摘要

  • 注册准确性不需要数字资源持有者的万能档案。它需要无歧义的资源、可问责的持有者或被委托的角色、权限的依据和生效时间、可联系的角色联系人，以及每一项重要行为的保存记录。
  • 薄公开账本和丰富的受保护历史应设计为不同的层面。前者支撑当前运营使用；后者保存请求、审批、证据参考和前后状态；公开的加密承诺将二者连接起来，而无需暴露所有的底层素材。
  • 签名树头、包含证明和一致性证明提供了一个有用的模型，使删除、重排序和歧义变得可检测。它们证明关于已提交数据的有限事实，而非持有者有权获得资源，或官员正确应用了政策。
  • 角色分离比收集额外的简历字段更重要。请求者、验证者、批准者、执行者、签名密钥保管者和审计员不应合并为一个特权账户，尤其是在转让、暂停、恢复和控制权变更等操作中。
  • 持有者需要可强制执行程序性权利：签名收据、尽可能提前通知、争议后的保留、获取与其自身记录相关的证据、合理的决定、独立审查、更正和恢复。没有补救措施的公开证明只会暴露失败而无法治愈它。
  • 更正应追加一个新状态并将其链接到错误的状态。一个默默覆盖错误的注册表可能会改善今天的显示，却破坏了确定责任、依赖关系和补救措施所需的证据。
  • 资源号协会（NRS）可以可信地倡导并展示这一架构，而无需声称取代 IANA 或各区域互联网注册管理机构。其有用的角色是定义最小记录、发布事件词汇表、颁发可携带的持有者收据、运营或委托独立监视器，并证明其自身的会员身份断言符合同样标准。
  • 核心权衡是制度性的而不仅仅是加密技术上的：收集更少，解释更多，保留每一项重要行为，分散控制，并为受影响方提供从证明到修复的途径。

悖论仅是表象

想象一个持有者，其地址块在周一显示在一个公司名下，周二显示在另一个名下。对由此产生的争议，常规回应是要求更多数据：更多身份文件、更多联系方式、更多公司记录、更多通信，以及更长时间地保留一切。信息的堆积给人以安心的感觉。它创造出更大的文件，从而营造出一个更严肃机构的外观。

然而，这些额外的字段可能几乎无助于回答决定性的问题。哪一个经过认证的角色请求了变更？该角色当时拥有何种权限？验证者审查了哪些证据？谁批准了该决定？哪一条具体记录发生了变化？对于高风险行为，是否有第二名官员确认？新状态何时公开生效？机构能否证明在争议开始后，先前的状态没有被删除？

一个注册表可以保存护照扫描件、三个电话号码和一叠公司文件，却仍然无法重建自己的决策。它还可以在数据泄露中暴露这些材料，在其目的过期后仍保留它们，或让管理员将其用于无关的调查。丰富的个人数据并不能弥补糟糕的机构历史。

相反的设计更有前景。将公开注册记录保持精简。只在敏感证据支持明确定义的主张时才保留它。以异乎寻常的精确性记录行为、权限、决策和影响。将历史提交给外部见证的证明。给予持有者收据和质疑的权利。机构对私人生活的了解更少，却更难否认自己的所作所为。

这就是薄账本的主张。它并非呼吁一份空洞的地址列表，或对稀缺资源的匿名主张。它呼吁将保证从不加以区分的收集转向可验证的机构行为。

薄必须意味着充分，而非逃避

极简主义可能成为便利的托词。一个注册表可能自称保护隐私，实际上只是缺乏联系负责任运营商或区分两个权利主张者所需的信息。它可能在未记录谁授权了转让的情况下，便以节制为由进行推脱。只有当薄账本的字段源自明确的目的，并经过真实争议的检验时，它才是站得住脚的。

这些目的始于唯一性和准确的注册。RFC 7020将注册准确性描述为互联网数字注册系统的核心要求：分配必须被记录下来，以确保全球唯一的数字不会同时分配给多个当事方，并确保准确的信息支持运营需求。这并未规定一个通用的身份文件。但它确实要求足够的信息来识别注册方以及记录的管理基础。

对于一个公开的数字资源条目，不可简化的字段可能包括：资源范围或自治系统号；注册组织或个人持有者的规范标识符；注册关系和状态；记录所源自的权限；生效时间和当前版本；在政策要求时提供的基于角色的运营或滥用联系人；以及持有者可借以获得创建该状态的事件证明的参考信息。

管辖权、资源类型和关系可能证明需要更多字段。一个委托的网络可能需要上级引用。一项遗留注册可能需要历史依据标签。一个有争议的记录需要一个可见的争议状态。一项制裁冻结可能需要法律授权引用，而无需公开受保护的细节。检验标准始终如一：该字段支持何种决策或运营需求？谁可以看到它？如何更正它？何时它不再必要？

任何未通过该检验的信息都不应仅仅因为存储便宜而被纳入。一个在没有明确主张的情况下收集的字段，将成为未来的隐私风险，并成为更好的控制措施的诱人替代品。

注册状态是行为的结果

注册表通常呈现一个整洁的当前对象。它看起来是静态的：一个前缀、一个组织、联系方式、日期和状态。但每一行都是机构行为的残留。有人创建了该记录，接受了一项主张，授予了权限，更新了角色，执行了转让，实施了冻结，更正了错误，或恢复了之前的状态。

当机构将这些行为视为一等记录，而非数据库周边的附带日志时，可审计性便会提高。每一项重要事件都应标明：之前的版本、拟议的变更、经过认证的请求者、其声称的角色、证据参考、验证者、政策和程序版本、批准结果、执行者、提交时间、发布时间以及结果版本。它还应记录通知、异议和后续审查。

