Resumo

  • A frase nova da versão 3 de AFPUB-2019-GEN-006-DRAFT03 acertou ao separar uma recuperação em curso de uma recuperação encerrada: apenas o segundo estado deveria alimentar a cobertura AS0 criada pela AFRINIC.
  • Um ROA de AS0 é uma declaração técnica negativa, não uma sentença sobre propriedade ou conduta. O registro privado descreve um estado, a AFRINIC assina em seu serviço, validadores calculam um resultado e cada rede decide localmente como reagir.
  • O texto público não definiu como comprovar o encerramento, isolar conflitos, contestar um erro, suspender rapidamente uma publicação ou observar de modo independente a correção. Sem esses controles, uma classificação provisória pode produzir custos desiguais de alcançabilidade.
  • A resposta proporcional é manter o sinal útil e tornar sua origem auditável: registro exato, comprovante versionado de encerramento, separação de casos disputados, publicação e retirada observáveis, correção rápida, escrutínio independente e escolha preservada para os operadores.

A frase que exigia provar o encerramento

“Somente ao fim” parece, à primeira vista, uma pequena qualificação temporal. No contexto da versão 3 de AFPUB-2019-GEN-006-DRAFT03, publicada em 19 de abril de 2021, é a parte que sustenta todo o peso institucional da mudança. Haitham El-Nakhal e Yazid Akanho preservaram a proposta de a AFRINIC criar ROAs de AS0 para espaço IPv4 e IPv6 não alocado e não atribuído sob sua administração corrente. A revisão registrada oficialmente como “Consideration on recovered resources” acrescentou que recursos recuperados deveriam ser incluídos apenas no fim do processo de recuperação.

O acréscimo não inventou o mecanismo AS0, não criou a ideia inicial da proposta e não resolveu toda a operação do serviço. Ele fez algo mais delimitado: introduziu uma fronteira entre o andamento de uma pretensão administrativa privada e o estado do registro que poderia servir de base a uma declaração criptograficamente assinada.

Essa fronteira importa porque “em recuperação” e “recuperado” não são sinônimos. O primeiro descreve movimento. Pode indicar que uma questão foi aberta, que algum dado está sendo conferido ou que a organização considera necessária uma alteração. O segundo afirma que a transição terminou e que o inventário já pode representar o recurso sob outro estado. O registro público aqui examinado não permite preencher o intervalo entre os dois com etapas jurídicas ou contratuais imaginadas.

Não sabemos, com base nele, quais atos específicos formariam a recuperação, quem decidiria cada fase, quais prazos existiriam, que comunicação privada teria ocorrido ou se haveria algum conflito em um caso concreto. É justamente essa ausência de um teste público que torna a palavra “fim” tão relevante: o texto escolheu o momento certo em conceito, mas não mostrou como um terceiro poderia reconhecer esse momento na prática.

O cuidado necessário começa por uma distinção de linguagem. Recuperar, no vocabulário administrativo de um registro técnico, não equivale a confiscar. Registrar um prefixo como disponível ou reservado não confere domínio público sobre ele. Produzir um objeto assinado não transforma a AFRINIC em tribunal nem converte uma classificação técnica em veredicto. A organização é uma entidade privada que desempenha funções de escrituração e coordenação técnica.

Sua capacidade legítima está em manter registros precisos de números únicos, operar um serviço de certificação delimitado, publicar metadados de segurança coerentes com o próprio inventário e corrigir seus próprios estados. Não há, nessa capacidade, poder soberano, legislativo, regulatório, policial, persecutório, punitivo, confiscatório ou adjudicativo de direito público.

A frase da proposta segundo a qual apenas a AFRINIC poderia criar esses ROAs para espaço ainda não alocado ou atribuído a membros precisa, portanto, ser lida de modo estrito. Ela pode descrever a capacidade técnico-administrativa da AFRINIC dentro do serviço de certificação e publicação que ela opera. Não pode significar propriedade dos números, jurisdição geral sobre titulares, poder para decidir definitivamente uma controvérsia ou comando sobre redes que consultem o RPKI. A assinatura prova a procedência de uma declaração dentro de uma cadeia de confiança escolhida; não amplia a natureza jurídica do emissor.

