Resumo

  • A portabilidade regional cria uma questão de design difícil: como um titular pode mover o serviço de recursos numéricos entre registradores qualificados enquanto a Internet ainda vê um status atual para cada faixa de IP ou número AS? A resposta é um livro-razão fino voltado para a IANA que registra compromissos de status assinados e rejeita sobreposições.
  • A camada competitiva deve ser o serviço do registrador: suporte ao titular, revisão de evidências, publicação RDAP, opções de custódia RPKI, coordenação de DNS reverso, registros financeiros, avisos aos clientes, suporte a disputas e assistência à migração. A camada não competitiva deve ser a unicidade, status público, detecção de conflitos, ordenação de eventos e auditabilidade.
  • Os registros existentes da IANA para IPv4, IPv6, números AS e bootstrap RDAP já mostram o princípio de que um registro global pode apontar para serviços responsáveis sem conter todos os arquivos de clientes. Um livro-razão da era da portabilidade estenderia esse princípio de blocos de alocação regional para compromissos de status atuais e atribuições de provedores de serviços.
  • A contribuição positiva da Number Resource Society é argumentar que portabilidade e unicidade não são inimigas. Se o livro-razão raiz for estreito o suficiente e a camada de registradores for competitiva o suficiente, os titulares ganham saída enquanto a Internet mantém um registro coerente.

A portabilidade precisa de uma raiz mais fina, não de uma régua mais grossa

A objeção mais forte à portabilidade regional é simples: se uma rede pode mover seu serviço de registro de recursos numéricos para longe da região onde o recurso estava originalmente, o que impede registros duplicados? Um prefixo não pode estar ativo de forma limpa em dois registros incompatíveis. Um número AS não pode ter dois controladores atuais para o mesmo propósito. Se a portabilidade significa que cada registrador mantém sua própria verdade final, o resultado não é responsabilidade. É fragmentação.

A resposta não é abandonar a portabilidade. É separar a raiz da unicidade do mercado de serviços. A camada voltada para a IANA deve ser um livro-razão global fino que registra um compromisso de status para cada intervalo de recurso ou faixa de número AS. Essa camada não precisa armazenar todos os documentos do cliente, decidir todas as disputas comerciais, definir preços, julgar propósito comercial ou aprovar roteamento. Ela precisa rejeitar sobreposições, ordenar eventos, identificar o registrador qualificado responsável pelo atendimento ao cliente, preservar o histórico, expor o status de disputa e tornar possível a auditoria externa.

A camada de registradores pode então competir. Um registrador de números pode atender os titulares melhor ou pior. Ele pode fornecer suporte mais rápido, melhor tratamento de evidências, cronogramas de taxas mais claros, opções RPKI mais fortes, coordenação de DNS reverso mais suave, melhor assistência em disputas, documentação de financiamento mais robusta ou ferramentas de notificação ao cliente mais eficazes. Se o titular não gostar do registrador, o titular pode mover o serviço sem pedir ao antigo registrador que abençoe a saída. O livro-razão raiz registra a movimentação uma vez.

Essa arquitetura é positiva para a NRS porque responde a dois medos ao mesmo tempo. Titulares temem ficar presos a um monopólio regional cuja governança, ambiente legal ou qualidade de serviço não podem escapar. Operadores e partes confiantes temem alocação duplicada e confusão de roteamento. Um livro-razão de status raiz dá ao segundo grupo um invariante inegociável. A portabilidade de registradores dá ao primeiro grupo uma saída prática.

O design também protege a IANA. Uma IANA na era da portabilidade não se torna um tribunal mundial de propriedade ou supervisor de mercado de capitais. Ela mantém o registro comum estreito necessário para a unicidade global e descoberta de serviços. Quanto mais esse registro tenta decidir, mais pressão atrai. Quanto mais fino permanece, mais durável se torna.

O registro atual da IANA já ensina moderação

As páginas atuais de recursos numéricos da IANA são moderadas. A páginaIANA Number Resourcesafirma que a IANA é responsável pela coordenação global dos sistemas de endereçamento IP e números AS, aloca pools de endereços não alocados aos RIRs de acordo com políticas globais, documenta atribuições de protocolo e não aloca diretamente a ISPs ou usuários finais. A página lista os cinco RIRs e aponta para registros de IPv4, IPv6 e números AS.

O registro públicoIPv4 Address Space registryé uma visão raiz. Ele registra designações de nível /8, status, apontadores whois e RDAP, e se o espaço é alocado, reservado ou legado. Ele não contém todos os contratos downstream ou arquivos de clientes. É valioso porque ancora um mapa comum do espaço de endereços global para serviços de registro responsáveis.

O registroIPv6 Global Unicast Address Space registryfunciona no mesmo espírito moderado. Ele registra prefixos, designações, datas, WHOIS, RDAP e status. O registroAS Numbers registryregistra faixas atribuídas pelos RIRs e apontadores para serviços relevantes. Esses registros provam que um livro-razão global pode ser autoritativo sem ser enciclopédico.