此事件历史比公开状态更丰富，但不必包含不相关的个人细节。验证者可以记录某项公司权限测试在特定方法下通过，并将受保护的证据保留在用途有限的存储中。事件可以包含摘要和稳定引用，而不是董事身份文件的另一份副本。审计员事后可以确定验证者看到了什么，以及方法是否被遵循，而无需公开文件。

这种区分也使删除更智能。不再需要的联系地址可根据适用的保留规则被删除或令牌化，而事件的制度骨架得以保留：一个指定角色提出了请求，验证者 417 应用了程序 6.2，批准者 091 接受了它，事务 8af 将版本 48 变为 49，并签发了持有者收据。权力的历史得以留存，而无需永远保存每一个私人输入。

一个仅对当前状态建模的注册表，必须从分散的系统痕迹重建行为。一个对行为建模的注册表，可以有意地决定哪些事实必须持久，哪些可以过期，以及哪些可以无需披露便能证明。

NRS 拥有一个有益的前提来加以规训

NRS 将数字资源机构呈现为簿记员，其合法性基于准确的注册，而非治理网络的普遍权力。其宪章还将自愿认可、自由企业和限制监管野心视为重要。这些主张是倡导，而非任何拟议的 NRS 服务具有权威性或技术就绪性的证明。但簿记员的前提可以产生一种严肃的设计规训。

簿记员在一个意义上必须是普通的，在另一个意义上则必须是严格的。它不应将注册变成检查持有者业务、指导合法路由选择或裁决有关地址的每一项争议的许可证。然而，它必须能够说明一个条目为何存在，谁更改了它，以及自己的规则是否被遵守。狭义的授权并非低保证。

因此，NRS 的积极案例不应始于对一个新全球注册表的主张。它应始于其自身的断言。如果 NRS 声称某个组织是经过验证的资源持有会员，那么支持这一陈述的最低证据是什么？当注册数据过时、上级提供商持有分配、公司合并，或两名高级职员意见不一致时，会发生什么？会员能否撤回或更正该断言？审计员能否在无需获取会员完整申请文件的情况下验证历史？

通过公开解决这些问题，NRS 可以证明最小化收集与强证明是兼容的。然后，它可以向持有者和现有注册机构提供事件模型、收据格式和审计测试。采纳将基于实用性和互操作性，而非 NRS 已取代公认权威的声明。

标准应尤其严格，因为极简主义的信条可能掩盖任意的自由裁量权。NRS 的公开会员条款赋予接纳委员会对申请的自由裁量权，并允许要求进一步信息。薄账本设计必须将理由、审查和审计围绕这种自由裁量权。否则，机构收集得更少，而内部人士仍然决定得更多。

三层防止两个常见错误

架构应将公开状态、受保护证据和公开证明分开。将它们混淆会产生两种常见的失败：以透明为名公开敏感材料，或将所有完整性声明保留在被质疑的机构内部。

公开状态层回答当前的运营问题。它被刻意设计得紧凑、机器可读且带版本。它显示资源、注册方、关系、状态、权限、生效时间以及适于公开使用的角色联系人。它可以公开选定的事件标签——已转让、已更正、已暂停、已恢复——而无需识别私人用户或揭示安全控制。

受保护证据层解释状态。它持有经过认证的请求、角色绑定、批准、政策快照、证据参考、前后值、特权操作、系统确认和审查结果。访问基于目的。持有者可查看涉及其记录的材料，但须保护他人及安全。独立审计员获得更广泛的受控视图。法院或法定当局根据适用规则获取材料。普通公众用户不会获取原始的认证痕迹。

公开证明层对受保护的历史做出承诺。在特定的时间间隔，服务会发布有序事件集的签名加密摘要。随后，一个已披露的事件可以附带一个包含证明。连续的摘要可被检查一致性。独立的见证者保留摘要并比对所接收到的内容。汇总的公开报告核对事件数量、空白、挑战和更正。

这些层允许选择性披露。注册表可以证明某个事件在特定日期之前被提交、在有序历史中占据某个位置，并在之后的历史中得以保留。它可以向授权审查者披露该事件，而无需暴露每一个相邻事件。公众可以测试账本的连续性，而持有者的私密证据仍受保护。

该设计并未消除判断。它使机构的判断可追踪，并使日后的篡改更难隐藏。

事件词汇应无聊且完整

信任较少依赖于宏大的宪法声明，而更多依赖于平凡事件是否具有稳定含义。NRS 应发布一个小而可扩展的词汇表，注册表和持有者可以实现它，而无需将每笔交易翻译成本地散文。

至少它应区分创建、分配或指派、委托、联系信息变更、权限角色变更、转让、合并或继承、拆分、聚合、归还、到期（如适用）、冻结、暂停、撤销、恢复、更正、争议开启、争议关闭和披露。状态变更不应冒充转让。更正不应显示为原始分配。临时的安全冻结不应因惯性而成为永久性的不利决定。

每种事件类型需要强制性的命题。一次转让要求提供源持有者、目标持有者、资源集合、权限测试、生效时间以及连续性处理。一次联系信息变更要求提供角色、旧端点、新端点以及确认路径。一次暂停要求提供规则或法律依据、范围、决策者、开始时间、审查日期以及对公共服务的影响。一次更正需指明错误事件，并解释正在修复的事实或程序缺陷。

原因代码应足够公开，以便比较决策，但不能宽泛到让每个案例都变成“行政性的”。自由文本可在受保护记录中提供背景。已发布的代码集应通过版本化、经审查的决策进行更改。旧事件保留当时使用的词汇表版本。

