摘要

  • 第 202201.673 号决议的实质，是批准 AFRINIC 对其管理范围内、被登记为未分配或未指派的 IPv4 与 IPv6 库存制作并发布覆盖性的 AS0 ROA；“负面”描述的是源站意图，机构采取的却是主动的签名与发布行为。
  • AS0 ROA 可以让验证器把冲突的普通自治系统源站判断为技术上的 RPKI Invalid，但这一状态不是法律无效、处罚或产权结论；网络仍可自行选择监测、降低偏好、拒绝，或者不改变路由策略。
  • 最有力的善意理由是真实存在的安全需求：登记为未使用的地址可能被未获授权地宣告，而可验证的负面源站信号能降低这种机会。与此同时，陈旧或错误对象也可能把调查成本、误判风险与连续性压力传递给运营商和资源使用者。
  • 合法而可靠的服务必须绑定准确库存、狭窄范围、确定性前缀推导、授权与签名分离、分配前撤回、回收终结条件、快速纠错、公开继承记录、独立测量和明确的运营商自主权。
  • 现有记录证明提案与董事会批准，却不证明后续授权、代码、密钥使用、生产对象、仓库发布、验证器观察、路由处置、故障、损失、误判或已实现的安全收益；这些阶段必须逐一取证，不能由批准反推实施。

一行决议中的主动行为

“发布”是理解第 202201.673 号决议的起点。2022 年 1 月，AFRINIC 董事会批准了名为“为未分配和未指派的 AFRINIC 地址空间创建 RPKI ROA”的第三版提案。董事会不是只对一个理念表示赞同，而是接受了一项需要本机构技术系统行动的组织承诺：查明政策覆盖的库存，把适用前缀转换成签名对象，将对象放入可被外部验证的发布环境，并在库存状态变化时撤回或更正它们。

这里有一个容易被语言遮蔽的反差。AS0 传达的是负面源站意图，即被覆盖地址空间不应由普通自治系统作为路由源站出现；可是产生这条信息的动作并不消极。有人必须选择库存快照，依照规则推导前缀，批准签名任务，调用密钥，形成 ROA，公布它，维护其后继版本，并在地址即将分配或指派之前撤销覆盖对象。负面的只是对象所表达的预期，主动的是机构所进行的加密发布。

这一区分关系到责任。若把 AS0 说成网络世界里自然存在的一道禁令，人们便看不见对象是谁制作的、依据哪一版库存、经过谁授权、何时发布、多久更新。反过来，若承认它是一项私人技术服务，就能提出可回答的问题：输入记录是否准确，输出对象是否严格对应政策范围，发布是否可复验，错误是否有明确纠正时限。责任不来自宏大的权力叙事，而来自一个可审计的操作链。

信号在路由器之前停下

对非技术读者而言，ROA 可以理解为一份经过加密签名、用于说明某段地址空间预期由何种自治系统源站行为来使用的信息。AS0 并不是一个普通网络要拿来发路由的自治系统；把源站写成 AS0，是在表达“这里没有普通自治系统源站被预期为合规源站”的意思。验证器取得公开仓库中的签名材料后，可以把它与看到的路由源站信息相比较。若一个普通自治系统宣告了被相应 AS0 ROA 覆盖的前缀，计算结果可能成为 RPKI 技术语境中的 Invalid。

链条到这里仍未配置任何路由器。验证器产生的是可供使用的信息，不是公共机关的命令。每个网络还要按自己的工程目标、客户义务、故障容忍度和本地策略，决定只记录异常、降低路由偏好、拒绝该路由，还是暂时不作改变。不同网络可能对同一验证结果采取不同措施；不采用也不是违法或违抗。第 202201.673 号决议没有跨越互联网远程按下拒绝按钮。

因此，技术上的大写 Invalid 不能被翻译成法律上的“无效”，更不能被写成对持有人、企业或网络的有罪判断。它是一个由签名对象、前缀覆盖关系和观察到的源站共同导出的验证状态。产权、合同、成员资格、善意与恶意，都不能仅凭这一个状态判定。把技术分类抬高为法律裁决，会同时误解 RPKI 与 AFRINIC 的地位。