O problema da portabilidade pede uma camada de status mais fina, não uma filosofia diferente. Hoje, grandes blocos regionais apontam para RIRs. Após a portabilidade regional, o livro-razão global precisaria registrar o registrador qualificado responsável por um status de recurso atual específico, possivelmente em intervalos mais específicos e faixas de números AS. Essa é uma afirmação mais estreita do que armazenar todos os contratos. É uma afirmação mais forte do que um diretório suplementar privado. É o compromisso raiz de que nenhum outro registrador pode contradizer.

É por isso que a palavra livro-razão é útil. Um livro-razão não é um manifesto nem um sistema de relacionamento com o cliente. Ele registra eventos que mudam o estado reconhecido. Preserva a ordem. Detecta entradas incompatíveis. Permite reconstrução. Um livro-razão da IANA na era da portabilidade deve fazer essas coisas e resistir a se tornar um fórum de governança de uso geral.

Um compromisso de status não é um arquivo de cliente

A disciplina de dados mais importante é a diferença entre um compromisso de status e um arquivo de cliente. Um compromisso de status diz que um intervalo de recurso definido ou faixa de número AS tem um estado reconhecido atual, um registrador responsável, uma referência de identidade do titular, uma classe de evento, um horário, um sinalizador de disputa, se houver, e links para endpoints de serviço público. Pode também incluir compromissos criptográficos para evidências protegidas. Não precisa publicar preço comercial, faturas, documentos do conselho, convênios financeiros, listas de clientes ou documentos de identidade sensíveis.

Essa distinção protege a privacidade e a concorrência. Os registradores podem competir na revisão de evidências, atendimento ao cliente e produtos opcionais sem entregar todos os arquivos de negócios a uma raiz global. Os titulares podem provar continuidade a credores, nuvens, upstreams e auditores sem expor termos confidenciais ao mundo. O livro-razão raiz ainda pode suportar auditoria porque as evidências protegidas podem ser comprometidas por hash, revisadas sob autoridade e vinculadas a categorias de motivo.

Os compromissos de status devem ser estruturados em torno de classes de eventos. Exemplos incluem confirmação atual do titular, atribuição de registrador qualificado, movimentação de registrador pendente, movimentação de registrador concluída, transferência de titular pendente, transferência de titular concluída, disputa anotada, bloqueio judicial ou de autoridade competente anotado, operador de emergência ativo, recurso retornado, recurso reservado, status legado confirmado e correção concluída. Cada classe de evento deve ter um significado público e um efeito definido.

O livro-razão não deve esconder a incerteza. Se uma transferência está em disputa, o estado público deve dizer isso. Se uma ordem judicial congela uma mudança, o livro-razão deve mostrar uma categoria de retenção sem publicar documentos protegidos. Se um registrador está sob operação de emergência, o livro-razão deve mostrar o provedor de serviço temporário e a rota de revisão ou devolução esperada. Se uma correção substituiu um erro, o registro anterior deve permanecer historicamente visível, com o motivo da correção.

Um compromisso de status fino, portanto, faz mais do que um registro público convencional. Ele dá às partes confiantes o estado de que precisam, evitando que a raiz se torne um dossiê de negócios privados. É estreito o suficiente para escalar e forte o suficiente para evitar contradição.

Alocação duplicada é um problema de intervalo antes de ser um problema político

Alocação duplicada soa como uma crise constitucional, mas o primeiro teste é matemático. O evento de status proposto se sobrepõe a um evento de status já atual? Um intervalo mais específico conflita com um intervalo abrangente? Uma faixa de números AS intersecta uma faixa existente? Um intervalo retornado ou reservado está sendo ativado pela parte errada? Um bloco legado está sendo reivindicado sem evidência de continuidade? Essas perguntas podem ser testadas antes que qualquer argumento político comece.

O livro-razão da era da portabilidade deve aplicar regras de intervalo com severidade mecânica. Um registrador não deve poder enviar um status de titular atual para um intervalo que se sobrepõe a outro status de titular atual, a menos que o evento seja uma divisão, agregação, correção, transferência ou notação de disputa reconhecida sob regras definidas. O mesmo se aplica a faixas de números AS. A raiz deve rejeitar contradições automaticamente e publicar a categoria de rejeição.

Isso não significa que todo conflito é simples. Duas partes podem fornecer evidências plausíveis. Um tribunal pode congelar um evento após uma transferência ter sido assinada, mas antes da conclusão da movimentação do registrador. Um sucessor corporativo pode herdar alguns recursos enquanto um negócio desinvestido recebe outros. Um titular legado pode ter registros antigos que não se encaixam nas categorias contratuais modernas. O livro-razão não pode resolver todas as questões substantivas instantaneamente. Ele pode impedir que o conflito se torne dois registros atuais limpos.

Os estados de conflito devem ser explícitos. O livro-razão pode dizer que um recurso está em disputa, que um evento pendente está pausado, que nenhuma alocação atual duplicada foi aceita e que um revisor qualificado ou rota adjudicatória está lidando com evidências protegidas. As partes confiantes sabem então a diferença entre um registro limpo e um contestado. O silêncio é mais perigoso do que a notação de disputa.

É aqui que a tese antipatronato da NRS se torna tecnicamente fundamentada. Um registrador incumbente não deve poder suprimir a portabilidade recusando-se a cooperar enquanto mantém a raiz ambígua. Um novo registrador não deve poder forçar a portabilidade assinando um registro limpo contraditório. O livro-razão deve aceitar apenas eventos que se encaixam nas regras de intervalo e classes de evidência. Isso torna a unicidade um invariante compartilhado em vez de uma arma.