完整性必须包括失败。被拒绝的请求、过期的批准、不成功的执行、部分恢复以及被放弃的争议，均属于事件序列，即使它们不会改变当前状态。否则，账本仅记录成功的机构行为，无法揭示重复的尝试、不明原因的延误或选择性对待。

一个无聊的词汇是有价值的，因为它抵制修辞膨胀。注册表要么接收、验证、批准、提交、发布、更正，要么没有。审计员可以测试这些动词。

页面上的签名并非签名历史

数字签名常常被添加在错误的层面。一个机构签署一份每日导出或一份 PDF 证书，然后称记录是可验证的。签名或许能证明文件是在某个密钥下生成的。但它并未表明所有先前的事件均被包含，两个受众收到了相同的历史，或者在文件签署前某个早期事件未被移除。

一个签名的历史需要顺序和连续性。每个事件应具有规范表示形式和不可被静默重新分配的标识符。服务应提交批次或只追加树。每个签名的检查点标识出树的大小、根、时间、算法和密钥。后续的检查点可与较早的检查点进行比对。持有者收据将相关事件绑定到某个检查点，而不仅仅是声称当前屏幕是真实的。

RFC 9162通过证书透明度提供了一个有用且范围受限的模型。它定义了签名树头、包含证明和一致性证明，用于 Merkle 树日志。监视器可以关注感兴趣的条目并检查日志的正确行为。签名防止日志合理地否认其他人所保留的不一致结构。

数字资源事件并非证书，该标准不应未经分析便被移植。注册表事件可能包含个人、商业和安全敏感的事实。接受规则、更正语义、保留和补救措施均有所不同。其启示是结构性的：发布紧凑的承诺以允许外部验证，将提交者收据与后续的包含分开，并使不一致的历史可被检测。

注册表还必须定义签名的检查点不能确立什么。它并不能证明基础合同是真实的、高级职员拥有公司权限、政策是公平的或暂停是合法的。它证明的是，某个特定的表示在某个阶段进入了承诺的历史。这只有在被如实陈述时，才是一个有力的事实。

公开证明可比当今的公开记录披露得更少

透明度常被视为完整公布与信任运营商之间的选择。加密承诺创造了第三种选择。公众可以观察连续性和选定的成员资格，而无需接收每个事件的内容。

假设一个受保护的转让事件由一个规范记录表示，该记录包含资源标识符、旧持有者标识符和新持有者标识符、决定参考、生效时间以及受保护证据的摘要。完整的事件成为承诺树中的一个叶节点。公开检查点仅暴露根、大小、时间和签名。持有者接收其事件以及证明包含所需的路径。拥有授权访问的审计员可重新计算叶节点并检查证据。普通观察者可以验证检查点之间的一致性，而无需了解每次转让的当事方。

选定的公开事实可以获得单独的证明。注册表可以证明当前的公开条目源自一个已提交的事件。它可以发布每日的转让计数，并使用适当设计的披露方法，证明该计数与标记的事件相符。它可以让持有者向交易对手证明，在一个时间点上存在某项注册，而无需泄露不相关的账户记录。

需要谨慎。对可预测的个人数据做哈希并未实现匿名化；攻击者可能猜测输入并比对摘要。小的事件类别可能通过时机和计数泄露事实。直接的证明请求可能揭示请求者对哪些资源感兴趣。系统应根据威胁模型使用盐值或适当的承诺，对事件进行批处理以限制时机泄露，最小化公开元数据，并尽可能通过持有者传递证明。

目标不是加密技术的盛大展示。而是使一个狭义的、事实性的承诺可验证，同时披露的内容少于传统的公开历史可能需要的内容。

歧义是一种制度性过错

删除并非唯一的威胁。一个注册表可以向持有者展示一个看似一致的历史，而向审计员展示另一个。它可以延迟一个令人难堪的事件在某一个视图中的显示，向一个友好的见证者签发一个检查点，向批评者签发不同的检查点，或者在声称技术故障后重置日志。

独立见证可以应对这一风险。NRS 应要求将检查点发送给多个组织，这些组织不共享管理、托管或密钥保管。持有者可以将随收据附带的检查点进行 gossip。审计员比对树的大小、根和时间。一个公开存档保存序列。任何两个有效签名但不兼容的检查点便构成歧义的证据。

见证者的多样性比名义数量更重要。一家供应商在一个合同下运营的五个见证者，只是一个制度依赖。一个有用的集合可能包括一个持有者协会、一个学术网络、一家审计事务所、一个公益档案机构和另一个注册表。它们的职责应是适度的：接收、时间戳、保留、比对，并在无法建立一致性时发布警报。它们无需接收私密事件内容。

可用性故障需要与完整性故障不同的信号。错过一个检查点可能源于停机、网络分区或见证者问题。公开记录应区分迟发、交付失败、不可验证的一致性、密钥撤销以及已确认的歧义。截止日期和升级机制防止“临时”空白变成永久的模糊。

对歧义的制裁不能仅仅是声誉上的。合同和治理规则应规定保存、独立调查、持有者通知、暂停单方面高风险变更、密钥替换、重建，以及在权限依赖于认可的情况下，对该认可的审查。密码学可以暴露分叉；机构必须决定后续措施。

先分离角色，再添加另一字段

一个小型注册表可获得的最强改进可能是组织性的，而非数学上的。任何单一特权操作员都不应能够创建主张、批准它、提交它、更改审计记录并签署公开证明。

请求者声称变更。身份服务验证一个技术主体并将其绑定到一个持有者角色。验证者评估证据。批准者根据政策做出决定。执行者应用已批准的事务。证明服务提交事件。密钥保管人控制签名操作。监视器检查一致性。审计员重建选定案例。这些角色可由紧凑的团队和自动化来执行，但其权限应保持分离。