最强的安全理由，也需要最严格的边界

支持这项服务的最佳论点并不难理解。被注册表准确记录为未分配或未指派的地址库存，可能吸引未经授权的路由宣告。若 AFRINIC 对这类库存发布可加密验证的 AS0 信号，运营商就多了一项尽职调查材料，并可能降低异常宣告获得传播价值的机会。信号是公开可验的，行动仍由本地网络决定；这正是该设计最克制也最有价值的部分。

但安全价值不能替代输入准确性。一段即将分配的地址如果仍被旧对象覆盖，或库存分类本来就有误，验证器仍可能忠实地算出 Invalid。密码学证明的是“某个授权链签署并公布了这些数据”，并不会自动证明底层业务记录符合现实。错误因此会沿着一条很短的路径传导：注册记录进入推导，推导进入签名，签名进入仓库，验证器给出状态，运营商承担调查与连续性成本。

所以，分配或指派之前撤回覆盖对象不是附属的行政礼节，而是安全模型本身的一部分。政策还允许资源持有人为其账户或管理范围内的资源制作 AS0 ROA；机构对象与持有人对象之间需要清晰的排除、优先与核对规则。回收资源也只有在回收真正终结后才可进入相应范围，不能把尚未结束的争议或过程提前压缩成一条加密结论。

私人协调者的正当尺度

AFRINIC 是私人、会员制的技术记账者与协调者。它可以维护唯一性记录，运行认证与发布设施，纠正数据，保障连续性，并在合法组织范围内提供安全断言。它不是非洲本身，不是主权者、立法机关、监管者、警察、检察机关、惩罚者、没收者或公法法院。

社区讨论可以改进规则，共识可以向机构提出建议，董事会可以让 AFRINIC 自身承担一项有限的组织义务；但邮件列表不是议会，会议不是公共授权，共识也不是对地址、人员、商业活动或独立网络的所有权。第 202201.673 号决议的有效尺度，是让 AFRINIC 的自身机器在既定私法与技术边界内发布一项可撤回、可纠正的声明。它没有因此获得对外执法的权力。

这也解释了为什么“处罚”“制裁”“没收”或“查封”都不是恰当词汇。发布错误可能造成真实兼容性压力，运营商的本地策略也可能产生严厉后果，但后果的存在不会把一项技术分类变成机构刑罚。正确的问责方向是检查输入、授权、签名、撤回与纠错，而不是虚构 AFRINIC 拥有其本来没有的公权力。

证据止于批准，不能跳到运行

现有证据能确立的顺序是：提案形成，社区程序记录了共识，董事会随后批准第三版提案。批准之后，还应当分别寻找内部授权、库存快照、前缀推导、签名事件、仓库发布、验证器观察和网络路由决定的证据。前一个阶段并不自动证明后一个阶段发生。

因此，不能仅凭这项决议声称某个生产 AS0 对象已经存在，某段前缀已经受影响，某个验证器已经观察到对象，某个运营商已经拒绝路由，或这项政策已经造成故障、损失、误判或可量化收益。董事会会议的确切日期、出席与表决细节、实施预算、密钥保管、纠错服务和生效安排，在现有材料中也没有得到证明。未知就是未知，既不是不存在的证据，也不是失当行为的证据。

最低限度的可验证承诺

若这项安全服务要在不借用主权语言的前提下赢得信赖，最小单位不应只是一个可下载的对象，而应是一张“加密发布凭据”。它至少要让外部观察者知道：依据哪一版政策、哪一个库存快照和哪套确定性推导规则；谁授权签名，生成了哪些对象，发布在何处；哪些库存被排除；什么状态变化会触发分配前撤回；错误必须在多久内纠正；旧对象由哪个后继版本替代；以及网络运营商仍保有独立处置权。

这样的凭据不会把 AFRINIC 变成主权者。恰恰相反，它把机构放回技术记账者应有的位置：对记录与签名负责，对撤回与纠错负责，同时让验证器独立观察，让网络独立决定。安全断言由此可以有力，却不必伪装成惩罚。