Резюме

  • Резолюция 202101.596 сделала ретроспективный отчёт AFRINIC о точности базы данных WHOIS доступным для публичной проверки. Это было полезное раскрытие, однако голосование Совета и сам отчёт остались институциональными утверждениями, а не независимым экспертным заключением.
  • Раскрытые материалы охватили 2 824 префикса IPv4, делегированных участникам-ресурсам с 2005 по 2019 год, описали изученные доказательства, выделили исключения, привели статусы объёмов адресов и заявленные меры контроля. Эти детали позволяют провести проверку, хотя и не решают каждый случай и не доказывают, что каждый контроль работал.
  • Правильный ответ на запрос подотчётности — не секретность и не безразборное раскрытие чувствительных материалов. Это версионируемая квитанция о точности, сохраняющая приватность и позволяющая внешним сторонам проверять ограниченную работу учётчика, не путая компетентность в учёте с суверенной, регуляторной, карательной или судебной властью.

L3 — День, когда реестр стал доступен для проверки

Самое важное слово в резолюции 202101.596 — не «точность». Это «публикация». 20 января 2021 года Совет AFRINIC зафиксировал одобрение публикации отчёта о точности базы данных WHOIS AFRINIC. Резолюция была коротким институциональным актом, но её практическое значение оказалось существенным: утверждения, доступные прежде главным образом внутри организации, стали положениями, которые участники, операторы, исследователи и затронутые стороны могли проверять извне.

Этот сдвиг важен, потому что база данных регистратуры говорит официальным тоном. Запись WHOIS представляет имена, контакты, номерные ресурсы и другую административную информацию в структурированном виде. Её упорядоченность может побуждать читателя считать её устоявшимся отражением реальности. Однако запись не может объяснить — просто появившись на экране, — был ли правильно рассмотрен исходный запрос, санкционировано ли изменение, достаточно ли подтверждающих доказательств, достоверен ли исторический импорт и остаётся ли спор нерешённым. База данных показывает административное утверждение. Она не удостоверяет собственную цепочку полномочий.

Публикация AFRINIC восполнила часть недостающего контекста. Организация сообщила, что проверила записи по 2 824 префиксам IPv4, делегированным участникам-ресурсам с 2005 по 2019 год. Она сообщила, что в девяти отсутствовал номер тикета, и связала эти девять с аллокациями Fiber Grid, выполненными в 2012–2013 годах. Из 2 815 проверенных записей со ссылками на тикеты, по данным AFRINIC, 2 800 содержали оценённый запрос на ресурсы. Она сообщила, что несоответствия в остальных 15 касались префиксов, импортированных из других регистратур в ходе более раннего проекта переноса регистраций.

Эти цифры достаточно конкретны, чтобы дисциплинировать обсуждение. Они задают совокупность, период, проверку на уровне записей и два разных типа исключений. Они также требуют аккуратной атрибуции. Это заявленные выводы AFRINIC. Рассмотренные здесь публичные материалы не воспроизводят каждый рабочий документ и не позволяют внешнему проверяющему заново выполнить каждое сравнение. Публикация делает выводы оспоримыми и допускающими повторную проверку; она не превращает их в наблюдения, независимо воспроизведённые для настоящего анализа.

Отчёт также описал более широкую проверку. AFRINIC сообщила, что использовала внутренние файлы ресурсов, журналы и историю WHOIS, делегированную статистику, записи тикетов, запросы на членство и ресурсы, обратный DNS, реестр интернет-маршрутизации, внешние исторические записи, публичные отчёты и сведения от осведомителей. Такая широта важна, потому что точность базы данных не сводится к проверке того, есть ли в строке текст. Содержательная проверка сопоставляет несколько следов административного действия: запрос, институциональный файл, зафиксированное изменение, публичное представление и внешние доказательства, способные выявить расхождение.

По состоянию на ноябрь 2020 года AFRINIC сообщила несколько статусов объёмов адресов. Она указала 1 060 864 адреса из пула как возвращённые и помещённые в карантин и 1 310 720 адресов пула как находящиеся на проверке. Она сообщила о 467 968 унаследованных адресах, по которым необоснованные изменения были отменены, о 394 496 унаследованных адресах, консолидированных по запросу холдинговых компаний, и о 936 704 унаследованных адресах в споре до определения прав хранения. Эти категории следует читать отдельно.

Отчёт не устанавливает здесь, что они образуют взаимоисключающие части одного числа, и сведение их в общий итог создало бы вывод, которого раскрытые материалы не подтверждают.