O ganho real de esperar

Há uma razão benigna e forte para publicar uma declaração AS0. Se o inventário registra com precisão que determinado espaço está genuinamente não alocado, não atribuído ou definitivamente recuperado, não se espera que esse espaço tenha uma origem BGP comum. Um objeto assinado pode comunicar essa expectativa de forma autenticada e legível por máquinas. Redes dispostas a consultar esse sinal deixam de depender apenas de listas manuais de bogons que podem envelhecer, divergir ou circular sem uma procedência criptográfica equivalente. O benefício conceitual não exige que todos adotem a mesma reação.

Basta que exista informação melhor para quem decide usá-la.

Nessa melhor leitura, esperar o fim da recuperação não é burocracia vazia. É uma contenção contra a pressa da automação. Um sistema pode transformar registros internos em objetos publicados com muito mais velocidade do que uma instituição consegue esclarecer fatos contraditórios. Ao estabelecer que a inclusão vem depois do encerramento, a versão 3 recusou a ideia de que a mera abertura de um processo já seria base suficiente para declarar ao ecossistema de roteamento que uma origem comum não é esperada. O sinal negativo deveria refletir a conclusão do livro, não ajudar o escriturador a forçar essa conclusão.

Esse ponto também protege a qualidade do próprio serviço. Um aviso negativo só preserva valor se os usuários puderem confiar que o conjunto coberto corresponde ao estado que o emissor diz representar. Se uma categoria provisória e uma categoria final produzem a mesma assinatura, o sistema elimina uma diferença material que seu próprio processo reconhece. A consequência não é apenas um possível dano a quem aparece do lado errado da classificação. É também a erosão do sinal: operadores prudentes passam a tratá-lo com menor confiança, a criar exceções amplas ou a ignorá-lo, reduzindo a utilidade coletiva da informação correta.

A avaliação da equipe da AFRINIC ajuda a dimensionar o caráter operacional da proposta sem provar que ela tenha sido implementada. O inventário não alocado e não atribuído foi interpretado como espaço disponível e reservado no arquivo de estatísticas delegadas estendido. A avaliação descreveu atualizações no sistema de inventário, automação para recursos correntes e recebidos, ajustes no momento da emissão, controles internos e monitoramento. Prefixos novos provenientes de IANA ou PTI receberiam os objetos imediatamente; recursos devolvidos ou recuperados entrariam por meio do processo de inventário.

Isso mostra que a palavra “fim” não ficaria confinada a uma nota abstrata. Ela precisaria ser convertida em uma condição legível pelo sistema que decidiria quando assinar.

É aí que aparece o problema probatório. Um campo pode mudar de valor, mas a mudança não explica por si só por que o novo valor é verdadeiro. Uma automação pode ver “recuperado” e gerar cobertura AS0; ela não sabe, a menos que o desenho institucional o exija, se havia informação contraditória, se o lançamento foi prematuro, se uma devolução estava incompleta ou se a decisão foi corrigida logo depois. O texto público e a avaliação não definiram um teste público para o encerramento, nem especificaram a evidência necessária para resolver alegações conflitantes.

Também não apresentaram um estado destinado a isolar disputas, uma via emergencial de contestação, um prazo de correção, uma demonstração independente de convergência ou compensação por falso positivo.

Essa constatação deve ser formulada com precisão. A ausência desses elementos no registro público disponível não prova que nenhuma anotação privada, procedimento interno ou documento adicional tenha existido. Prova apenas que o ato público analisado não tornou o encerramento reproduzível nesses termos. Há uma diferença essencial entre dizer “o texto não mostra” e afirmar “a instituição nunca teve”. A primeira frase respeita o limite da evidência; a segunda inventa certeza a partir do silêncio.

Quando a cautela se torna uma fronteira de falsos positivos

Um falso positivo, neste contexto, não é uma sentença falsa emitida por um tribunal, pois não há tribunal na cadeia. É a situação em que o conjunto negativo inclui um recurso cuja condição subjacente ainda não justificava afirmar que uma origem ordinária era inesperada. Para compreender o risco, imagine condições abstratas, sem atribuí-las a nenhum caso real: o registro envia uma notificação; inicia uma investigação; sustenta uma leitura contratual; registra de modo incompleto uma devolução; ou mantém uma divergência ainda não resolvida. Nenhuma dessas hipóteses, por si só, satisfaz necessariamente o significado de “a recuperação terminou”.

