Краткое содержание

  • Новое правило третьей редакции стало значимым ограничением: AFRINIC не должен превращать ресурс, находящийся в процессе возврата, в утверждение AS0, пока процедура возврата не завершена.
  • Такая последовательность важна, поскольку запись реестра может стать подписанным доказательством для маршрутизации, валидатор может классифицировать конфликтующий обычный источник маршрута как Invalid, а отдельные сети могут затем применить различные последствия для доступности.
  • Корректный объект AS0 может дать заинтересованным операторам полезное аутентифицированное предупреждение о пространстве, которое действительно недоступно для обычного источника маршрута; опасность заключается в подписании незавершённого или оспариваемого административного требования.
  • Предложение не определило публичный, воспроизводимый критерий окончательности, оставив без ответа вопросы об изоляции конфликтов, порядке оспаривания, сроках исправления и независимом наблюдении.
  • Соразмерный ответ не в запрете отрицательных метаданных безопасности и не в возвышении AFRINIC до власти над держателями ресурсов и сетями. Он в требовании узкого, версионируемого протокола окончательности и сохранении локального выбора оператора.

Предложение, из-за которого окончательность стала значимой

Самое важное слово в третьей версии предложения AFRINIC по AS0 — не «authority», не «invalid» и даже не «reclaimed». Это слово «end». 19 апреля 2021 года Haitham El-Nakhal и Yazid Akanho представили версию 3 документа AFPUB-2019-GEN-006. В официальной истории изменений это изменение описывалось как «Consideration on recovered resources». Существенное дополнение гласило, что AFRINIC должен добавлять возвращённые ресурсы только в конце процедуры возврата. В документе, посвящённом подписанной маршрутной информации, это на первый взгляд скромное правило по времени несёт больше институционального веса, чем можно предположить по его длине.

Это предложение отличает действие в процессе выполнения от состояния, готового быть представленным другим. Возврат — это процесс. Возвращённый ресурс — это вывод. Первое может включать уведомления, расследование, неполные возвраты, противоречивые сведения или административную работу, которая ещё не завершена. Это примеры того, что может содержать процесс, а не утверждения о том, что какое-либо такое событие произошло в связи с данным предложением. Второе — это состояние реестра, на которое опиралась бы предлагаемая автоматизированная генерация объекта AS0 Route Origin Authorization.

Требуя сначала завершить процесс, третья редакция неявно признала, что начало процедуры возврата не делает её результат истинным.

Это различие важно, потому что объект AS0 — не просто ещё одна строка в закрытой базе данных реестра. Это подписанное утверждение, предназначенное для распространения через инфраструктуру открытых ключей ресурсов (Resource Public Key Infrastructure). Предложение охватывало невыделенное и неназначенное адресное пространство IPv4 и IPv6, для которого AFRINIC был текущим администратором. Оно также сохраняло отдельную возможность держателя ресурсов создавать AS0 ROA для ресурсов, находящихся под его собственным аккаунтом или управлением. Это разные голоса. Один выражает отрицательное намерение держателя в отношении происхождения его ресурсов.

Другой выражает то, что учётные записи AFRINIC говорят о пространстве, не выделенном и не назначенном участнику. Предложение третьей редакции о возвращённых ресурсах определяет, когда реестр может перевести ресурс из прежнего состояния в последнюю категорию.

AS 0 имеет конкретное техническое значение. Это не обычный источник маршрута в BGP. AS0 ROA сообщает, что охваченный префикс не должен появляться с обычным публичным источником. Когда валидатор получает соответствующий подписанный объект и сравнивает его с наблюдаемым анонсом, результатом проверки происхождения маршрута может быть Valid, Invalid или NotFound. Конфликтующий обычный источник при наличии объекта AS0 может быть классифицирован как Invalid. Но эта техническая классификация сама по себе не отзывает анонс, не удаляет его из BGP, не определяет владельца и не обязывает сеть отвергнуть его.

Решение о дальнейших действиях принимает полагающаяся сеть.

Таким образом, фраза третьей редакции находится в начале цепочки, последствия которой выходят далеко за пределы поля базы данных, которым она управляет. AFRINIC фиксирует, что префикс достиг определённого состояния. Затем его системы могут создать и опубликовать подписанный объект. Валидаторы, выбравшие соответствующий путь доверия, получают и обрабатывают этот объект. Сети используют полученную классификацию в соответствии со своей собственной политикой маршрутизации: одни могут регистрировать её, другие — понижать приоритет, третьи — отклонять, а четвёртые — не менять маршрут.

