Resumo

  • A Resolução 202201.673 ratificou a proposta AFPUB-2019-GEN-006-DRAFT03 e, com isso, aceitou para a própria AFRINIC a obrigação afirmativa de criar e publicar ROAs AS0 sobre o inventário que a organização registrasse como não alocado ou não atribuído.
  • AS0 expressa que nenhum sistema autônomo comum é esperado como origem do espaço coberto. Um validador pode classificar uma origem conflitante como tecnicamente Invalid, mas cada rede continua decidindo se monitora, reduz preferência, rejeita ou não altera rota alguma.
  • O melhor argumento para a medida é de segurança: endereços registrados como não utilizados podem atrair anúncios não autorizados. O risco simétrico é um objeto desatualizado ou derivado de um registro incorreto impor custos e falsos positivos a terceiros.
  • A ratificação não demonstra delegação, geração de prefixos, uso de chaves, publicação em repositório, observação por validadores, adoção por operadores, interrupção ou benefício mensurado. Cada uma dessas etapas exige evidência própria.
  • Um serviço defensável precisa produzir um recibo verificável que ligue versão da política, fotografia do inventário, regra de derivação, autorização do assinante, conjunto de objetos, repositório, exclusões, retirada, correção, sucessão e aviso explícito de discricionariedade operacional.

Leitura essencial: publicar é o ato que importa

Uma resolução de uma linha pode esconder uma sequência operacional extensa. Na Resolução 202201.673, o verbo consequente não é apenas “ratificar”. É publicar. Ao ratificar a AFPUB-2019-GEN-006-DRAFT03 em janeiro de 2022, o Conselho da AFRINIC aceitou uma política que incumbia os próprios sistemas de registro e certificação da organização de produzir uma afirmação criptográfica sobre parte de seu inventário. A tarefa contemplada começava com os endereços IPv4 e IPv6 registrados como não alocados ou não atribuídos, passava pela derivação dos prefixos cobertos e pela assinatura de ROAs com AS0, e terminava na disponibilização desses objetos em um repositório que validadores pudessem observar.

Isso é um ato afirmativo, mesmo que a mensagem técnica de AS0 seja negativa. Um ROA registra, de forma assinada, uma relação entre espaço de endereços e o comportamento de origem permitido. Quando o número de sistema autônomo indicado é zero, a declaração comunica que nenhum sistema autônomo comum é esperado como origem do espaço coberto. A negação está no conteúdo da afirmação. A ação institucional, porém, é positiva: selecionar dados, derivar um conjunto, autorizar uma assinatura, operar uma chave, publicar objetos e mantê-los coerentes com um inventário que muda.

A diferença é mais que semântica. Se a ação for descrita como se a AFRINIC estivesse proibindo uma pessoa de usar endereços ou condenando uma rede, desaparecem tanto o limite institucional quanto o verdadeiro ponto de falha. A AFRINIC é uma entidade privada, associativa e técnica, encarregada de coordenação e escrituração. Pode manter registros, emitir certificados e oferecer afirmações de segurança dentro desse papel estreito. Não é um Estado, não legisla para a Internet, não julga propriedade e não adquire poder sobre redes independentes por ter ratificado uma proposta.

O efeito possível nasce em outro lugar. Um validador que obtenha o objeto do repositório pode comparar um anúncio BGP com as informações da RPKI. Se uma origem comum conflitar com o ROA AS0, o resultado pode ser o estado técnico Invalid. A palavra, escrita com inicial maiúscula no vocabulário do protocolo, não é uma declaração jurídica. Ela descreve uma relação entre anúncio e dados criptográficos observados. Depois disso, um operador pode registrar o alerta, investigar, diminuir a preferência, rejeitar a rota ou não mudar nada. A resolução não instala configuração em roteadores e não elimina esse julgamento local.

O melhor caso de segurança — e sua condição

O argumento benigno merece ser exposto em sua forma mais forte. Blocos registrados como não alocados ou não atribuídos podem ser anunciados por agentes que não têm uma base registral reconhecida para originá-los. Sem um sinal verificável, cada rede precisa reunir indícios, comparar fontes e decidir quanto confiar em uma ausência. Um ROA AS0 estreitamente delimitado converte a condição do inventário em uma afirmação autenticada: naquele retrato do registro, nenhuma origem comum era esperada. Isso pode tornar anúncios suspeitos mais visíveis e reduzir a utilidade operacional de apropriações indevidas, sem retirar do operador a decisão final.