Registradores devem competir acima da camada invariante

Uma vez que a raiz rejeita estado atual duplicado, a concorrência pode se mover para o lugar certo. Registradores de números qualificados podem competir nos serviços que os titulares realmente experimentam. Um pode oferecer melhor suporte multilíngue. Outro pode se especializar em transferências IPv4 e evidências de credores. Outro pode apoiar ISPs menores com custos fixos mais baixos. Outro pode oferecer ferramentas RPKI delegadas mais fortes. Outro pode ser confiável para continuidade de emergência ou casos sensíveis a insolvência.

A concorrência não deve incluir o direito de criar status duplicado. Um registrador vence servindo ao titular e passando nos testes de raiz, não prometendo reconhecimento mais fácil de reivindicações duvidosas. Se um registrador se tornar descuidado, o livro-razão raiz e auditores externos devem detectar taxas de rejeição, incidentes de conflito, endpoints obsoletos, problemas de segurança e reclamações de titulares. A qualificação pode então ser limitada, suspensa ou revogada por função.

Esse modelo se assemelha à disciplina que os operadores já entendem. Muitos serviços podem competir em torno da Internet enquanto compartilham invariantes de protocolo. Provedores de trânsito competem sem redefinir a estrutura de pacotes IP. Autoridades de certificação competem dentro de regras de confiança de navegador ou aplicação, mas estão sujeitas a auditorias e divulgação de incidentes. Registradores de DNS competem em um sistema onde o registro de nomes de domínio continua sendo o registro autoritativo para um nome. A analogia é imperfeita para números, mas a separação de invariante e serviço é familiar.

Para recursos numéricos, a concorrência de registradores deve ser especialmente disciplinada porque a escassez torna os registros financeiramente consequentes. Um registrador pode ser tentado a conquistar clientes prometendo aprovações mais rápidas, menos evidências, tratamento mais flexível de disputas ou silêncio em torno de histórico problemático. Um regime de qualificação baseado em provas deve tornar essas promessas caras. O registrador que não pode explicar suas aprovações deve perder a confiança.

A NRS deve se posicionar apenas como defensora da portabilidade, representante de membros e convocadora. Não é um registrador, órgão de garantia ou mestre central. É que os titulares devem poder escolher serviço qualificado sem comprometer a regra de um recurso, um status atual.

RDAP mostra como uma raiz pode apontar sem possuir todas as respostas

RDAP não é uma resposta completa para a portabilidade, mas é uma pista importante. ORFC 9224explica como os clientes podem encontrar o serviço RDAP autoritativo para um domínio, endereço ou número AS através de dados de bootstrap da IANA. Para espaço de endereço IP, ele usa lógica de correspondência mais longa para escolher a URL base RDAP relevante. Esta é uma camada de descoberta pública que aponta para o serviço responsável por responder consultas estruturadas.

Um livro-razão raiz da era da portabilidade pode aprender com esse design. A raiz não precisa servir cada resposta RDAP ela mesma. Ela precisa identificar os endpoints de serviço qualificados atuais e tornar sua autoridade ou status suplementar claro. Se um titular se move de um registrador para outro, o livro-razão pode atualizar o ponteiro de serviço responsável enquanto retém evidências históricas. Se intervalos mais específicos são servidos por registradores diferentes, a lógica de correspondência mais longa e controles de conflito podem evitar ambiguidade.

A lição também vale o contrário. O bootstrap RDAP sozinho não é suficiente. Um ponteiro de serviço pode ser preciso enquanto o registro subjacente está em disputa. Um endpoint de registrador pode ser acessível enquanto uma transferência de titular é contestada. Uma consulta pode retornar JSON limpo enquanto as evidências protegidas são fracas. O livro-razão de status deve, portanto, registrar classe de evento, estado de disputa e qualificação do registrador, não meramente uma URL.

RDAP também destaca o risco de transição. Clientes armazenam dados em cache. Ferramentas lidam com erros de forma diferente. Alguns usuários ainda confiam em WHOIS, espelhos internos ou bancos de dados de fornecedores. Uma movimentação de registrador pode, portanto, deixar evidências públicas desatualizadas por dias ou semanas. O livro-razão deve expor estados de serviço antigos e novos durante um período de transição definido e publicar metadados de tempo suficientes para que as partes confiantes distingam o estado atual de cópias desatualizadas.

A NRS pode agregar valor defendendo que registros reconhecidos e processos voltados para a IANA tornem a portabilidade visível na descoberta pública, em vez de escondida em avisos bilaterais. Se um titular muda de serviço de registrador, os clientes não devem ter que adivinhar se um endpoint RDAP alterado é uma tomada de controle, uma transferência, uma interrupção ou uma movimentação de serviço autorizada. O compromisso de status raiz deve informá-los da classe de mudança.

RPKI e DNS reverso devem se mover com proteções

O livro-razão raiz não é suficiente se RPKI e DNS reverso quebrarem durante a portabilidade. Muitos operadores se importam menos com o status filosófico de um registro do que com se suas rotas validam, se sua delegação de DNS reverso funciona, se seus contatos de abuso permanecem acessíveis e se seus clientes podem passar verificações de nuvem e segurança. Uma movimentação limpa de titular que interrompe essas dependências será julgada como um fracasso.