Различие между числом записей и объёмами адресов — один из самых полезных уроков отчёта. Девять файлов без номеров тикетов могут казаться незначительными рядом с совокупностью из 2 824 префиксов. Однако число файлов не является мерой операционной или экономической подверженности, связанной с этими файлами. И наоборот, большой объём адресов, описанный как находящийся на проверке, — это не вывод о правонарушении, не суждение о законном владении и не доказательство ущерба.

Корректная проверка должна сохранять обе меры и статус каждой из них: сколько административных записей затронуто, какой объём адресного пространства они охватывают и что именно было или не было установлено.

AFRINIC также описала меры контроля, которые, по её словам, были приняты или усилены. Среди них — автоматизация, плановые проверки и прослеживаемость изменений, а также окончательная проверка запросов на ресурсы и членство старшими сотрудниками. Организация указала на политику противодействия мошенничеству и коррупции, введённую в июне 2019 года, и независимую платформу для сообщений о нарушениях, запущенную в 2020 году.

Она описала усиленную проверку обновлений унаследованных ресурсов, ежедневные отчёты о сверке MyAFRINIC и WHOIS, сравнение с делегированной статистикой, аутентификацию PGP, доступ, ограниченный ролью и квалификацией, и эскалацию изменений, выходящих за пределы обычных полномочий.

Этот список даёт карту поверхности контроля. Он показывает, где может защищаться точность: при приёме данных, при оценке, при одобрении изменения, при аутентификации, в контроле доступа, при сверке и когда необычное действие требует эскалации. Но список мер — не то же самое, что доказательство эффективной работы каждой меры. В рассмотренных публичных материалах нет независимо воспроизведённой матрицы контроля «до и после». Они не доказывают, что каждая мера полностью отсутствовала до указанных дат, вступила в силу в одну общую дату или впоследствии работала без исключений.

Именно здесь решение Совета заслуживает и признания, и сдержанности. Публикация была существенно лучше молчания. Она дала общественности определённый набор утверждений, которые можно оспаривать. Читатель может спросить, почему отсутствовал тикет, что означал «оценённый» запрос, как обрабатывались импортированные записи, какие классы доказательств сверялись, кто отвечал за меру контроля и что осталось спорным. Без публикации эти вопросы упираются в глухую стену. С публикацией они встречают по крайней мере институциональный отчёт.

Однако одобрение публикации — не одобрение наказания. Резолюция не решила вопрос хранения спорных адресов. Она не установила уголовную ответственность. Она не сделала Совет судом, регистратуру — полицией, а отчёт — внешним приговором. Резолюция также не доказывает, что Совет независимо повторил проверку, лежащую в основе отчёта. Точный объём какой-либо конфиденциальной проверки за пределами публичного акта неизвестен. Обоснованный вывод уже: Совет санкционировал раскрытие отчёта AFRINIC о функции, за которую регистратура должна нести ответственность.

Эта функция реальна. RFC 7020 рассматривает уникальность и точность регистрации как ключевые требования системы реестров интернет-номеров. Общая запись поддерживает координацию только в том случае, если участники могут различать регистрации номерных ресурсов и находить надёжную административную информацию. Описание NRS частного реестра и членской среды AFRINIC подкрепляет, почему подотчётность должна быть привязана к этой полезной координационной роли. Ни один источник не превращает AFRINIC в публичный орган власти.

Вместо этого они помогают определить законную задачу института: поддерживать надёжный реестр для общей технической системы и делать его работу проверяемой.

Различие, которое проводит Lu Heng между реестром и привратником, усиливает этот вывод. Запись реестра описывает утверждение о мире; она не создаёт мир, который описывает. Организация, поддерживающая запись, выполняет учётную услугу, даже когда эта услуга операционно важна. Точность поэтому можно проверять, не считая текущего учётчика источником всех лежащих в основе прав. Отчёт был свидетельством о выполнении одной ограниченной функции, а не вотумом доверия по каждому вопросу институциональной власти.

Анализ BTW, рассматривающий WHOIS и RDAP как публичную запись, приходит к той же границе со стороны читателя. Публичная запись — полезное доказательство, но она не может удостоверить цепочку полномочий, которая её создала. Более ранняя работа BTW о файлах аллокаций даёт контекст для цифр, раскрытых AFRINIC; настоящая статья не реконструирует эту историю. Её предмет — более поздний акт публикации и стандарт, по которому такой акт следует оценивать.

Первое суждение благоприятно. AFRINIC раскрыла конкретную ретроспективную проверку, а не выпустила общее заверение. Второе намеренно неполно. Отчёт, написанный самим институтом, каким бы подробным он ни был, не может быть окончательным подтверждением собственной полноты. Резолюция 202101.596 открыла реестр для проверки. Она не закрыла спор.