras se o caminho de escrita final for controlado.

Uma alternativa modular teria exigido prestadores de serviços credenciados, em vez de concorrentes livres para todos. Os prestadores precisariam de verificações de identidade, verificações de conflitos, obrigações de auditoria, regras de confidencialidade e responsabilidade por submissões defeituosas. Eles teriam que usar interpretações comuns das políticas ou encaminhar casos duvidosos a uma autoridade central. Eles teriam que colocar os registros sob sequestro para que um prestador com falha pudesse ser substituído sem perder o histórico dos membros.

Eles também precisariam de um modelo de financiamento para os bens públicos que as taxas de serviço comuns poderiam não sustentar.

Essas exigências são pesadas. Explicam por que o modelo RIR integrado era atraente. Um único registro pode combinar seguro de identidade, interpretação de políticas e atualizações de registro em uma única cadeia de custódia. Pode treinar a equipe sob uma cultura operacional única. Pode detectar padrões suspeitos nas interações dos membros. Pode evitar um mercado no qual os prestadores de serviços competem ampliando os limites de elegibilidade ou prometendo resultados mais rápidos do que as regras permitem.

Mas "pesado" não é o mesmo que "impossível". Bancos, registros de domínios, autoridades de certificação e outros sistemas próximos à infraestrutura usaram credenciamento, sequestro, auditoria e disposições de sucessão para separar algumas funções de serviço do estado autoritativo. Essa analogia não pode ser importada sem ajuste, pois os recursos de numeração da Internet têm sua própria história e estrutura política. Ela mostra, no entanto, que um monopólio institucional é apenas uma maneira de gerenciar a finalidade. A questão pertinente é se as salvaguardas custariam mais do que o lock-in que reduzem.

Os arquivos disponíveis não respondem a essa pergunta. Não existe uma série de custos observados comparando o serviço RIR integrado a um modelo de serviço credenciado. Não há pesquisa de preferência dos operadores mostrando se os membros teriam pago pela portabilidade ou preferido um escritório de registro único. Não há plano de migração em produção provando que o serviço modular teria sido seguro. A conclusão honesta não é que a dissociação era superior. É que a prestação de serviços é analiticamente separável da autoridade final, e o sistema escolheu não separá-las.

Políticas e adesão criam legitimidade, mas também enraizamento

A elaboração de políticas dos RIRs é um dos argumentos de interesse público mais fortes a favor do agrupamento. As regras de gestão de endereços precisam de conhecimento local, participação dos operadores e continuidade. Um registro regional pode convocar reuniões, publicar propostas, manter registros de discussões e implementar a política aceita. A organização dos membros fornece uma base eleitoral e de financiamento. Essa estrutura é mais legítima do que um administrador oculto aplicando regras sem processo comunitário.

Vincular a política à operação do registro também cria feedback. A equipe que entende as restrições operacionais pode informar as discussões políticas. Os membros que encontram problemas de serviço podem levantá-los no mesmo ambiente institucional onde as regras são feitas. Um registro que precisa implementar a política tem interesse em explicar a viabilidade. Esse feedback pode reduzir a distância entre a criação de regras e a realidade operacional.

O risco é que a centralidade do provedor se torne a estrutura na qual a legitimidade é medida. Se o único caminho reconhecido para a política é o processo do próprio RIR, então o debate sobre o papel do provedor, taxas, qualidade do serviço ou procedimentos de litígio ocorre dentro da instituição que se beneficia do arranjo atual. Isso não torna o processo inválido. Significa que o processo tem um problema de posição dominante. O responsável pelas regras, o provedor de serviços e o anfitrião dos membros não são completamente separados.

Um modelo modular poderia ter imaginado um fórum político regional independente cujas políticas adotadas vinculariam o operador do livro-razão autoritativo. Isso reduziria o controle do provedor sobre a criação de regras, mas introduziria outros riscos. O fórum político poderia ser capturado por um grupo restrito de entidades. Poderia adotar regras difíceis de implementar para os operadores. Poderia deixar o operador do livro-razão responsável por consequências que ele não ajudou a projetar.