对于低风险的联系信息变更，一个人可以通过既定渠道发起并确认。对于完整的转让、合并、不利暂停或遭入侵后的恢复，双人控制是合理的。第二名批准者应接收完整的提案和证据结果，而不仅仅是点击一个标记为“已审核”的批准按钮。紧急权限应迅速过期，需要理由，并触发自动外部通知。

技术分离必须与组织分离相匹配。一个管理员账户中不同的屏幕名称只是表面的。访问策略、服务凭证、密钥、日志和部署权限应防止同一主体在未留下可检测例外的情况下跨越边界。审计管理员不应能更改持有者状态。生产管理员不应能删除审计记录。签名密钥不应提供给应用程序数据库。

NIST 的SP 800-53 第五版将职责分离、最小权限、审计生成、审计保护和加密完整性作为相关的控制措施。这是一个通用的安全目录，而非数字注册表的强制要求。其有益的启示是，保证来自于权限的安排，而非收集的关于主体的信息数量。

持有者收据将主体变为见证者

大多数注册系统允许持有者下载当前数据。极少有系统给出一份持久的、可独立检查的收据，用以证明创建该数据的行为。一份收据将使每个持有者成为制度历史的分布式见证者。

在重要事件之后，持有者应接收：规范的事件陈述、先前和结果的版本标识符、接受时间、预期的发布截止时间、政策参考、检查点承诺以及验证收据所必需的签名。一旦事件被包含，服务提供或使包含证明可用。如果持有者后来看到不同的公开状态，它可以明确指出哪一个已接受的行为与之冲突。

收据应是可携带的。验证不能要求在被指控出错的同一机构拥有实时账户。公钥历史、算法、规范化规则和证明格式必须保持可用。后继注册表或法院指定的保管人应能验证旧的收据。机器格式应附带人类可读的呈现，以便高级职员理解被接受的内容。

持有者签名可以增加价值，但不应被错误描述。对于自愿转让，旧持有者和新持有者可以会签事件陈述。这支持对所述条款的同意。它并不证明法律行为能力或消除欺诈。对于不利的冻结，要求持有者签名将产生对记录机构行为的否决权。收据应转而证明通知并保存任何异议。

收据的丢失不得抹除权利。注册表保留已提交的事件，经授权的持有者可在认证后请求另一份证明。相反，拥有收据本身不应授予变更资源的权力。过去行为的证据并非未来控制的不记名凭证。

该设计将持有者从被动的数据库主体转变为共享历史一部分的保管者。

身份应依附于角色，而非公开的传记

数字资源管理需要可问责的人，但公众通常不需要其完整的身份文件。注册表应区分法律或组织持有者、被授权行动的职务、使用该职务的技术主体，以及主体背后的自然人或服务。

公开条目通常需要持有者的规范身份和可联系的功能性联系方式。安全或滥用联络角色可表示为一个维护的端点，而非员工的家庭地址。受保护记录将该职务绑定到经授权的个人，记录保证方法，并保存起止日期。历史事件仍可按当时的情况解析至职务和个人，即使在员工离职后。

验证应比例相称。例行的端点确认不应当引发广泛的企业调查。对宝贵地址块的转让或许需要更强的公司存在、高级职员权限和同意的证据。事件记录方法和结果。敏感文件保持隔离、加密，并受限于到期或法律保留规则。

欧盟的通用数据保护条例并非适用于每种注册表关系的通用法规。然而，其目的限制、数据最小化、准确性、存储限制、安全性和可问责性原则，表达了一项连贯的设计挑战：机构应能解释每个类别的存在理由，并展示负责任的处理。

极简主义绝不能抹除问责的路径。假名的内部标识符应在受控的访问下映射到真实的历史主体。对于重要行为，应禁止共享账户。自动化服务应有指定所有者和狭窄的作用域。一个公开的角色地址可保护个人数据，而受保护的角色历史则允许审计员确定谁采取了行动。

正确的问题不是身份是公开的还是秘密的，而是每个受众需要哪种身份主张，以及如何证明该主张。

更正必须增加真相而不删除历史

每个注册表都会犯错。合法性的检验不是宣称完美，而是一种更正设计，它保存证据、限制持续损害并分配责任。

当错误被确认时，服务应追加一个更正事件，并链接到有缺陷的事件。当前公开状态立即更改。先前的事件保留在受保护的历史中，并且在适当的情况下，公开的版本历史显示发生了一次更正。更正中应声明缺陷涉及的是输入、身份绑定、政策解释、批准、执行、显示还是后续的发现。

这一区分对补救至关重要。如果持有者提供了错误的联系方式，更正可能就足够了。如果员工在无所需授权的情况下批准了转让，则可能涉及恢复、保存和独立审查。如果公开视图错误，但权威状态仍正确，机构应指明暴露期间和受影响的服务，而非暗示资源本身发生了转移。

静默覆盖之所以诱人，是因为它能产生干净的当前状态。它也使机构得以隐藏错误的持续时间和原因，挫败依赖旧状态的当事方，并破坏外部证明。签名的检查点只有在已更正的事件保留在只追加序列中，且公开状态通过明确的取代推导出来时，才会揭露无法解释的改写。

更正本身也可能出错。它们需要与原始行为相同的请求、批准、收据和证明控制。因此，一个序列可能显示事件、更正、撤销和最终裁定。这并不整洁，但诚实。可审计性并非美学上的整洁。

公开通知应比例相称。更正一个私密联系方式无需揭示旧地址。影响注册控制权的更正应显示资源、受影响的版本、时间和状态，同时保护调查细节。持有者接收更完整的说明和争辩的途径。