RPKI cria cuidado especial porque certificados de recurso atestam alocações e ROAs podem ser usados para construir filtros de rota. ORFC 6480descreve como certificados de recurso vinculam chaves públicas a endereços IP ou números AS e como ROAs suportam autorização de origem de rota. Se a portabilidade muda o registrador responsável pelo suporte à certificação, a mudança não deve criar invalidez acidental ou captura silenciosa de chaves.

Um livro-razão da era da portabilidade não deve emitir cada ROA ele mesmo. Deve registrar o status que permite que serviços confiantes entendam quem é responsável pelo relacionamento de registro e se uma transição de certificação está pendente, completa, pausada ou em disputa. Os registradores devem suportar opções RPKI hospedadas e delegadas, troca de chaves, períodos de cura de emergência, detecção de objetos obsoletos e escolha clara do titular. O livro-razão deve registrar status suficiente para impedir que um registrador use a custódia RPKI como uma barreira oculta de saída.

O DNS reverso precisa de um limite semelhante. A delegação de zona pai envolve infraestrutura reconhecida e não pode ser movida apenas porque uma parte privada assina uma demanda. Mas uma movimentação de registrador não deve deixar o titular sem um caminho visível para continuidade do DNS reverso. O livro-razão pode registrar qual registrador coordena o serviço de delegação, se uma mudança está pendente, se os servidores de nomes antigos permanecem em um período de carência e se o componente de DNS reverso está em disputa.

O ponto não é tornar cada serviço dependente parte do livro-razão raiz. É garantir que a portabilidade tenha proteções. Uma movimentação de titular deve carregar uma lista de verificação de dependências: RDAP, RPKI, DNS reverso, contatos de abuso, status público, aviso ao cliente, avisos de dados desatualizados e reversão. Um registrador que não pode lidar com essas dependências não deve ser qualificado para portabilidade ativa.

Transferências e movimentações de registrador precisam de travas diferentes

Uma transferência de titular e uma movimentação de registrador são eventos diferentes. Uma transferência muda quem controla ou é reconhecido pelo recurso. Uma movimentação de registrador muda o provedor de serviços que mantém ou publica o registro para o titular. Confundir os dois cria risco evitável. Um ator mal-intencionado pode disfarçar uma transferência como uma movimentação de serviço. Um incumbente pode disfarçar a recusa de portabilidade de serviço como preocupação com a propriedade. Um credor pode interpretar mal uma mudança de registrador como comprometimento de garantia.

O livro-razão da IANA deve, portanto, usar travas diferentes. Uma trava de transferência deve proteger contra mudança não autorizada do status do titular. Deve exigir autoridade do vendedor ou antecessor, identidade do comprador ou sucessor, evidência de transação protegida, verificações de disputa e condições de conclusão. Uma trava de movimentação de registrador deve proteger contra mudança não autorizada do provedor de serviços. Deve exigir instrução do titular, qualificação do registrador receptor, aviso ao registrador de saída, transição de dependência e tempo de reversão.

As travas devem ser visíveis sem expor demais termos privados. O status público pode dizer "movimentação de registrador pendente" ou "transferência de titular pendente" com carimbos de data/hora, registrador responsável e sinalizador de disputa. Não precisa divulgar preço ou detalhes de contrato. Se um tribunal ou autoridade competente pausa o evento, o livro-razão deve dizer a classe de pausa e o efeito público.

Trava diferentes também melhoram a auditoria. Uma transferência disputada pode ser analisada como uma cadeia de evidências de autoridade e transação. Uma movimentação de registrador disputada pode ser analisada como instrução do titular e continuidade do serviço. A evidência é diferente. O remédio é diferente. O impacto sobre os clientes é diferente. Um livro-razão fino que separa os eventos dá aos auditores e partes confiantes melhores sinais.

Isso é uma melhoria direta sobre o bloqueio regional. No modelo antigo, um titular pode ter que manter o serviço de registrador com a mesma instituição que revisa uma transferência ou disputa. Essa instituição pode se tornar tanto guardiã de registros quanto guardiã prática. Um modelo de portabilidade permite que o serviço se mova a menos que uma trava definida seja aplicada. Essa é a diferença entre proteger a unicidade e proteger um escritório.

Espaço legado e IPv6 não devem ser reflexões posteriores

Qualquer livro-razão de portabilidade que funcione apenas para alocações recentes limpas falhará na Internet real. Registros legados de IPv4, espaço de endereço recuperado, históricos corporativos antigos, vestígios de registros nacionais, fusões, IPv6 independente de provedor, mudanças de números AS e realocações parciais criam casos extremos. O livro-razão raiz deve lidar com eles sem apagar o histórico ou congelar os titulares no lugar para sempre.

IPv4 legado é o mais difícil porque as evidências podem anteceder acordos modernos. O registro IPv4 da IANA ainda marca muitos /8s ou partes como legado ou administrados por registros atuais. Um livro-razão da era da portabilidade não deve fingir que cada reivindicação legada tem o mesmo arquivo de prova que uma alocação moderna de RIR. Deve classificar tipo de evidência, idade, continuidade, status de disputa e provedor de serviço responsável. Deve permitir provas mais fortes ao longo do tempo sem reescrever a história original.