Precisaria de um limiar de adoção claro, uma via de recurso e uma regra de emergência para situações em que a implementação colocaria em risco a integridade do registro.

Novamente, o exercício não é declarar a política modular melhor. Trata-se de avaliar a escolha. O modelo integrado reduz o custo de coordenação e vincula a criação de regras ao conhecimento operacional. O modelo separado poderia reduzir a autoproteção institucional, mas exigiria regras de responsabilidade mais estritas e uma interface vinculativa com as operações do registro. A regra de provedor único do ICP-2 evitou essa complexidade ao tratar o registro regional como o lar natural tanto para o serviço quanto para a política. Esse design funcionou como uma simplificação estabilizadora, mas ainda era um design.

Certificação, DNS reverso e a fronteira de segurança

A certificação e o DNS reverso tornam o problema de separação mais sensível. O estado da segurança do roteamento depende de links confiáveis entre os registros de recursos de numeração e as afirmações criptográficas ou DNS. Se o registro do detentor estiver errado, a certificação pode amplificar o erro. Se as chaves forem mal gerenciadas, expiradas ou comprometidas, as redes podem enfrentar falhas de validação ou sinais de confiança enganosos. Se as delegações de DNS reverso forem inconsistentes, a solução de problemas operacionais e o tratamento de abusos podem se tornar mais difíceis.

Essas funções fortalecem o argumento para manter certas operações próximas ao registro autoritativo. Um provedor responsável pelo registro de recursos tem o contexto para emissão, revogação e suporte de certificados. Pode alinhar as mudanças de DNS reverso com o estado do registro. Pode coordenar a resposta a incidentes sem transmitir dados sensíveis a vários subcontratados. Pode definir procedimentos operacionais sob uma cultura comum de risco.

Eles não provam que todas as funções de suporte devem ser monopolizadas. Um design separado poderia manter a autoridade de certificação final e a delegação de DNS reverso sob um ponto de controle comum e auditado, enquanto permite que vários prestadores de suporte ajudem os membros a preparar solicitações, gerenciar documentação ou entender os procedimentos. Tal modelo exigiria verificação estrita de identidade, regras de gerenciamento de chaves, escalada de incidentes e auditoria. Exigiria também que os membros soubessem quando estão recebendo conselhos de um prestador de suporte em vez da autoridade final do estado do registro.

Os riscos de coordenação são sérios. Um prestador de serviços ruim poderia gerenciar mal o material de chave, enviar alterações imprecisas, atrasar revogações ou confundir os membros sobre qual estado é autoritativo. A responsabilidade seria difícil de estabelecer, pois as falhas poderiam vir do membro, do prestador de suporte, do sistema de certificação comum ou do processo decisório do registro. A recuperação exigiria renovação de chaves, retenção de logs, suspensão de emergência e uma cadeia de comando clara. Essas exigências são precisamente o que dá à operação integrada do RIR um forte argumento de segurança.

A lição institucional é mais restrita do que uma defesa de cada função monopolística. O estado sensível à segurança deve permanecer estritamente controlado. O suporte, a educação e a revisão em torno desse estado só podem ser modulares onde a fronteira de controle é explícita. O agrupamento existente resolve o problema de fronteira reduzindo a maioria das funções a um único provedor. Uma hipótese contrafactual deve resolvê-lo por meio de regras, auditorias e disposições de recuperação. O fato de a hipótese contrafactual ser difícil não torna o agrupamento inevitável; torna visível a conveniência do agrupamento.

Os bens públicos são a melhor defesa econômica do agrupamento

Treinamento, reuniões, documentação, arquivos de políticas e divulgação regional não são decorações secundárias. São bens públicos em torno do sistema de registro. Muitos operadores se beneficiam de material de treinamento preciso mesmo que não paguem diretamente por um curso. Os arquivos de políticas ajudam futuras entidades a entender por que as regras existem. As reuniões regionais constroem confiança e trazem pequenas redes para discussões que de outra forma seriam dominadas por detentores maiores. Essas funções são caras e desigualmente monetizáveis.