有争议的记录需要自己的状态

二元的数据库迫使机构在两种危险的显示之间做出选择：将有争议的条目呈现为毫无疑问的权威，或者在争议结束前将其移除。而薄账本应支持一种明确的争议状态，而无需让公众去解读法律往来函件。

该状态应指明争议的内容：持有者身份、行动的权限、继承、范围、生效时间、联系信息或注册表程序。它应显示争议开始的时间、当前仍生效的运营状态、变更是否受限、下次审查的时间点，以及受影响方如何提交证据。它不应公开指控或受保护证据。

开启争议不得自动将控制权转移给投诉人。在任者也不应拥有对审查的绝对否决权。机构根据预先公布的可逆性和运营风险保留规则行事。它可以冻结高风险转让，同时允许通过强化批准进行必要的联系信息或路由安全维护。紧急行动应有时限并接受审查。

事件历史保存相互竞争的主张和机构决定。各方收到提交的收据。审计员可以测试是否适用了相同的证据标准和时间表。公开检查点证明争议和决定在声称的时间进入了历史，即使细节仍受限。

关闭需要一个带理由的事件，而非状态切换。它指明被接受的权限、被拒绝或未解决的主张、当前状态、生效时间、公开数据的更正以及可用的审查。如果法院或公认的权威决定了一个问题，记录应区分该外部决定和注册表的执行。

这是较少公开文本产生更多问责的又一种方式。精确的状态和可验证的序列优于一份庞大的公共文件，后者在未能解释机构行动的同时还使各方产生偏见。

没有修复权的证明是演戏

一个无可挑剔的只追加日志，可以证明一个机构正如记录的那样伤害了某人。除非受影响方拥有资格、访问权、审查权和补救措施，否则这并非问责。

持有者应拥有合同或章程上的权利，以获得重要事件的收据、及时的告知、清晰的决议理由、在可信挑战下的保存，以及获取涉及其记录证据的权限。在获取时，可以隐去他人的受保护数据或安全细节，但机构应指明每一类隐瞒信息，并提供独立查阅的途径。

审查在结构上应独立于最初的批准者。审查者需要授权来检查受保护证据、测试签名和检查点、中止可逆变更、命令更正、要求在机构控制范围内恢复，并建议更广泛的补救措施。时间限制应反映运营风险：未经授权的控制权变更不能等到年度委员会会议。

补救措施应与缺陷相对应。可能包括更正、恢复、更新凭证、移除不当冻结、延长截止日期、退还误收的费用、发布更正、通知受影响的服务、为法庭程序保存证据，或在合同和法律规定的范围内进行赔偿。加密证明并不确定损害赔偿或财产权。

反复的控制失败需要治理层面的补救。如果一名验证者反复接受有缺陷的权限，在审查前暂停其角色。如果承诺被错过，要求外部监督。如果注册表无法为一类事件提供包含证明，暂停该类中的非紧急行为，直至重建连续性。汇总的调查结果应提交至董事会和会员。

NRS 在别处规定这些权利之前，应将其应用于自身的接纳和会员决定。免费的会员费并不能减少被排斥在所谓群体之外的影响。最小化字段、一条合理的决定、一份事件收据以及独立的申诉，将使簿记员原则变得具体可感。

密码学证明的少于狂热者所承诺的

薄账本将吸引简明的图解。制度分析必须持续追问每个证明到底确立了哪些事实。

一个数字签名证明私钥持有者签署了确定的字节，前提是算法、密钥和验证上下文仍值得信任。它不能证明密钥持有者就是授权的高级职员、理解该行为或不受胁迫。时间戳可以支持数据在某个时间之前存在的主张，但不能证明数据是真实的。包含证明显示一个叶节点属于一棵承诺树，但不能证明没有相关事件被排除在树外。

一致性证明显示一棵承诺树是该构造下另一棵的扩展。它不能揭示第二个历史，除非见证者比对检查点。持有者收据证明服务接受了一个在某个密钥下的表示；后续的包含和一致性仍需检查。加密仅在密钥和端点受控时保护机密性。哈希并不能使可预测的个人信息匿名化。

这些限制并未使工具变弱。它们分配了剩余的负担。身份系统必须将人员绑定到角色。政策定义权限。角色分离限制合谋。完整事件对账测试相关行为是否进入了日志。见证者检测分叉。审计员检查受保护证据。审查者决定程序和实质是否正当。法院适用法律。

公开规范应为每件制品包含一个“证明命题”：被服务接受，由检查点包含，自检查点以来一致，由角色签署，由组织见证，或在存档的密钥材料下有效。用户界面不应将所有绿色的验证标记变成“所有权已验证”。

当一个机构拒绝让它的密码学说出超出其能力的断言时，信任便会增长。

长期存在的权利比短命密钥更持久

数字资源争议可能在事件发生多年后出现。算法变弱，证书过期，签名设备故障，组织合并，密钥保管人离职。一个仅为今天的密钥设计的证明架构，会使旧的历史变得无法判定。

密钥的身份、目的、激活、轮换、撤销和销毁需要自身的公开历史。一个检查点应标明确切的密钥和算法。计划的轮换应提前公布，并在适当情况下进行交叉签名。受损的密钥触发一个有边界的事件，保存已被见证的检查点并进行记录的重建；它不应为静默开启一个全新的历史提供理由。

RFC 3161描述了支持证明数据在特定时间前存在的时间戳令牌。RFC 4998定义了证据记录和续期结构，旨在随着算法和证书的变更，长时间地保存存在性和完整性。这些标准并未确定注册表政策或法律可采性。它们表明，长期证明需要计划的续期，而非对旧签名的无限信任。