IPv6 não deve ser tratado como livre de risco de governança meramente porque o espaço de endereço é grande. As alocações IPv6 ainda dependem de registro preciso, autorização de roteamento, DNS reverso, aquisição de clientes e continuidade operacional. A portabilidade regional para IPv6 pode não ter o mesmo preço de escassez que IPv4, mas carrega a mesma dependência de um estado público coerente. Um livro-razão que protege apenas IPv4 escasso recriaria fragmentação na próxima camada.

Os números AS também precisam de tratamento cuidadoso. O registro de números AS da IANA registra faixas atribuídas pelos RIRs e aponta para serviços relevantes. ASNs são identificadores pequenos com alta significância de roteamento. Uma movimentação de registrador para um ASN deve preservar contato de abuso, evidência de identidade de roteamento, material relacionado a RPKI quando aplicável e continuidade voltada para o cliente. O status atual duplicado de número AS seria tão inaceitável quanto o status duplicado de endereço.

A NRS pode fortalecer seu caso de advocacy positivo exigindo que suas propostas tratem dessas classes difíceis. Um serviço de portabilidade real operado por um provedor autorizado não deve escolher a dedo os recursos mais limpos. Deve documentar incerteza, aceitar diferentes tipos de evidência, rejeitar sobreposição e dar aos titulares uma rota para melhorar sua prova. É assim que um livro-razão se torna mais preciso ao longo do tempo sem se tornar punitivo.

Continuidade de emergência deve ser visível e temporária

A portabilidade regional é em parte uma reforma de escolha de serviço comum e em parte uma reforma de segurança de emergência. Um titular deve poder deixar um registrador ruim em tempos normais. Uma comunidade também deve ter uma maneira de preservar o serviço se um registrador ou RIR não puder operar. Os dois casos devem ser conectados, mas não idênticos.

O texto de governança do NRO draft discute continuidade de emergência quando um RIR não pode fornecer serviços adequadamente à sua região e permite arranjos temporários envolvendo outros RIRs e ICANN. Um livro-razão da era da portabilidade pode tornar tais arranjos mais seguros registrando o operador de emergência, conjunto de recursos afetados, hora de início, base de autoridade, limites de serviço, data de revisão e condição de devolução. O serviço de emergência não deve se tornar uma tomada de controle não revisada.

A NRS deve apoiar o mesmo princípio. Se um registrador qualificado falhar, os registros do titular não devem desaparecer com a instituição. A falha da advocacy ou dos serviços de associação da NRS não deve ter efeito sobre o estado de registro autoritativo. Um depósito em garantia, pontos de verificação testemunhados, exportação de evidências, seleção de sucessor e operação de emergência limitada devem permitir que outro registrador qualificado atenda o titular enquanto a falha é revisada.

O livro-razão raiz deve registrar o estado de emergência para que as partes confiantes saibam que estão vendo continuidade temporária, não uma transferência comercial.

A continuidade de emergência também deve proteger os titulares do oportunismo. Uma crise é o momento mais fácil para uma instituição poderosa expandir autoridade. O livro-razão raiz deve exigir um conjunto afetado estreito, motivo declarado, limite de tempo, revisão independente e decisão de devolução ou transição. Um operador temporário deve preservar registros e serviços, não julgar disputas políticas não relacionadas ou reescrever direitos.

É aqui que o livro-razão da IANA pode evitar que a portabilidade se torne caos. Em tempos normais, ele registra a escolha do registrador. Em crise, registra um estado de serviço temporário limitado. Em ambos, rejeita alocação atual duplicada. Uma raiz fina não é fraca se controla o invariante certo.

Auditoria e monitoramento transformam o livro-razão em infraestrutura pública

Um livro-razão que ninguém pode auditar é apenas um banco de dados com um nome grandioso. O livro-razão de portabilidade da IANA deve ser projetado para monitores, auditores e titulares. Monitores podem verificar compromissos públicos, ponteiros de serviço, ordem temporal, sobreposição de intervalo e consistência. Auditores podem revisar evidências protegidas sob autoridade. Titulares podem exportar seu próprio histórico de eventos e provar continuidade a clientes ou credores.

Ideias de transparência de log podem ajudar. ORFC 9162define cabeças de árvore assinadas, provas de inclusão e provas de consistência para logs somente de acréscimo. Um livro-razão de numeração precisaria de suas próprias regras, mas a lição de monitoramento é poderosa: compromissos públicos se tornam mais valiosos quando partes independentes os comparam e detectam histórias incompatíveis. Um livro-razão raiz não deve depender apenas de o operador dizer que tem uma visão.

A auditoria deve incluir eventos negativos. Submissões rejeitadas, conflitos de sobreposição, reivindicações disputadas, retenções de emergência, endpoints obsoletos, falhas de qualificação de registrador e erros corrigidos são evidências de saúde institucional. Um sistema que apenas publica conclusões limpas esconde o denominador. Se um registrador envia muitas alterações rejeitadas, as partes confiantes devem saber a categoria. Se um operador raiz atrasa muitas atualizações de status, o serviço precisa de escrutínio.

