Resumo

  • A AFPUB-2019-GEN-006-DRAFT01, publicada em 4 de novembro de 2019, propôs que a AFRINIC originasse ROAs AS0 sobre espaço de endereços que seus dados de serviço registravam como não alocado.
  • O melhor argumento a favor era genuíno: um objeto assinado poderia oferecer a operadores um aviso autenticado sobre uma origem que não deveria existir, dentro do mesmo sistema de validação usado para ROAs positivos, reduzindo a dependência de listas manuais possivelmente desatualizadas.
  • A utilidade e o risco vinham da mesma alavanca. Um estado incorreto ou uma retirada atrasada poderia produzir um resultado Invalid para uma origem legítima; o ROA não eliminaria a rota por si só, mas cada rede poderia rejeitá-la, reduzir sua preferência, apenas monitorá-la ou não agir.
  • A publicação de uma minuta prova somente que a proposta foi publicada. As fontes disponíveis não comprovam adoção, consenso, ratificação, implementação, emissão operacional de objetos, incidente, dano a um titular nem redução mensurada de originações indevidas.
  • Um desenho defensável exigia escopo exato, proveniência visível, verificação de conflitos, histórico auditável, retirada coordenada antes de uso legítimo, correção urgente, observação independente e preservação da escolha de cada operador.
  • A AFRINIC continuava sendo uma prestadora privada de escrituração técnica e coordenação. Assinar e publicar uma afirmação de segurança não lhe conferia poder soberano, legislativo, regulatório, policial, punitivo, confiscatório ou de julgamento de direito público.

Um estado do cadastro ganha uma assinatura

O gesto proposto em 4 de novembro de 2019 parece simples quando descrito apenas por seus componentes. A AFRINIC mantinha dados sobre a condição de recursos numéricos em sua região de serviço. Um desses estados era “não alocado”. A primeira minuta da série AFPUB-2019-GEN-006 propunha que a organização usasse seu serviço de publicação RPKI para originar ROAs cujo ASN fosse o AS 0 sobre esse espaço. Assim, uma informação antes localizada no cadastro passaria a circular como um objeto assinado, recuperado e avaliado por validadores que aceitassem a cadeia de confiança relevante.

O AS 0 não é uma origem BGP comum. No contexto da validação de origem, seu uso em um ROA funciona como uma rejeição antecipada da expectativa de que o prefixo coberto, ou os mais específicos abrangidos pelo limite indicado no objeto, deva aparecer com uma origem ordinária. Se um anúncio observado não encontra autorização compatível para sua origem e seu comprimento entre os ROAs que o cobrem, o resultado pode ser Invalid. Esse resultado tem precisão semântica: ele descreve a relação entre o anúncio e o conjunto de autorizações de origem aceito pelo validador.

Não diz que o anunciante cometeu um ilícito, que perdeu um direito, que o endereço pertence ao signatário ou que a rota foi apagada da Internet.

A diferença importa porque a RPKI organiza evidências técnicas, enquanto o BGP continua sendo operado por redes autônomas. Um validador produz estados; uma rede escolhe o que fazer com eles. Um operador pode rejeitar uma rota Invalid, reduzir sua preferência, gerar um alerta, abrir uma investigação, combinar o resultado com outras evidências ou não alterar sua seleção. A proposta da AFRINIC não continha um interruptor global. Seu efeito prático dependeria de duas decisões separadas: a decisão da organização de publicar uma afirmação negativa e a decisão de cada operador de confiar nela com determinada intensidade.

Essa separação não torna o objeto irrelevante. Ao contrário, revela onde se encontra sua influência real. Uma afirmação assinada pode ser consumida por muitas redes, cada uma com políticas próprias. Uma classificação incorreta pode, por isso, gerar efeitos diferentes em lugares diferentes: perda de preferência em uma rede, rejeição em outra, somente monitoramento em uma terceira. Não haveria necessariamente uma pane universal, mas poderia haver uma distribuição desigual de custos de diagnóstico, alcance, trânsito, atendimento ao cliente e reputação.

A ausência de comando central não elimina a responsabilidade pelo estado publicado; apenas muda a forma pela qual o dano pode viajar.

O caso favorável deve ser levado a sério

O problema de segurança que motivava a ideia não era imaginário como categoria. Espaço genuinamente não alocado não deveria ter uma origem pública ordinária. Quando tal anúncio aparece, uma rede precisa decidir se está diante de erro, configuração indevida ou tentativa de usar um recurso que o cadastro não reconhece como alocado. Fazer cada operador manter sua própria lista de espaço não alocado seria custoso e produziria cópias com ritmos de atualização, critérios e erros diferentes. Uma lista não autenticada também oferece menos garantia sobre quem afirmou o quê.

Um ROA AS0 corretamente delimitado poderia melhorar essa situação. O registro que mantém o estado de alocação publicaria, no mesmo ecossistema de validação usado para autorizações positivas, uma declaração negativa verificável. O operador saberia que o objeto veio da cadeia aceita, poderia automatizar sua observação e compará-lo com anúncios recebidos. Em vez de transformar uma planilha ou uma coleta informal em política de rede, teria um sinal estruturado, assinado e compatível com ferramentas já voltadas à validação de origem.