Ошибка на первом шаге не приводит механически к одному универсальному результату, но может распространиться на множество независимых решений.

«В конце» — это предложенный тормоз такого распространения. Он не позволяет, по крайней мере в принципе, системе подписания рассматривать предварительную административную позицию как завершённое состояние. Предположим, в качестве проверки правила, а не утверждения о каком-либо реальном префиксе, что уведомление о возврате отправлено, но факты остаются невыясненными. Предположим, что начато внутреннее расследование, возврат зафиксирован не полностью или два описания состояния ресурса противоречат друг другу. Ни одно из этих обстоятельств не эквивалентно завершённому возврату.

Если бы автоматизация сочла одно из них окончательным, реестр не просто фиксировал бы незавершённую работу. Он распространял бы отрицательное утверждение, на которое другие сети могли бы опираться.

Это граница ложноположительного результата. Префикс может корректно находиться в наборе AS0, когда лежащее в основе состояние точно: действительно невыделен, действительно неназначен или окончательно возвращён. Он может попасть туда ошибочно, когда система публикации опережает состояние, которое должна описывать. Техническая подпись всё равно будет проверяться. Репозиторий всё равно сможет распространять объект корректно. Валидаторы всё равно смогут корректно вычислять Invalid. Операторы всё равно смогут корректно применять выбранную политику.

И всё же итоговый результат может быть неверным, потому что подписанная предпосылка в начале цепочки была преждевременной.

Поэтому криптографическая корректность не может заменить институциональную точность. Подпись устанавливает связь между объектом и издателем, обладающим учётными данными. Она помогает полагающейся стороне убедиться, что объект был выпущен в рамках соответствующей структуры сертификации и не был незаметно изменён. Она не доказывает, что частное фактическое суждение, закодированное в объекте, было полным, справедливым или бесспорным. Если состояние реестра ошибочно, криптография может распространить ошибочное утверждение с исключительной целостностью.

Чем сильнее техническая гарантия передачи, тем важнее дисциплина, управляющая исходным состоянием.

Тем не менее обоснованный случай для создаваемых AFRINIC объектов AS0 остаётся сильным. Пространство, точно учтённое как невыделенное, неназначенное или окончательно возвращённое, не должно иметь обычного публичного источника. Машиночитаемое подписанное предупреждение может дать заинтересованным сетям аутентифицированное доказательство этого ожидания. Оно может снизить их зависимость от вручную собираемых списков богонов, которые могут устаревать, различаться у операторов или не иметь ясной цепочки ответственности.

Реестр хорошо подходит для описания состояния инвентаря, который он ведёт, при условии, что он описывает это состояние узко и точно.

Правило окончательности из третьей редакции укрепляет этот обоснованный случай, а не мешает ему. Сигнал безопасности становится более достоверным, когда его издатель отказывается использовать его во время незавершённого процесса возврата. Ожидание здесь не бюрократическая слабость. Это признание того, что метаданные с операционными последствиями должны следовать за устоявшейся записью, а не помогать её урегулировать. Правило, по сути, говорит, что отрицательное утверждение должно быть результатом завершённого учёта, а не рычагом внутри учётного процесса.

Это ограничение также защищает различие между описанием и наказанием. AFRINIC — это частный, основанный на членстве технический реестр и координатор. Его законные функции включают ведение записей об уникальных номерах, администрирование ограниченного сервиса сертификации и публикацию точной информации о состоянии ресурсов в этом сервисе. Он не является сувереном, законодателем, регулятором, полицией, прокурором, карающим органом, конфискатором или судом публичного права. Объект AS0 не может расширить этот институциональный характер.

Однако если публикация происходит до того, как возврат действительно завершён, объект может выглядеть и ощущаться карательным для сети, чей анонс затронут, хотя у реестра нет карательных полномочий.

Утверждение предложения о том, что только AFRINIC имел «authority» создавать такие ROA для адресного пространства, ещё не выделенного или не назначенного участникам, следует читать именно в этом ограниченном смысле. Оно относится к технико-административной возможности внутри собственного сервиса сертификации и публикации AFRINIC. Оно не устанавливает право собственности на префикс, юрисдикцию над держателем, полномочия разрешать частный конфликт или контроль над политиками сети, потребляющей данные валидации.

Это же слово становится опасным, если оно соскальзывает от вопроса «какой издатель с учётными данными может выпустить этот объект?» к вопросу «какой институт может окончательно определять права для всех?». Третья редакция поддерживает первое утверждение, а не второе.