Titulares precisam de seus próprios registros. Um direito de portabilidade é incompleto se o titular não puder levar recibos de eventos, referências de evidências protegidas, histórico de status público e avisos de dependência para outro registrador. A exportação deve ser padrão, verificável e utilizável por auditores. Deve sobreviver a falha institucional. Não deve exigir divulgação pública de todos os documentos confidenciais.

A tese positiva da NRS se torna mais forte quando a auditoria é tratada como infraestrutura do cliente. Um titular escolhendo um registrador não está apenas escolhendo uma central de ajuda. Está escolhendo a qualidade da evidência que será usada em transferências, finanças, aquisições, integração em nuvem, resposta a disputas e serviço de emergência. A concorrência de registradores deve, portanto, ser concorrência em registros verificáveis.

A promessa antifragmentação

A promessa antifragmentação é simples: a portabilidade não deve criar alocação duplicada. Deve reduzir o bloqueio institucional enquanto fortalece o registro global. Essa promessa é crível apenas se cada evento de portabilidade passar por um compromisso de status raiz que possa rejeitar sobreposição e preservar o histórico.

É por isso que um livro-razão raiz é diferente de uma rede de rumores federada. Os registradores podem ter arquivos ricos. Podem assinar recibos. Podem manter painéis de clientes, cofres de evidências privadas e históricos de suporte. Mas a Internet pública precisa de um sinal de estado final atual. Se dois registradores discordam, o livro-razão raiz deve mostrar a discordância, não escolher o silêncio ou publicar ambos como limpos.

A promessa também limita a IANA. A IANA não deve usar o livro-razão raiz para decidir se o modelo de negócios de um titular é desejável, se um preço foi muito alto, se um bloco de endereços está moralmente ocioso ou se uma rede deve anunciar uma rota. Essas questões pertencem a contratos, tribunais, mercados, operadores e órgãos políticos onde relevantes. A raiz protege a unicidade e o status, não toda reivindicação de interesse público que pode ser anexada a um recurso escasso.

Esse limite é bom também para a NRS. Se a NRS quer um mundo onde os titulares possam deixar registros falidos, não deve projetar uma raiz que se torne impossível de deixar. A raiz deve ser substituível por arranjos sucessores definidos, monitorada externamente e restrita por padrões públicos. A camada de registradores deve ser plural. Os registros do titular devem ser portáteis. O objetivo é proteger o livro-razão, não o guardião.

Nesse sentido, a portabilidade regional não é uma ameaça à função de unicidade da IANA. É uma exigência de que a unicidade seja expressa de forma mais limpa. Em vez de usar a região como um proxy de controle, o sistema pode usar um compromisso de raiz global para status atual e registradores qualificados para serviço. A região pode ainda importar para lei, idioma, alcance e política. Não deve ser a prisão do titular.

Qualificação do registrador é uma condição contínua

A camada de registradores não pode ser um clube único. Um registrador de números qualificado deve permanecer qualificado apenas enquanto prova as capacidades das quais o livro-razão raiz depende. Isso significa testes contínuos para segurança, disponibilidade de serviço, revisão de evidências, tratamento de conflitos, notificação ao cliente, suporte à transição RPKI, coordenação de DNS reverso, custódia de evidências protegidas, cooperação de auditoria e exportação. A qualificação deve decair se essas capacidades decaírem.

A qualificação contínua resolve um problema que modelos de reconhecimento mais antigos frequentemente criam. Uma vez que um registro regional é reconhecido, a perda de status se torna tão disruptiva que o sistema hesita em usá-la. A consequência prática é que o reconhecimento pode se tornar permanente mesmo quando o desempenho piora. Um modelo de registrador modular pode ser menos frágil. Um registrador pode manter a qualificação de serviço RDAP comum enquanto perde autoridade para processar transferências de titular de alto risco.

Outro pode manter status de evidência suplementar enquanto perde o status de portabilidade ativa até que uma revisão de segurança seja concluída.

O livro-razão raiz deve, portanto, registrar classes de qualificação do registrador. Um registrador pode ser qualificado para serviço de registro público, custódia de evidências do titular, movimentações de registrador, suporte a transferências, suporte RPKI, coordenação de DNS reverso, continuidade de emergência ou evidência de disputa protegida. As classes devem ser públicas porque as partes confiantes precisam saber se um registrador está agindo dentro de sua autoridade. Um registrador qualificado para manter dados de contato não deve ser automaticamente qualificado para executar uma transição de emergência.

A qualificação também deve incluir continuidade financeira e institucional, mas sem se tornar uma barreira projetada para preservar incumbentes. Um registrador pequeno pode ser seguro se tiver depósito em garantia forte, escopo limitado, auditoria externa, controles de segurança limpos e um plano de devolução testado. Um registrador grande pode ser inseguro se for opaco, conflituoso ou lento para corrigir erros. Tamanho é evidência, não um substituto para evidência.

A NRS pode fazer uma contribuição inicial propondo qualificação baseada em classe em vez de reconhecimento tudo ou nada. Isso permitiria que a Internet testasse novos serviços sem entregar todos os riscos de uma vez. Também tornaria os serviços incumbentes mais responsáveis porque seus próprios poderes poderiam ser descritos por classe. Se um RIR atual tem desempenho fraco em uma categoria de serviço, o remédio pode direcionar essa categoria em vez de ameaçar toda a instituição.