Um organismo regional sem fins lucrativos financeiramente sustentável pode subsidiá-las de forma cruzada. As receitas de registro e adesão podem apoiar educação, divulgação, tradução, facilitação e assistência técnica. A posição de monopólio do provedor torna esse subsídio cruzado mais estável porque a instituição não é obrigada a competir apenas em taxas de transação estreitas. Em regiões onde as capacidades dos operadores são desiguais, essa estabilidade pode superar a escolha teórica de um provedor.

Esse é um argumento forte contra a retórica simplista da concorrência. Se prestadores de serviços modulares capturassem o trabalho de conta rentável enquanto deixassem a educação e a facilitação comunitária sem financiamento, o sistema poderia se tornar menos equitativo. Grandes operadores poderiam receber suporte sofisticado, enquanto pequenas redes perderiam os bens públicos subsidiados que as ajudam a participar. Uma camada de serviços competitiva sem fundos para bens públicos poderia esvaziar a base comunitária que dá legitimidade à governança do registro.

A resposta deveria ser um mecanismo de financiamento. Um design modular poderia exigir que todos os prestadores credenciados contribuíssem para um fundo comum para bens públicos. Poderia reservar uma parte das taxas para treinamento e suporte político. Poderia publicar as alocações de custos e exigir serviço em áreas carentes. Mas essas regras em si exigiriam administração e aplicação. O monopólio regional simplifica isso combinando a coleta de receitas e as despesas com bens públicos em uma única instituição.

As evidências disponíveis aqui não mostram qual modelo teria financiado melhor os bens públicos. Elas mostram que qualquer alternativa deve considerar o financiamento como uma restrição de design de primeira ordem. Uma hipótese contrafactual que promete escolha do provedor enquanto assume que treinamento, arquivos de políticas e divulgação se autofinanciarão deve ser rejeitada. O argumento econômico mais forte para o agrupamento não é que o monopólio é virtuoso. É que a infraestrutura compartilhada requer receitas estáveis para um trabalho que os mercados podem subfornecer.

Litígios, responsabilidade e recuperação definem o verdadeiro custo de comutação

O teste mais revelador para um design de registro modular não é o serviço comum. São os litígios e as falhas. Quando um membro contesta uma recusa, quando registros são presumidos errados, quando um provedor trata mal dados confidenciais, quando um estado de certificado precisa ser corrigido rapidamente, ou quando uma organização de serviços falha financeiramente, o sistema precisa de mais do que instruções operacionais normais. Precisa de autoridade para preservar o estado, decidir quem pode agir, restaurar o serviço e atribuir responsabilidades.

O modelo RIR integrado reduz esse problema de comutação ao ter uma única instituição reconhecida no centro. Se um litígio surgir, os registros, procedimentos, pessoal e responsabilidade institucional relevantes estão concentrados. Processos legais externos ainda podem contar, mas o ponto de contato operacional é claro. Se o próprio registro falhar, o problema se torna grave, mas há pelo menos uma entidade conhecida cujas responsabilidades devem ser transferidas.

Um design modular multiplica os limites. Uma atualização de conta ruim poderia envolver um membro, um prestador de serviços credenciado, um órgão de interpretação de políticas e um operador de livro-razão central. Uma falha de certificação poderia envolver o gerenciamento de chaves por uma entidade, conselhos de suporte por outra e o estado do registro mantido por uma terceira. Um órgão de resolução de litígios poderia ordenar uma correção, mas o operador do livro-razão teria que implementá-la. Cada interface requer prazos, regras de evidência, obrigações de confidencialidade e repartição de responsabilidades.

Isso não torna a modularidade impossível. Faz da recuperação o preço da modularidade. Antes que uma alternativa possa ser crível, ela precisaria de um sequestro obrigatório dos registros dos membros, logs de auditoria, manuais operacionais, procedimentos de assinatura e litígios em andamento. Precisaria de um processo de nomeação de um sucessor que funcione quando um operador é insolvente ou hostil. Precisaria de poderes de emergência que preservem o estado atual sem permitir que um administrador faça alterações arbitrárias. Precisaria de obrigações executáveis para que os membros não fiquem presos entre as instituições.