NRS 应定义一个密码连续性日历。它将审查算法强度、时间戳信任、证书状态和见证者可用性；在依赖项变得不可靠之前更新证据；并公布新旧承诺之间的关系。档案保存验证历史制品所需的软件规范和测试向量。

保管也必须承受机构失灵。一套托管存放的检查点、公钥、规范、加密的受保护记录和访问规则，应能在定义的触发条件下移交给后继者。后继者可能不会获取所有过时的个人字段。但它必须获取足够的机构历史，以兑现收据、解决当前权限并继续只追加序列。

因此，一份薄的记录可以是耐久的。耐久性来自于保存的设计，而非永久地收集曾经提交的一切。

可用性与完整性应不同地失效

一个完全不可变但频繁不可达的证明服务无法支撑运营依赖。相反，一个高可用但可改写历史的服务是不可信的。NRS 应为可用性、完整性和新鲜度发布单独的目标和事件状态。

当前注册数据应从冗余系统提供，并可从签名的状态中重建。检查点应通过多种渠道分发。持有者收据应保持离线可验证。独立的镜像可提供公开状态和证明材料，而无需获得批准变更的权限。受保护证据需要加密的、地理上和管理上分离的副本，并经过测试的恢复。

恢复演练应从一个已知的检查点开始，并通过重放已提交的事件重建当前状态。操作员随后核对事件计数、结果状态、公开条目、待决争议和持有者收据。一个能恢复数据表却不能对账事件序列的备份，不是充分的连续性测试。

在中断期间，机构应避免在正常历史之外即兴进行不可逆的行为。紧急变更进入一个单独受限的队列，使用双人批准并接收收据。恢复后，在普通高风险变更恢复前对其进行核对。公开报告标识接受、提交和发布之间的空白期。

服务指标不应将这些状态坍缩为通用的运行时间。应报告当前数据可用性、证明可用性、检查点延迟、未提交的已接受事件、失败的一致性检查、恢复测试结果以及签发持有者证明的时间。分母和观察窗口很重要。“无完整性事件”如果没有独立监视器比对检查点，则毫无意义。

连续性正是极简主义设计收获成效之处。紧凑的状态和精确的事件序列比一堆无记录的大量可变记录更容易导出、验证和恢复。该架构之所以具有弹性，是因为它知道哪些事实是必不可少的。

互操作性防止账本成为竞争对手的“真相”

互联网数字资源已处于 RFC 7020 所描述的 IANA、RIR、本地互联网注册管理机构和持有者关系之中。NRS 不能在公认的注册旁放置第二个断言，并将冲突称为竞争，以此来创造运营合法性。

每一条 NRS 记录应标明其权威类别。对公开 RIR 数据的直接观察是派生的断言。一份持有者提交的文件是持有者的主张。一次会员验证是 NRS 关于会员的决定。一个未来的委托注册表行为将需要一个可识别的法律和制度基础。公开界面不得将这些类别压平为一个权威标签。

可移植的事件和收据格式应映射到现有的标识符，而非重命名资源。前缀、ASN、组织句柄和源注册表可在不主张所有权的情况下表示。如果一个公认的记录发生变更，NRS 的断言要么通过一个已验证的事件更新，要么变成明显过时。如果持有者对公认的记录有争议，NRS 可以保存挑战和证据，而不将其偏好的权利人呈现为运营真相。

互操作性还需要退出。持有者应能以记录格式导出其当前的断言、事件收据、角色历史和待决挑战。另一个服务可以验证签名，并根据自身的权限继续。NRS 应发布一致性测试，并允许独立的实现。专有的证明客户端会将加密保证转化为供应商依赖。

NRO RIR 治理文件第 2 版的文本强调了全面的记录、透明度和足以支持应急运营商的连续性。它并未规定此架构，也未授予 NRS 角色。它确实强化了一项原则，即记录必须支持关键服务的移交，而非将社区永久绑定到单一管理员。

当薄账本使公认的事实更易携带、更可争议，而非制造一个竞争性的权威根源时，它便成功了。

审计员应重建案例，而非赞叹控制措施

一份审计报告可以罗列加密、访问控制和保留政策，却遗漏核心问题：外部人士能否重建该记录变更的原因，并证明历史是完整的？

审计样本应从风险事件开始。选取转让、不利冻结、更正、恢复、紧急行动、密钥轮换和被拒绝的挑战。对每一件案例，从公开状态出发，导出已提交的事件。验证持有者收据、包含性和一致性。将请求者追溯至一个历史角色，检查权限测试，识别验证者和批准者，确认执行与批准相符，核对发布时间并审查后续的变更。

审计员还应抽样检查缺失。将应用程序、支持、认证、决策和数据库系统与已承诺的序列进行比对。查找无事件的已接受请求、无批准的权限变更、超过最大延迟后提交的事件、重复的标识符、序列空白、孤立的证据以及仅由一名见证者而非其他见证者看到的检查点。测试管理员能否压制一个被拒绝或失败的请求。

隐私控制属于同一审计。询问每个保留的字段是否有目的和有效期；证明叶子是否泄露了个人事实；审计员访问是否被记录；旧的角色绑定是否保持准确但受保护；以及已删除的材料是否存在于不受控制的备份中。强有力的证据保管不应变成悄无声息的监视档案。

审计员的独立性是实践问题。谁任命并支付事务所？管理层能否缩小样本？审计员是否从见证者而非仅仅从注册表获取检查点？调查结果和管理层的回应是否公布？持有者能否直接报告冲突的收据？轮换或许减少熟悉度，但损失专业经验；同行评议和公开方法可抵消任一风险。