O princípio de condição contínua deve ser rigoroso quanto às evidências. Os registradores devem publicar métricas de serviço, atestações de segurança, categorias de incidentes, latência de correção, sucesso de exportação, contagens de disputas, tentativas de conflito rejeitadas e resultados de auditoria. Não devem ser permitidos a se esconder atrás de alegações gerais de legitimidade comunitária. Qualificação é uma condição de tempo presente. É conquistada repetidamente.

O livro-razão pode melhorar as finanças e a diligência do cliente sem se tornar um regulador de mercado

Registros escassos de IPv4 já aparecem em transações, discussões de financiamento, questões de seguro, integração em nuvem, aquisições empresariais e revisões de fusões. Um livro-razão da era da portabilidade afetaria esses mercados mesmo que nunca declarasse um preço. Isso não é uma razão para evitar o livro-razão. É uma razão para manter seu papel estreito.

Para finanças, o sinal útil não é que a IANA ou a NRS valorize um prefixo. O sinal útil é que um credor ou comprador pode verificar o status atual, a responsabilidade do registrador, sinalizadores de disputa, estado de transferência pendente, travas de movimentação de serviço, risco de transição RPKI e histórico de exportação. Um credor não precisa que a raiz certifique o valor colateral. Ele precisa de evidências de que o estado de registro pode ser localizado, verificado e mantido se o mutuário mudar de registrador ou entrar em dificuldades.

Para clientes, o sinal útil é a continuidade. Um comprador de serviço gerenciado, cliente de nuvem ou agência do setor público quer saber se os endereços que suportam um serviço provavelmente permanecerão acessíveis e responsáveis através de uma mudança corporativa, movimentação de registrador ou disputa. O livro-razão pode mostrar que o recurso tem um registrador atual, que uma mudança está pendente, que nenhum status duplicado foi aceito e que as transições de serviço dependentes têm um estado público. Não deve decidir se o contrato do cliente é bom.

Para corretores e partes de transferência, o sinal útil é a separação de eventos. Um sinalizador de transferência pendente, sinalizador de movimentação de registrador pendente e sinalizador de disputa permitem que as partes evitem o erro comum de tratar toda atualização de registro como prova de propriedade. Eles podem negociar em torno de condições de fechamento, liberação de depósito em garantia, avisos ao cliente e reversão. O livro-razão fornece status; as partes fornecem termos comerciais.

Para equipes de abuso e segurança, o sinal útil é a responsabilidade. Durante uma movimentação de registrador, os contatos de abuso e endpoints RDAP podem se tornar desatualizados. Um status de livro-razão pode identificar qual registrador é responsável pelo registro público atual e se uma transição está em andamento. Isso reduz a escalada desperdiçada sem tornar a raiz um tribunal de conteúdo ou abuso.

Esses benefícios dependem de recusar a tentação de regulador de mercado. A raiz não deve registrar o preço de venda como condição de status. Não deve julgar se um titular "usa" um prefixo eficientemente. Não deve impor termos de financiamento. Não deve favorecer clientes que podem pagar por serviços de registrador premium. Deve fornecer um estado público confiável para que outros mercados possam tomar suas próprias decisões com menos riscos ocultos de registro.

A tese positiva da NRS é mais forte quando diz exatamente isso. Pague pela prova. Concorra pelo serviço. Mantenha a raiz comum. Deixe os mercados privados, tribunais e operadores usarem as evidências sem deixar o livro-razão se tornar seu mestre.

A geografia deve permanecer evidência, não aprisionamento

Os registros regionais foram construídos em torno da geografia porque o serviço, a formação de comunidade e a história de alocação inicial tinham forma regional. A geografia ainda importa. Lei, idioma, fóruns de disputa, clientes do setor público, regulação de telecomunicações, tratamento tributário, exposição a sanções, resposta a emergências e normas operacionais locais podem afetar um titular. Um livro-razão da era da portabilidade não deve apagar a geografia do arquivo de evidências.

Mas a geografia não deve ser a mesma coisa que cativeiro institucional permanente. Um titular constituído em uma jurisdição, operando em outra e atendendo clientes em várias regiões pode ter boas razões para escolher um registrador que entenda seu risco operacional real. Um grupo multinacional pode precisar de suporte de serviço consolidado enquanto preserva registros públicos locais. Uma rede se recuperando de uma instituição regional falida pode precisar de continuidade imediata de outro registrador qualificado.

Nesses casos, a questão deve ser se a movimentação do registrador preserva a unicidade e a evidência, não se um mapa uma vez tornou o antigo escritório inevitável.

O livro-razão pode lidar com a geografia registrando fatos em vez de impor o destino. Pode registrar o caminho de alocação original, jurisdição atual do titular, regiões de contato operacional, localização do registrador, fórum de disputa aplicável onde conhecido e qualquer condição de política regional que ainda afete o recurso. Esses fatos ajudam as partes confiantes. Eles não exigem que o titular permaneça com um registrador para sempre.