É aqui que grande parte das críticas teóricas ao monopólio se tornam muito fáceis. Elas contam o lock-in mas não a recuperação. O sistema atual cria dependência de provedores regionais. Um sistema modular cria dependência de interfaces, contratos, auditores, regras de sucessão e órgãos de litígio. A comparação pertinente não é monopólio versus liberdade. É dependência concentrada versus um conjunto de dependências distribuídas que ainda precisam convergir para o estado autoritativo.

O NRO mostra coordenação entre operadores estabelecidos, e não um teste de mercado

Omemorando de entendimento do NRO, datado de 24 de outubro de 2003, é útil porque mostra como os registros regionais se coordenaram uma vez que o modelo estabelecido já estava em vigor. O acordo criou um mecanismo coletivo entre os RIRs, e as obrigações exigiam um compromisso escrito unânime. Quatro RIRs criaram o arranjo, com a AFRINIC juntando-se após seu reconhecimento posterior. O documento não é um estudo de concorrência. É um instrumento de coordenação entre registros.

Sua importância é institucional. Em 2003, os atores envolvidos não eram simplesmente escritórios regionais independentes. Estavam criando uma forma coletiva para falar e se coordenar entre as regiões. Isso fortaleceu a ordem dos cinco RIRs ao dar a ela uma camada entre registros organizada. Também tornou o reconhecimento e a participação mais consequentes, pois juntar-se à família de registros regionais significava entrar em um sistema coordenado em vez de simplesmente gerenciar um escritório de atribuição local.

A característica do compromisso unânime é uma faca de dois gumes. Pode proteger os registros regionais contra compromissos sem consentimento, o que apoia a estabilidade institucional. Também pode enraizar os atores estabelecidos ao tornar as mudanças coordenadas difíceis. Se cada entidade deve se comprometer por escrito, o sistema ganha previsibilidade mas perde parte de sua capacidade de reforma experimental. Esse trade-off é familiar na governança de infraestrutura: a mesma regra que impede mudanças imprudentes também pode retardar adaptações necessárias.

O documento do NRO ajuda, portanto, a explicar por que o agrupamento se tornou mais difícil de questionar. Quanto mais os RIRs se coordenavam entre si, mais o mapa dos cinco provedores parecia a constituição operacional da governança dos recursos de numeração. Um único registro regional não era apenas o provedor de serviços para sua região. Era também um nó em um coletivo entre registros reconhecido. Essa relação aumentou o custo institucional de imaginar prestadores de serviços portáteis ou arranjos regionais alternativos.

O documento não mostra que as alternativas eram impossíveis. Não compara um livro-razão compartilhado com prestadores de serviços credenciados. Não mede a demanda dos operadores por portabilidade. Não quantifica o custo da coordenação dos atores estabelecidos em comparação com uma concorrência modular. Sua evidência é mais restrita e, no entanto, importante: uma vez que os RIRs estavam coordenados por seus próprios arranjos coletivos, o modelo de um provedor por região foi reforçado globalmente.

O acordo posterior de numeração da IANA é apenas uma analogia limitada

O acordo de serviços de numeração da IANA que entrou em vigor em 1º de outubro de 2016 está fora do período central de formação de 1992 a 2010, mas fornece uma analogia útil se permanecermos dentro dos limites. Mostra que expectativas de desempenho, escalada, resolução de litígios, renovação e disposições de operação do sucessor podem ser inscritas em um acordo operacional formal em um nível do sistema de numeração. Em outras palavras, uma coordenação única pode ser expressa por condições contratuais modulares em vez de apenas pela tradição institucional.

A analogia não deve ser exagerada. Este acordo rege o relacionamento para os serviços de numeração da IANA. Não prova que a concorrência entre provedores de registro dentro de uma região já funciona. Não prova que os membros prefeririam um serviço portátil. Não testa a segurança de múltiplos redatores credenciados para o estado dos recursos regionais. É posterior ao período de formação do modelo dos cinco RIRs e não deve ser interpretado retrospectivamente como prova do que era viável no início dos anos 1990 ou em 2001.