最终意见应针对具体命题。它可以报告所抽样的活动已被包含，角色已分离，状态可重现。它不应将有限的样本转变为声称每一次注册在实质上均正确的论断。

公开报告需要诚实的分母

一份信任仪表盘即使上面的每个数字都准确，也可能误导人。“百分之九十九已验证”意义甚微，除非读者知晓哪些符合资格、哪些检查被计入、测量的是哪个时期，以及未解决的案例是否从分母中消失了。

账本应报告期初状态，以及收到、接受、拒绝、待处理、已提交、已发布、已质疑、已更正和已撤销的事件。它应对期末状态进行对账。高风险类别应与例行联系更新分开。检查点准时性应使用所有计划的检查点。包含性能应使用所有已到期的事件。挑战结果应包括撤回和仍在处理的案例。

隐私可能需要聚合、压制小类或延迟报告。这些保护措施应予以说明，被压制的类别仍应与受保护的审计总计对账。机构不应泄露某个指定持有者是罕见的、不利行动的唯一对象。它也不应将隐私用作不公布任何分母的理由。

证明的健康状况应有自己的系列：见证者覆盖范围、尝试和完成的一致性检查、无效签名、密钥事件、证明请求、重建成功率以及恢复测试。声称零歧义应指明支持该声称的独立比对。声称历史完整应指明已对账的系统以及已知的排除项。

NRS 的会员报告应遵循同样的规训。它可以陈述申请数、接受的会员数、拒绝的申请数、暂停、终止、申诉和撤销，而无需公布申请者的证据。它应区分个人会员、组织和经验证的资源持有关系。一个人、一家公司和一个委托的网络，并非可互换的支持单位。

规训很简单：每个百分比都配上一个名词、一个分母、一个时期、一个排除规则和一名负责的验证者。

激励倾向于沉默，除非权利改变它们

若不问谁从完整记录中获益，便无法评估技术。当注册表出错时，持有者想要证明，但当自身权限薄弱时，他可能更偏好模糊性。员工想要快速解决，可能将详细的事件捕获视为行政摩擦。高管想要干净的事件数字。审计员由他们审计的机构支付报酬。见证者可能忽视一项安静的服务。攻击者想要未授权的变更或证据的销毁。

设计应调整激励，而非期待不寻常的美德。自动收据使持有者有理由保留检查点。公开的包含截止日期使未提交的事件可见。只追加的更正减少了清理尴尬历史的诱惑。独立的见证者使压制需要共谋。审查员的权限使证明产生运营后果。向董事会报告使重复的例外难以被技术员工掩盖。

成本也需要分配。核心注册费用（若有）应覆盖事件捕获、证明、收据、更正、审查和连续性。向持有者为获取机构自身行为的证据收取高额费用，会削弱问责。可选的增强身份服务可以分开，但付款不得购买更低的证据标准或更快实质性上诉。

审计服务的采购应奖励检测和重建，而非一份干净的审计意见。合同可要求发布方法、获取外部见证者数据，并跟进之前的发现。见证者可获得适度的固定支持，独立于警报数量。为有效的矛盾证据设立赏金可能有所帮助，前提是披露规则保护正在进行的事件。

机构还应公布激励在何处击败了设计。如果员工为赶期限使用了紧急路径，如果持有者拒绝会签，如果见证者停止检查三个月，记录并补救该例外。信任来自于对可预见压力的可见抵制，而非声称压力已消失。

极简主义应经受住滥用的测试

薄账本创造了攻击机会，如果“极简”变成弱认证或易得的匿名。冒充者可能利用稀少的身份字段。内部人士可能为捏造的证据创建看似合理的事件记录。观察者可能从证明的时机推断商业交易。恶意持有者可能淹没挑战以拖延转让。一个注册表可能正确地提交了每一个事件，同时将一整个影子渠道排除在序列之外。

答案不是收集每一个可能的字段。而是针对命名的威胁测试架构。强认证和历史角色绑定对付冒充。双人批准、证据摘要和独立审查对付内部人士。批处理和受限的公开元数据减少时机泄露。速率控制和实质性检验对付滥用挑战，同时保留紧急审查。跨系统对账暴露影子渠道。

合谋依然可能。请求者、验证者和批准者可以串通；见证者可能失效；密钥保管人可能被攻破。设计提高了成本并留下了更多证据。它不能使机构信任变得不必要。治理仍决定任命、冲突规则、制裁和外部管辖权。

错误的信心是另一威胁。用户可能将经验证的包含证明视为所有权证明，或将当前的 NRS 会员断言视为路由的授权。接口应说明主张、权限来源和有效期。高价值的交易对手应检查适合其交易的底层注册关系和法务文件。

数据最小化本身可能遭受政治攻击。一个机构可能在宽泛的“未来争议”语言下保留私人数据，或在隐私口号下删除待决主张所需的证据。目的计划、法律冻结、独立审查和公开的保留类别是防御手段。持有者应知悉哪些证据存在、为何保留，以及何时将重新考虑删除或保存。

一个极简主义系统仅在它的威胁模型比它的公开记录更丰富时，才是可信的。

分阶段的 NRS 演示可保持可逆性

最有说服力的未来计划，将从 NRS 已控制的声明开始，并仅在独立测试后扩展。它无需在第一天就要求互联网信任一个新的权威服务。

第一阶段可覆盖会员事件。发布最小会员断言、事件词汇表、规范格式、密钥历史和检查点。向申请者提供提交、接受、拒绝、暂停和终止的收据。创建带有目的和保留类别的受保护证据存储。任命独立的见证者和一名审查员。发布汇总对账和例外。

第二阶段可添加链接到公认注册数据的自愿性持有者证明。该证明精确陈述持有者声称的内容、参考了哪项公开记录、以及声明何时过期。它不会覆盖公认的记录。持有者接收可携带的证明；审计员抽样权限测试；公众看到来源和过时性。