Официальная оценка персонала придаёт правилу о времени операционный контекст. Она интерпретировала невыделенный и неназначенный инвентарь через доступное и зарезервированное пространство в расширенном файле делегированной статистики. В ней обсуждались обновления системы инвентаризации, автоматизация для текущего и поступающего инвентаря, изменения сроков выпуска, обновлённые внутренние контроли и мониторинг. Новые префиксы от IANA или PTI получали бы AS0 ROA немедленно, тогда как возвращённые или отозванные префиксы попадали бы в систему через процесс инвентаризации.

Это не чисто риторическое предложение: задуманная конструкция связывала классификации реестра с автоматизированной публикацией.

Автоматизация делает чёткую границу окончательности более, а не менее важной. Человек, читающий спорный файл, может засомневаться, задать вопрос или заметить, что видимый статус противоречит окружающим данным. Автоматизированное правило выполняет то состояние, которое ему передано. Оно может применять одно и то же решение к текущему инвентарю и будущим добавлениям, последовательно и в масштабе. Последовательность ценна, когда классификация корректна. Когда классификация предварительна, последовательность ускоряет неверное действие.

Третья редакция правильно поставила условие завершения перед автоматическим переходом, но не объяснила, какие доказательства удовлетворяли бы этому условию.

Публичный текст оставляет «конец» скорее утверждением, чем воспроизводимым результатом. Он не определяет публичный критерий завершённого возврата. Он не говорит, как будет представлено конфликтующее требование, какие конфликты будут препятствовать публикации, как выглядело бы срочное оспаривание, как быстро ошибочный объект должен быть отозван, как внешние наблюдатели могли бы подтвердить исправление и какая запись связывала бы окончательное изменение реестра с опубликованным объектом AS0.

Это критика того, что определяет публичное предложение, а не утверждение о том, что не существовало частной заметки, внутренней процедуры или дополнительной записи.

Это различие важно для дисциплины доказательств. Запись подтверждает, что третья редакция была опубликована, называет её авторов и дату, сохраняет более широкую конструкцию AS0 и добавляет правило о возвращённых ресурсах. Она подтверждает, что сотрудники сказали, чего потребует реализация. Она не подтверждает, что предложение было реализовано, что был создан какой-либо производственный объект AS0, что оператор принял эту ленту или что какой-либо префикс был ошибочно классифицирован. Перед нами нет доказанного ложноположительного результата, отклонённого маршрута, сбоя, потери держателя или измеренного выигрыша в безопасности.

Анализ касается проектной границы, созданной этим предложением, а не ретроспективного утверждения об инциденте.

С этой точки зрения дополнение одновременно точное и неполное. Оно точное, потому что требует от системы подписания не переходить от начала возврата к отрицательной публикации. Оно неполное, потому что читатель не может воспроизвести вывод о том, что возврат завершён. Хорошая граница требует и правила, и проверяемого пересечения. Третья редакция дала правило. Она не дала подтверждающего документа.

Отсутствующий документ не следует путать с требованием публичного суда внутри реестра. Вопрос уже: на что опирался частный издатель, прежде чем изменить состояние, значимое для безопасности, и подписать результат? Подходящая запись должна указывать затронутый префикс, предыдущее состояние, причину изменения, рассмотренные доказательства, любые неразрешённые конфликты, ограниченного внутреннего ответственного за переход, время вступления в силу и путь для оспаривания. Затем она должна связать это изменение состояния с публикацией, наблюдением за репозиторием, любым последующим отзывом и историей исправлений.

Такая запись сделала бы слово «конец» полезным для сторон, которые не видят внутренние системы AFRINIC. Оператор, видящий результат Invalid, обычно не может определить, был ли префикс вообще не выделен, возвращён без проблем или попал в набор после процедуры возврата. Держатель, оспаривающий состояние, не может диагностировать время только по криптографическому объекту. Независимый наблюдатель не может сравнить изменение реестра с поведением репозитория, если оба не имеют временных меток и не связаны. Такой документ предоставляет контекст, который подписанный объект никогда не был предназначен нести.

В этом главное достижение фразы третьей редакции: она показывает, что отрицательное доказательство маршрутизации настолько легитимно, насколько легитимен предшествующий ему переход. Граница между «в процессе возврата» и «возврат завершён» — это граница между неурегулированным частным процессом и состоянием ресурса, пригодным для публикации. Сохранение этой границы позволяет AFRINIC быть полезным, не претендуя на суверенитет. Если сделать пересечение видимым, другие смогут доверять сигналу, не передавая издателю собственное суждение.