Seu valor é conceitual. Se um nível pode especificar expectativas de serviço, escalada, tratamento de litígios e disposições de sucessão, então o vocabulário conceitual existe para separar a função da instituição. Um modelo regional modular precisaria de um vocabulário semelhante, mas mais estrito em alguns aspectos, pois afetaria as contas dos membros, a certificação, o DNS reverso e a implementação de políticas locais. O acordo posterior não responde à questão do custo. Mostra o tipo de cláusulas que uma alternativa séria precisaria.

Esse ponto é importante porque os debates sobre o monopólio dos RIRs frequentemente se tornam binários. Ou o provedor regional é tratado como o único lar possível para todas as funções, ou a concorrência é tratada como um remédio genérico. O acordo posterior indica um terceiro estilo de raciocínio: definir o serviço, definir o desempenho, definir a escalada, definir o tratamento de litígios, definir a renovação e definir a operação do sucessor. Uma hipótese contrafactual crível deve ser igualmente concreta. Deve ser engenharia institucional, não um slogan.

Um contramodelo distribuído é uma prova de imaginação, não uma prova de produção

A experiência de 2018 sobre gestão distribuída de endereços da Internet usando blockchains é relevante como contramodelo técnico porque mostra que os pesquisadores podiam separar o estado de gestão distribuída de endereços das cinco organizações privadas existentes, pelo menos em um quadro protótipo. Isso é uma evidência útil contra a afirmação de que ninguém pode sequer imaginar um estado de registro não tradicional. Não é prova de que tal sistema está pronto para governar os recursos de numeração da Internet em produção.

Os limites são decisivos. Um protótipo não prova segurança sob incentivos hostis. Não resolve a legitimidade da governança, aplicabilidade legal, migração dos registros atuais, confidencialidade, financiamento de taxas, tratamento de litígios ou operação do sucessor. Não mostra que os operadores aceitariam o sistema ou que reguladores e tribunais entenderiam seus resultados. Não prova que a tecnologia de consenso reduz custos uma vez que auditoria, seguro de identidade, recuperação de chaves e responsabilidade são incluídos.

O contramodelo deve, portanto, ser usado com cautela. Ele expande o espaço de design ao nos lembrar que o estado autoritativo pode ser representado e validado em mais de uma arquitetura técnica. Também reforça o teste de falha. Qualquer sistema distribuído ainda precisa de uma maneira de impedir a dupla atribuição, identificar modificações autorizadas, recuperar-se de um comprometimento de chave, reverter atualizações ruins, financiar suporte e atribuir responsabilidades. Um consenso sem governança responsável apenas substituiria uma dependência por outra.

É por isso que a pergunta feita neste artigo não é "Os recursos de numeração devem ser colocados em uma blockchain?" A resposta não é fornecida pelas evidências e não deve ser inventada. A pergunta é se o agrupamento dos cinco RIRs deve ser entendido como a única forma possível de consistência. A experiência ajuda a responder a essa pergunta mais restrita, mostrando que modelos técnicos alternativos de estado podem ser propostos. Ela não mostra que eles são legítimos, mais baratos, mais seguros ou implantáveis.

Uma grade de custos e riscos refutável

Como os arquivos disponíveis não incluem dados comparativos de custos, taxas de falha, pesquisas de preferência dos operadores ou ensaios em produção de alternativas modulares, o método honesto é uma grade em vez de um veredito numérico. A grade deve fazer cinco perguntas. Primeiro, o design preserva um estado único autoritativo para cada recurso em todos os momentos, incluindo em caso de litígio ou falha? Segundo, mantém a agregação e evita políticas que fragmentam os incentivos de roteamento? Terceiro, protege o estado da certificação e do DNS reverso contra modificações inconsistentes ou fraudulentas?

Quarto, financia os bens públicos que não têm receitas de transação diretas? Quinto, pode transferir serviço, registros e autoridade quando um provedor falha?