第三阶段可以在一个封闭的、非生产环境中，与参与的持有者和一个确定的权限，测试一项委托的服务。演练覆盖转让、争议、更正、密钥泄露、见证者失效、恢复以及导出至后继者。结果应公布失败的测试和变更的假设，而非一份通用就绪声明。

任何权威性的扩展，都需要一个单独的决定，以确定法律基础、认可、资源范围、责任、服务级别、互操作性、融资、申诉和退出。证明架构可支持该决定，但不能创造权威本身。如果交易对手不认可该服务，账本依然是一个经过良好证明的断言系统。

可逆性是一项成功标准。NRS 能否在旧收据仍可验证的情况下停止发布新断言？另一个运营者能否恢复状态？会员能否在不失去证据的情况下退出？错误能否在不抹除历史的情况下被更正？见证者能否在不重置信任的情况下被替换？机构能否在不利审计后缩小范围？

从自身的会员资格开始，将使 NRS 的积极案例具体化，并在稀缺资源依赖它们之前，暴露治理的弱点。

董事会应治理证明，而非操作它

董事会不应批准个别的转让或操作签名密钥。它应制定证据章程，并接收揭示管理层是否尊重该章程的指标。

章程定义最小公开记录、受保护证据类别、事件词汇表、角色分离、高风险批准阈值、检查点频率、见证者标准、持有者权利、审查权限、保留、更正、密钥连续性以及后继触发条件。实质变更需通知、说明理由并提供过渡计划。董事会不能通过决议放弃受影响持有者的访问权或重写检查点。

季度报告应显示未核对的事件、错过的承诺、紧急行为、角色冲突、未决挑战、撤销、更正原因、见证者空白、密钥事件、失败的恢复测试以及逾期的补救措施。趋势比单一的绿色分数更重要。董事会应追问为何例外围绕某一种事件类型、某个人或商业关系集中。

审计委员会可委托重建测试，并在无管理层在场的情况下与持有者或见证者会面。隐私职能审查字段的必要性和披露。技术委员会审查加密连续性。这些职能之间的独立性，降低了某一专家词汇压倒其他的风险。

会员需要修正章程和挑战董事会失败的途径，而无需获得私密案例的访问权。对于削弱证明或审查权利的行为，超级多数保护可能是适当的。紧急修正应过期。资金安排不应让主要捐助者任命唯一的见证者或审计员。

董事会的核心职责是防止证明变成装饰。它必须将缺失的证据与运营限制、审查发现与更正、连续性失败与投资或继任联系起来。它治理后果，而将事件决策留给可问责的角色。

更好的账本确切地知道自己不知道什么

没有一份公开的、可比较的清单，列出每个 RIR 受保护的事件字段、角色绑定、保留、密钥控制、特权路径、外部见证者和持有者证据权利。NRS 不应通过宣称所有现有注册表均缺乏此类控制来构建其论证。公开的 WHOIS、RDAP、历史服务和治理文件仅揭示其内部证据系统的一部分。

拟议的架构也不能确立法律所有权的全球事实。数字资源关系来自政策、合同、历史分配、公司继承和当地法律。账本可以记录被认可的关系并保存决定。它不能通过签名解决每个管辖区的财产原则。

一些事件将仍是不确定的。一个受损的凭证可能留下无可挑剔的技术证据，但人的归因却模糊不清。一家解散的公司可能有残缺的继承文件。一次见证者中断可能使检查点延迟但非伪造。记录应表达置信度和未解决的命题，而非将技术完整性转化为实质的确定性。

在不同机构和事件量下的成本尚不可知。紧凑承诺的存储便宜；安全的身份、审查、密钥保管、隐私工程和长期证据则不然。试点项目应公布单位成本和失败率，而非承诺普遍的低费用。

这些限制强化了理由。薄账本不是一台生产确定性的机器。它是一种定位不确定性的方法。它显示哪个事实被断言、哪个权限被接受、哪位官员做了决定、哪项证明持久、哪些私密证据可被检查、哪个问题仍然悬而未决、以及哪些补救措施可用。

这是一种比一个对其用户了解很多、但关于自身所能证明甚少的机构更丰富的信任形式。

收集更少，绑定更多，公开修复

簿记员的隐喻常被用来收缩机构的野心。其更有力的用法是扩展机构的规训。簿记员不需要每位持有者的传记。它需要精确的账目、受控的过账权限、可平衡的历史、独立检查，以及从不假装错误从未发生的更正。

NRS 可以将此规训变为一个积极的计划。定义最小的注册主张。将公开状态与受保护证据分离。对重要行为建模。将人员绑定到角色。划分请求、验证、批准、执行、签名和审计。给予每位持有者可携带的收据。发布外部见证的承诺。保持加密的有效性。核对每一个事件类别。提供审查和修复。

结果将比万能身份库更薄，比可变的注册表更丰富。它将披露更少的私人事实，同时产生更多的公开保证。它将使腐败更难隐藏，错误更容易定位，继任更少依赖单一管理员的善意。

这些都不允许 NRS 宣称自己是权威的。权威仍需要认可、协议、运营能力和合法的范围。但是，一个自愿的机构可以通过使其自身的声明可验证、自身的自由裁量权可申诉来引领。如果持有者、审计员和现有注册管理机构认为该设计有用，采纳可从展示出的节制中生长。

因此，最小化注册与可审计性并非对立的价值观。它们仅当机构将证据与信息的堆积混淆时才冲突。可信的账本对人吝啬，对权力慷慨：谁行使了它，依据哪条规则，基于什么证据，经谁批准，在什么时间，产生了何种状态，由谁见证，以及如何修复。

这才是丰富证明应有的含义。

来源