Mas a utilidade depende de a fotografia registral estar correta no instante pertinente. Um endereço marcado como livre hoje pode estar reservado, em transição ou prestes a ser entregue amanhã. Se um objeto que o cobre permanecer publicado depois de uma alocação ou atribuição, uma origem legítima pode encontrar um sinal conflitante. O custo recairia sobre operadores e usuários que teriam de investigar, contornar e corrigir a discrepância. Por isso, a obrigação de revogar e remover o ROA de cobertura antes da mudança de estado não é detalhe administrativo. É o freio que impede uma afirmação útil sobre ontem de se tornar uma informação perigosa sobre hoje.

A mesma disciplina vale para erros. O conjunto de prefixos deve derivar deterministicamente de estados definidos, com exclusões explícitas e revisão independente. Quem autoriza a execução não deveria ser a única pessoa a produzir e publicar o objeto. A correção precisa ter canal conhecido, prazo mensurável e histórico que permita ao observador distinguir o objeto vigente de seus antecessores. O sistema deve mostrar não só que algo foi publicado, mas a partir de qual inventário, sob qual versão da política e por qual autorização.

Uma cadeia de estados, não um salto narrativo

O registro disponível sustenta duas etapas: a proposta existia nos termos da Draft 3 e o Conselho a ratificou por meio da resolução numerada. Não sustenta as etapas posteriores. É preciso conservar a cadeia inteira sem atalhos: proposta; consenso comunitário; ratificação pelo Conselho; delegação interna; fotografia do inventário; derivação de prefixos; assinatura; publicação no repositório; observação por validador; decisão de roteamento de cada rede.

Uma etapa pode preparar a seguinte, mas não a prova. Consenso não assina um objeto. Ratificação não demonstra que uma chave foi usada. Assinatura não prova que um repositório entregou o objeto. Publicação não prova que um validador o viu. Validação não prova rejeição. E rejeição, se algum dia fosse demonstrada em um caso específico, ainda exigiria examinar a política local do operador e o contexto daquele anúncio. Esse encadeamento protege a análise contra a tentação de transformar autorização em implantação ou possibilidade em resultado.

Também não estão estabelecidos, neste registro, um prefixo concreto, um ROA de produção, uma data de operação, um falso positivo, uma interrupção, uma perda ou um benefício mensurado. Não se conhecem aqui o dia exato da reunião do Conselho, quórum, presenças, conflitos, pareceres, contagem de votos, dissensos, orçamento, delegação, data de vigência, prazo de implementação ou cláusula de revisão. São campos desconhecidos. A ausência pública desses elementos no material examinado não autoriza dizer que inexistiram em registros privados nem que houve irregularidade.

O limite que preserva o serviço

A publicação é mais legítima quando se apresenta com modéstia institucional. Ela pode dizer: “segundo este inventário, esta versão de política e esta assinatura, estes recursos estavam nas categorias cobertas neste momento”. Não pode converter essa declaração em veredicto sobre culpa, propriedade, atividade econômica ou licitude. A segurança vem da possibilidade de verificar a procedência e de desfazer rapidamente o sinal quando o fato registral muda. Não vem da pretensão de obrigar terceiros.

Essa moldura também esclarece os papéis das fontes analíticas. A perspectiva da NRS ajuda a examinar a AFRINIC como organização privada de membros, e não como representante soberana de um continente. Heng Lu fornece a fronteira entre coordenação fina, afirmações verificáveis e poder de coerção, além de insistir na primazia do código executado e da escolha local. A LARUS mostra por que um erro de registro pode viajar até o trabalho diário de operadores e elevar custos de continuidade.

A BTW situa o debate geral sobre ROAs AS0, mas aqui funciona sobretudo como limite: esta análise não reencena a disputa ampla entre conservação e negação preventiva. O objeto específico é o mandato afirmativo de publicação criado pela resolução.

O teste curto, portanto, tem duas perguntas. Primeiro: a AFRINIC consegue provar exatamente o que autorizou seus sistemas a assinar e publicar? Segundo: consegue mostrar que essa publicação permanece reversível, corrigível e incapaz de usurpar a escolha das redes? Se ambas forem respondidas com evidência, o ROA AS0 pode ser entendido como um serviço privado de segurança. Se a resposta depender de autoridade presumida, inventário opaco ou retirada incerta, a fragilidade não está na criptografia, mas na governança do dado que foi criptograficamente afirmado.