Um registro regional integrado obtém bons resultados em simplicidade, autoridade clara, continuidade da equipe e financiamento de bens públicos. Obtém resultados piores em saída dos membros, pressão competitiva, revisão independente do desempenho do provedor e resiliência diante de uma falha do provedor. Um design modular de serviço credenciado poderia obter melhores resultados em escolha e revisão, mas piores em complexidade da interface, custo de conciliação, responsabilidade e incentivos para provedores buscarem contas rentáveis.

Um design de registro distribuído poderia obter melhores resultados em estado replicado, mas piores em legitimidade da governança, confidencialidade, recuperação de chaves e responsabilidade legal.

A grade também precisa de métricas. Para custo, as evidências exigiriam dados completos função por função: operações do livro-razão, serviço aos membros, suporte político, certificação, DNS reverso, treinamento, tratamento de litígios, auditorias e exigências de reserva. Para risco, precisaria de dados históricos de incidentes e cenários de falha modelados. Para demanda, precisaria de pesquisas com operadores ou evidências de preferências reveladas mostrando se os membros mudariam de provedor, pagariam por portabilidade ou prefeririam o escritório único existente.

Para recuperação, precisaria de exercícios de migração testados, e não declarações de confiança.

Essa abordagem evita duas afirmações não fundamentadas. Não afirma que o agrupamento dos cinco RIRs é ótimo porque durou. Longevidade é prova de continuidade, não prova de melhor design. Também não afirma que a concorrência seria mais barata porque a concorrência frequentemente reduz preços em mercados comuns. A governança de registros não é um mercado comum, e os custos de consenso, auditoria, responsabilidade e recuperação podem ser substanciais.

A única afirmação defensável é que o agrupamento atual deve ser avaliado em relação às alternativas por função, e não protegido pela suposição de que a unicidade técnica resolve todas as questões institucionais.

O argumento mais forte a favor dos cinco monopólios regionais

A melhor defesa do design dos cinco monopólios regionais é a continuidade operacional dentro de um modelo sem fins lucrativos de interesse público. Por décadas, o sistema RIR forneceu uma estrutura reconhecível para a administração dos recursos de numeração. Os operadores sabiam onde obter o serviço. A IANA conhecia o interlocutor regional para a delegação. As comunidades RIR desenvolveram processos políticos. A coordenação entre registros era gerenciada entre um pequeno número de instituições. A educação, as reuniões e o trabalho nos registros podiam ser financiados pela mesma organização que administrava os recursos.

O modelo garantiu continuidade, e continuidade é importante.

O modelo também reduzia a conciliação. Quando a mesma instituição gerencia a conta do membro, a interpretação de políticas, a atualização de registros, a coordenação de DNS reverso e o suporte relacionado, menos interfaces podem falhar. Informações confidenciais permanecem dentro de uma única organização. A equipe pode desenvolver expertise aprofundada da política regional e do histórico dos membros. As decisões podem ser documentadas em um único registro institucional. Esses benefícios são particularmente importantes quando erros afetam não apenas um relacionamento com o cliente, mas também a confiabilidade da infraestrutura compartilhada.

A estrutura sem fins lucrativos adiciona uma defesa extra. Um registro regional não deve maximizar receitas de transação vendendo interpretações favoráveis. Sua legitimidade depende de serviço, neutralidade, processo comunitário e administração. Uma camada competitiva poderia introduzir incentivos difíceis de controlar: provedores poderiam competir em velocidade, leniência, lobby ou consultoria agrupada. O modelo RIR integrado limita esses incentivos ao manter o serviço final dentro de uma instituição cujo propósito de interesse público faz parte de sua identidade.

Há também um argumento de confidencialidade. A administração dos recursos de numeração pode envolver planos de negócios, expansão de rede, dados de contato e informações operacionais sensíveis. Um único registro pode ser responsabilizado por obrigações de confidencialidade por meio de uma única estrutura de governança. Vários provedores aumentam o número de lugares onde dados sensíveis podem vazar ou ser mal utilizados. Auditorias e contratos podem reduzir esse risco, mas não podem eliminá-lo.