Essa distinção é importante para a justiça. Redes mais pobres ou menores são frequentemente as menos capazes de absorver a falha de um monopólio regional. Se a única resposta para o colapso institucional é a paciência, elas pagam em rotatividade de clientes, aquisição atrasada, financiamento bloqueado e incerteza operacional. A portabilidade dá a elas uma válvula de escape. O livro-razão raiz impede que essa válvula de escape se torne um registro duplicado descontrolado.

Geografia como evidência também protege interesses públicos. Um governo, tribunal ou regulador ainda pode ser registrado quando tiver relevância legal. Uma movimentação de registrador não apaga uma ordem judicial, uma preocupação de sanções, uma suspensão de insolvência ou uma dependência de serviço público. Simplesmente impede que a geografia seja usada como uma razão genérica para negar escolha de serviço quando a condição legal ou operacional real pode ser declarada de forma mais precisa.

A NRS deve ser cuidadosa aqui. Seu caso positivo de livre empresa e controle do titular é mais forte quando respeita fatos locais legítimos enquanto rejeita o bloqueio institucional desnecessário. O livro-razão da IANA após a portabilidade deve tornar a geografia visível, revisável e limitada. Não deve transformar a geografia em uma prisão, e não deve fingir que a geografia desapareceu.

O que a NRS deve pedir que as instituições responsáveis comprovem primeiro

A NRS não precisa reivindicar ou operar todo o sistema. Ela pode publicar um documento de requisitos baseado em fontes para as menores peças úteis e pedir que instituições reconhecidas as comprovem: um formato de compromisso de status que separa autoridade de evidência suplementar; verificações de sobreposição determinísticas; recibos de exportação do titular emitidos por provedores autorizados; e ensaios de migração realizados em ambientes de teste controlados.

Quinto, criar um programa de monitoramento independente que verifique compromissos e verifique inconsistências históricas. Sexto, publicar categorias de recusa e disputa. Sétimo, divulgar incidentes de segurança e testes de recuperação. Oitavo, apoiar um modelo de privacidade no qual as evidências protegidas sejam comprometidas e revisáveis sem serem despejadas na visão pública. Nono, convidar registros incumbentes, operadores, credores, corretores, redes em nuvem e auditores para testar o serviço sem exigir que aceitem autoridade total.

Essas primeiras provas mudariam a conversa. Em vez de discutir sobre o reconhecimento da NRS, a comunidade poderia inspecionar quais funções os registros reconhecidos e provedores autorizados demonstraram. Um registrador que demonstra exportações limpas pode ganhar confiança privada para due diligence. Um registrador que passa em ensaios de migração pode ganhar confiança piloto para movimentações de serviço de baixo risco. Um registrador que suporta auditoria robusta pode se tornar útil mesmo antes da integração formal com a IANA.

A mesma disciplina pode então ser aplicada ao eventual livro-razão da IANA. O reconhecimento pode ser modular. Um serviço pode ser qualificado para evidência suplementar, depois para testes de ponteiro de serviço, depois para movimentações de registrador ativas, depois para suporte de continuidade de emergência. Cada nível tem testes, monitoramento e condições de retirada. É assim que um sistema de alto risco muda sem apostar toda a Internet em uma única decisão política.

A reivindicação positiva da NRS não é que a confiança deve ser descentralizada em fragmentos não testáveis. É que o poder de serviço deve ser descentralizado enquanto a unicidade permanece globalmente testável. Essa é uma reforma coerente porque reconhece que a raiz e o registrador fazem trabalhos diferentes.

O livro-razão após a portabilidade

Após a portabilidade regional, o livro-razão da IANA deve ser entediante no melhor sentido. Para cada recurso, deve dizer qual é o status atual, qual registrador é responsável pelo serviço, se uma transferência ou movimentação de registrador está pendente, se uma disputa ou condição de emergência está anotada, onde os serviços públicos podem ser alcançados e como o histórico de eventos pode ser auditado. Deve rejeitar contradições. Deve preservar estados antigos. Não deve tentar ser um tribunal, corretor, banco, regulador ou operador de rede.

Os registradores devem ser interessantes. Devem competir em suporte, garantia, qualidade de evidência, migração, opções RPKI, coordenação de DNS reverso, ferramentas para clientes, documentação de financiamento, navegação em disputas e resiliência. Registradores ruins devem perder clientes e qualificação. Registradores bons devem ganhar confiança. Os titulares não devem ter que depender permanentemente da mesma instituição meramente porque um mapa regional os atribuiu lá uma vez.

Esta é a forma mais limpa da tese da NRS. A Internet não precisa de patronato para preservar a unicidade. Precisa de um compromisso raiz que seja estreito o suficiente para verificar e forte o suficiente para evitar duplicatas. Precisa de provedores de serviços que possam ser substituídos. Precisa de titulares que possam carregar evidências. Precisa de auditores e monitores que possam reconstruir a história. Precisa que a IANA proteja o status comum sem possuir todos os relacionamentos downstream.

A portabilidade regional falhará se for vendida como um atalho para evidências. Terá sucesso se for construída como uma máquina de evidências mais forte. Um livro-razão global registra um compromisso de status. Registradores concorrentes atendem clientes. Ninguém pode alocar o mesmo recurso duas vezes. Esse é o acordo institucional que vale a pena construir.

Fontes