São testes de desenho, não relatos de fatos ocorridos.

Se a automação tratar qualquer um desses momentos como conclusão, uma alegação provisória ganha uma nova forma. Ela deixa de ser apenas uma entrada interna e se torna um objeto assinado, distribuído por repositórios e consumido por validadores. A instituição não passa a ter mais poder jurídico por isso, mas sua afirmação adquire alcance técnico. Redes diferentes podem reagir de maneiras diferentes, e essa variação pode produzir custos reais de diagnóstico e alcançabilidade. A natureza privada da origem não desaparece quando o efeito se espalha; ao contrário, exige que a transição inicial seja mais bem documentada.

O limite correto não é “a AFRINIC nunca pode assinar um sinal negativo”. Essa formulação desperdiçaria o caso legítimo. Também não é “a AFRINIC assinou, logo a questão está resolvida”. Essa formulação confundiria capacidade técnica com autoridade pública. O limite é: uma declaração negativa pode ser sustentada quando o estado de não origem está concluído e registrado de maneira verificável; ela não deve nascer da necessidade de vencer, antecipar ou tornar mais custosa uma pretensão ainda viva.

Quando os fatos continuarem em conflito, a classificação adequada é uma forma de isolamento que impeça a publicação automática, não uma assinatura que faça o conflito parecer encerrado.

Há uma assimetria importante. O registro vê seu histórico administrativo, seus campos e os elementos usados na mudança. Um operador remoto vê o resultado publicado e a validação calculada. Se o resultado estiver errado, o operador pode não saber se encontrou um anúncio malicioso, uma configuração legítima em transição ou uma falha na origem do metadado. Quanto menos observável for a prova de encerramento, mais o custo de descobrir a verdade é deslocado para a parte que possui menos informação sobre a decisão inicial.

O que o ato prova — e o que permanece desconhecido

O alcance documental é estreito. A página oficial identifica a versão 3, a data de 19 de abril de 2021 e os autores. Registra a consideração sobre recursos recuperados e preserva elementos já presentes na proposta: cobertura AS0 criada pela AFRINIC para espaço IPv4 e IPv6 não alocado e não atribuído, a possibilidade de um titular criar ROAs de AS0 sobre recursos em sua própria conta ou administração, a exigência de revogar e remover completamente a cobertura antes de uma alocação posterior e a possibilidade de uma âncora de confiança distinta. A avaliação descreve trabalho técnico que seria necessário.

Esse conjunto sustenta a análise do desenho proposto.

Ele não prova que um objeto AS0 tenha sido efetivamente publicado, que a implementação tenha sido concluída, que qualquer operador tenha adotado o serviço, que um prefixo específico tenha sido incluído, que uma rota tenha recebido determinado tratamento, que tenha ocorrido indisponibilidade ou perda, nem que se tenha medido benefício de segurança. A análise presente termina na fronteira aberta pela terceira versão: o requisito de esperar e a insuficiência pública da prova sobre o que conta como encerramento, antes que um estado provisório possa gerar um falso positivo.

A separação também evita repetir debates que têm objetos próprios. Mecanismos e controvérsias vizinhos não esclarecem, por si, o significado probatório do “fim” inserido em abril de 2021. Trazê-los para o centro dissolveria a singularidade da revisão que importa aqui: a prova necessária para impedir que um estado provisório sustente uma asserção AS0.

O que resta é uma pergunta de integridade informacional. Como uma organização privada demonstra que o estado que ela assina já não é provisório? A resposta não pode depender de deferência ao nome do emissor, porque reputação não substitui evidência. Também não pode exigir que o público conheça todos os detalhes privados de uma relação administrativa. É possível produzir um comprovante delimitado que revele o suficiente para tornar a transição auditável sem fingir que o registro se tornou corte. Essa solução será examinada adiante. Antes, é preciso seguir o sinal até onde ele realmente atua.