Esses argumentos são fortes o suficiente para rejeitar qualquer hipótese contrafactual que considere o monopólio como manifestamente ruim. O modelo atual não era um cartel acidental colado a um problema técnico neutro. Era um arranjo de infraestrutura conservador projetado para preservar consistência, serviço e coordenação enquanto a Internet se globalizava. Sua economia de bens públicos e baixo custo de conciliação merecem atenção séria.

O argumento mais forte contra considerar o agrupamento como inevitável

O argumento contra a inevitabilidade começa pelo lock-in. Um membro não pode transferir seu relacionamento de registro autoritativo para um provedor concorrente da mesma forma que poderia mudar um provedor comum. O ponto de controle do RIR reconhecido está embutido na hierarquia global de numeração. Isso dá ao provedor alavancagem mesmo quando a disputa é sobre qualidade do serviço, taxas, procedimento ou responsabilidade institucional, em vez da unicidade técnica do registro de recursos.

A falha do provedor é a segunda preocupação. Um único registro regional simplifica a autoridade em tempos normais, mas concentra riscos operacionais e de governança. Se o provedor enfrentar dificuldades financeiras, legais ou institucionais, os membros da região não podem simplesmente escolher outro serviço de registro totalmente equivalente da noite para o dia. A falha de um provedor monopolístico não é apenas a falha de um vendedor. Torna-se um problema de continuidade para registros, políticas, certificação, DNS reverso e coordenação entre registros.

A terceira preocupação é que o agrupamento pode mascarar diferenças de desempenho entre funções. Um registro pode ser excelente na manutenção do livro-razão, mas fraco no tratamento de litígios. Pode ser forte em operações técnicas, mas pobre em divulgação. Pode fornecer educação eficaz, mas carecer de revisão independente de decisões sensíveis. Se todas as funções são justificadas por referência à unicidade do livro-razão, um mau desempenho em uma função separável torna-se mais difícil de contestar. A instituição pode pedir emprestada legitimidade de sua tarefa técnica mais difícil.

A quarta preocupação é a falta de evidências comparativas. O ICP-2 não publicou uma avaliação sólida de alternativas modulares. O arranjo do NRO coordenou os atores estabelecidos em vez de testar a portabilidade dos serviços. O acordo posterior da IANA mostra condições modulares em um nível, mas não mede a concorrência intra-regional. O contramodelo distribuído mostra imaginação, mas não prontidão para produção. O registro, portanto, apoia a conclusão de que as alternativas não foram provadas, e não que foram refutadas.

A quinta preocupação é a adaptação. Um sistema projetado para atribuição na era do crescimento pode enfrentar tensões diferentes em situação de escassez, transferências, dependência de certificação e contestação legal. Agrupamentos que eram eficazes em um período podem se tornar mais difíceis de justificar quando as funções evoluem. Isso não significa que o modelo dos cinco RIRs falhou. Significa que os designs institucionais não devem ser protegidos contra reavaliação pelo fato de terem resolvido bem um problema anterior.

A hipótese contrafactual mínima viável

Uma hipótese contrafactual mínima viável manteria a unicidade do livro-razão autoritativo dos recursos de numeração enquanto separa algumas funções de serviço e responsabilidade sob credenciamento estrito. Não permitiria que provedores arbitrários escrevessem o estado dos recursos. Não criaria registros regionais rivais com autoridade incompatível. Preservaria a hierarquia IANA-registro e a coordenação entre registros. Seu objetivo seria mais restrito: verificar se o serviço de contato com os membros, treinamento, algumas funções de suporte e revisão independente poderiam ser portáteis enquanto o estado final permanece controlado.

Nesse design, o operador do livro-razão manteria o estado final dos recursos, os limites da autoridade de certificação e a autoridade de delegação do DNS reverso. Prestadores de serviços credenciados poderiam ajudar os membros a enviar solicitações, gerenciar documentação, receber treinamento e navegar pelas políticas. Um fórum político independente poderia definir as regras, com revisão operacional antes da adoção. Um órgão de revisão separado poderia tratar os litígios dentro de prazos e emitir instruções de correção vinculativas. Um fundo para bens públicos financiaria educação, reuniões, arquivos e suporte para comunidades carentes.