Há também um ganho conceitual. Se o objeto se limita a reproduzir com fidelidade um fato estreito do livro técnico — “este espaço está atualmente registrado como não alocado” —, ele não precisa reivindicar poder sobre pessoas ou redes. Pode ser entendido como serviço de segurança oferecido por quem administra o cadastro pertinente. A AFRINIC era, nesse sentido limitado, uma operadora plausível para publicar o sinal. Conhecia o estado que ela própria registrava e controlava o momento em que esse estado era alterado em seus sistemas.

Negar esse benefício por receio de concentração seria uma resposta incompleta. O objetivo correto não é tornar o sinal fraco ou inútil. É fazer com que sua força seja proporcional à qualidade do registro, à transparência da publicação e à capacidade de desfazer rapidamente um erro. O melhor argumento favorável à minuta, portanto, conduz diretamente à sua obrigação mais exigente: quanto mais operadores puderem confiar no aviso, mais rigorosa precisa ser a disciplina de classificação, transição e retirada.

A retirada era a outra metade da publicação

Uma afirmação negativa tem dois momentos igualmente importantes. No primeiro, ela nasce porque o cadastro mostra espaço não alocado. No segundo, deixa de ser verdadeira porque o cadastro foi corrigido ou porque o recurso entrou em uso legítimo. Um sistema desenhado apenas para publicar com eficiência, mas incapaz de retirar com igual confiabilidade, preserva o alerta depois que sua premissa desapareceu.

É aí que a primeira minuta expõe sua questão institucional central. Se o estado de “não alocado” estiver errado desde o início, o objeto assinado amplifica um erro preexistente. Se o estado estiver certo na publicação, mas mudar depois, um objeto remanescente cria um erro novo. Em ambos os casos, a assinatura pode continuar criptograficamente válida. Ela comprova que o objeto foi produzido dentro de uma cadeia; não comprova que a classificação subjacente ainda corresponde à realidade operacional.

Para uma rede que depende do resultado, essa distinção pode chegar tarde. O operador vê um anúncio legítimo entrar em conflito com uma afirmação AS0 cobrindo o prefixo. Pode não saber imediatamente se há falha na origem, atraso na publicação, equívoco no cadastro, transição incompleta ou divergência entre repositório e validador. O custo de descobrir a resposta recai, em parte, sobre quem tenta colocar o recurso em operação ou manter seus clientes conectados, embora essa parte não controle o registro nem o ciclo de publicação.

Por isso, “retirar quando necessário” não seria um detalhe administrativo. Seria uma condição da legitimidade técnica do sinal. Antes de uma delegação ou de outra mudança legítima de estado produzir tráfego, a afirmação negativa precisaria deixar de cobrir o espaço de modo observável para os validadores. Uma correção registrada internamente, mas não refletida no repositório, seria insuficiente. Uma retirada publicada, mas não acompanhada até sua percepção independente, deixaria incerteza. O caminho completo precisava ir do livro corrigido ao objeto retirado e, daí, à confirmação de que terceiros já não viam o conflito.

O que a publicação não demonstra

O registro disponível permite afirmar com segurança a data, a identidade da proposta e seu núcleo: em 4 de novembro de 2019, a AFRINIC publicou a AFPUB-2019-GEN-006-DRAFT01, primeira proposta da série, sobre ROAs AS0 originados pela própria AFRINIC para espaço registrado como não alocado. Ele também permite formular o problema de governança gerado pelas condições de publicação e retirada.

Não permite avançar além disso como se a história posterior já estivesse contida na primeira minuta. Não há, nas fontes disponíveis, comprovação de que a Draft 1 tenha sido adotada, alcançado consenso, recebido ratificação, sido implementada ou resultado em objetos AS0 em uso operacional. Não há prefixo afetado, rota rejeitada, titular prejudicado, contagem de anúncios reduzidos ou benefício operacional medido. Tampouco estão verificados autor, redação exata de cláusulas, prazo preciso de retirada, quantidade de prefixos, avaliação de equipe, número de participantes, voto, objeção ou resultado de recurso.

Essas ausências não enfraquecem o tema; definem o tipo de análise possível. Este é um exame de desenho institucional a partir de uma proposta publicada. A cadeia de risco é causalmente plausível porque decorre do funcionamento documentado da validação de origem: cadastro incorreto ou desatualizado, objeto AS0 ainda vigente, resultado Invalid para um anúncio não autorizado pelo conjunto de ROAs, escolha local do operador e possível efeito de alcance. Mas plausibilidade do mecanismo não é prova de que o evento ocorreu.

Confundir as duas coisas faria com que uma advertência sobre registros imprecisos fosse construída sobre uma narrativa igualmente imprecisa.

As versões posteriores da série também não podem ser usadas para preencher o vazio. Draft 2 e Draft 3 possuem seus próprios registros e levantam questões distintas. Seus termos, revisões, responsabilidades e remédios não devem ser projetados retroativamente sobre a publicação de 2019. O objeto deste artigo é o problema original de reversibilidade criado pela primeira proposta, não uma história completa do mecanismo AS0, uma avaliação do processo posterior ou uma reconstrução do que outras versões podem ter mudado.