Todos os provedores seriam auditados e obrigados a colocar os registros sob sequestro.

A hipótese contrafactual exigiria disposições de recuperação robustas. Se um prestador credenciado falhasse, os registros dos membros seriam transferidos para outro prestador ou para o operador do livro-razão. Se o operador do livro-razão falhasse, um operador sucessor seria nomeado por um mecanismo predefinido, com os registros, chaves, logs e manuais operacionais disponíveis. Se um litígio afetasse a certificação ou o DNS reverso, regras de preservação de emergência impediriam modificações prejudiciais durante a revisão.

Se um provedor enviasse alterações fraudulentas, regras de responsabilidade e suspensão seriam aplicadas sem deixar os membros presos.

Este design é voluntariamente modesto. Não afirma que os cinco registros regionais devem ser substituídos. Não recomenda uma blockchain ou tecnologia nomeada. Não assume que a escolha do provedor cria legitimidade. Não trata os bens públicos como gratuitos. Simplesmente separa a autoridade final de algumas funções de serviço e pergunta se a separação pode ser tornada mais segura, mais barata ou mais responsável do que o agrupamento atual.

As evidências necessárias para rejeitá-la são também concretas. Mostrar que prestadores credenciados aumentam fraude, custos ou atrasos além de níveis aceitáveis. Mostrar que os operadores não querem portabilidade quando entendem as taxas e os riscos. Mostrar que o financiamento de bens públicos colapsa quando o serviço é separado. Mostrar que a revisão independente retarda correções de emergência ou cria interpretações inconsistentes. Mostrar que as disposições de sucessão não podem preservar certificação, DNS reverso e registros sem risco inaceitável. Tais evidências não defenderiam o monopólio por hipótese. Defenderiam-no pela medição.

O que se pode concluir agora

As fontes sustentam uma conclusão disciplinada. Os primeiros RFCs mostram por que a administração regional surgiu como uma resposta à escalabilidade. O ICP-2 mostra como essa resposta se endureceu em uma regra de um RIR sob uma direção única e uma localização única para cada grande região. O memorando de entendimento do NRO mostra os atores estabelecidos coordenando suas obrigações coletivas uma vez que o modelo regional estava estabelecido. O acordo de numeração posterior da IANA mostra, apenas por analogia limitada, que expectativas de serviço e regras de sucessão podem ser especificadas em um nível.

A experiência de gestão distribuída de endereços mostra que modelos técnicos alternativos de estado podem ser imaginados, sem provar nenhuma das exigências de produção.

Eles não sustentam a afirmação de que a dissociação teria sido mais barata. Eles não sustentam a afirmação de que os operadores queriam provedores portáteis. Eles não mostram um caminho de migração seguro da ordem RIR existente para um design modular. Eles não provam que múltiplos redatores podem tocar o estado autoritativo sem consenso e recuperação. Eles também não provam que cada função do agrupamento de registros regionais deveria permanecer monopolizada permanentemente por um único provedor.

A história institucional é, portanto, mais interessante do que a defesa ou a crítica geralmente admitem. Os cinco monopólios regionais eram uma maneira racional de resolver a coordenação em um contexto de crescimento, globalização e escala administrativa. Eles protegiam a unicidade ao tornar a autoridade simples. Eles financiavam bens públicos e reduziam custos de conciliação. Eles também fundiram funções separáveis em instituições das quais se tornou difícil sair, difíceis de comparar e difíceis de substituir.

O design testável mínimo não é uma ideologia rival. É um experimento controlado sobre separabilidade: manter o estado do registro autoritativo único, definir regras de segurança e recuperação inegociáveis, financiar explicitamente os bens públicos e permitir apenas que funções de serviço que possam sobreviver a testes de auditoria, responsabilidade e sucessão se tornem portáteis. Se esse experimento falhar, o agrupamento monopolístico ganha uma defesa mais sólida baseada em evidências. Se for bem-sucedido, a lição não seria que os RIRs eram inúteis.

Seria que a unicidade global exigia um livro-razão protegido, enquanto o agrupamento permanente de todas as funções adjacentes era apenas um projeto possível.