摘要

  • NRS 应倡导由负责的 RIR、IANA 及授权技术生态系统实现可移植的认可：一种持有者控制、可独立验证的连续性记录，能够在注册服务、证书密钥、存储库和法人身份发生变化时继续存在，同时保持已认可的 IANA-RIR 分配层次结构。
  • RPKI 信任锚迁移提供了有用的工程经验，特别是分阶段继承密钥和共存，但没有任何 NRS 会员资格或倡导凭证仅仅因为被签名而成为全球权威。依赖方、认可的注册机构和运营商必须选择和管理信任。
  • 可移植记录应绑定持有者身份、资源范围、授权历史、当前联系人、RDAP 位置、RPKI 状态、反向 DNS 委派、争议、收据和撤销，而不暴露私人证据或冻结过去的错误。
  • 这是一项积极的倡导提案，而非关于 NRS 能力的报告。NRS 并未运营所需的数字资源密钥、存储库、独立审核或连续性服务；认可的注册机构和授权的技术运营商需要实施并验证该模型。

可移植性始于注册关系结束时

数字资源持有者可能比最初记录它的机构更长久。公司合并、拆分、更名、搬迁和破产。注册机构可能改变政策、失去运营能力、面临法院命令或转移责任。证书密钥过期。存储库地址变更。联系人离职。反向 DNS 委派可能仍然绑定到旧账户，即使底层业务已经改变。

通常的答案是要求当前权威机构认可新状态。这个答案是必要但不完整的。它几乎将所有连续性证据放在同一道门后，而持有者可能正在与这道门争议或试图离开。如果注册机构无法运营、拒绝前提、缺乏相关转移政策或没有公认的继任者，持有者可能拥有合同、通信和历史记录，但没有其他网络可以验证的紧凑证明。

可移植性将改变持有者的地位。它不会让持有者发明分配或逃避有效政策。它会让持有者携带一份签名的账目，说明哪些内容被认可、由谁认可、针对哪些资源、在什么条件下、在什么时间、以及有哪些后续变更和争议。独立的依赖方可以验证链，而不需要信任截图或私人断言。

Number Resource Society 完全有能力倡导这一未来方向，因为其公共理念将数字资源机构视为簿记员，其地位取决于准确记录和自愿认可。机会是向负责的机构要求一份更好的账本：足够可移植以在机构变革中存活，足够受限以避免成为任意权力的竞争来源。

信任锚是一个决定，而不是一个证书文件

在密码学中，信任锚是依赖方接受作为验证起点的信息。文件可以包含公钥和位置，但决定性行为发生在运营商选择信任该密钥用于特定目的时。签名证明对应的私钥授权了数据。它不证明签名者应得权威。

这种区别对 NRS 很重要。它明天就可以发布精美的签名声明，但仍然缺乏被认可的互联网数字资源认证地位。网络有理由问谁验证了持有者，如何防止重复声明，哪些现有权威同意了，错误发生后会怎样，以及签名者是否可以在不破坏连续性的情况下被移除。

因此，可移植性必须在两个层面上运作。权威层面记录 IANA、RIR、国家或地方注册机构及其他认可发行者的决定。证据层面保留可验证的收据、身份过渡、资源范围、争议和服务连续性。NRS 可以研究和倡导证据层面，而认可的注册机构和授权服务操作它；NRS 在权威层面没有角色。

这不是一个胆怯的角色。可靠的证据改变议价能力。拥有可验证历史的持有者可以质疑错误记录、迁移服务、向交易对手证明连续性并支持有序继承。运营商可以比较声明，而不让一个现任者独占对过去的监护。认可变得可移植，而权威变得可转移之前。

现有层次结构必须保持可见

RFC 7020记录了互联网数字注册系统作为一个协调的层次结构。IANA 向区域互联网注册机构分配大范围，后者直接或通过其他注册机构进行进一步分配或指派。注册准确性和独特性是核心要求。路由选择仍然是操作事项，不在分配注册机构的直接范围内。

任何隐藏此层次结构的 NRS 设计都会造成混淆。自我声明的持有者陈述不应与 RIR 注册相同。历史合同不应作为当前权威的证据呈现，如果后来认可的转移改变了状态。NRS 会员决定不应看起来像 IANA 委派。

可移植记录应精确标记权威。每个声明都需要发行者、资源范围、有效期间、证据类别和当前状态。“ARIN 在日期 Z 为前缀 Y 注册了组织 X”不同于“组织 X 告诉 NRS 它控制 Y”。两者都可以记录，但只有第一个是来自 ARIN 的注册证据。如果认可的注册机构质疑声明，该质疑必须随记录一起传递。

当历史在保管权变更后仍然清晰可读时，可移植性就成功了。当新机构抹去关于权威的证据与权威本身之间的区别时，它就失败了。

NRS 有一个一致的倡导前提需要检验

NRS 章程认为，数字资源机构的地位源于自愿认可、准确注册和克制的管理，而非无限的监管权力。它将 NRS 定位为稳定性、自由企业、透明度和问责制的倡导者。这些都是第一方声明，而非独立能力证明。

认真对待这个章程意味着一个要求很高的设计。自愿认可不能意味着靠口号信任。它需要明确的条款、可检查的控制以及无数据羁押的退出。准确性不能意味着接受最响亮的持有者。它需要证据标准、冲突检测、纠正和审查。有限权力不能意味着薄弱的问责制。它需要角色分离，这样就没有创始人、董事会、验证者或商业合作伙伴可以悄悄重写认可。

NRS 已发布的会员条款已经揭示了可能成为第一个试验场的决定。加入可能需要更多信息且涉及酌情权。暂停和终止影响成员的资格。NRS 可以仅对其自身会员决定签发签名的、有理由的收据，提供由未做出最初决定的人员进行的审查，并允许前成员保留先前状态的证明。

这还不能建立数字资源信任锚。它只表明 NRS 可以在自己的会员领域内维护身份、时间、理由、纠正和退出。制度可信度应来自在请求更广泛认可之前表现出的克制。

可移植性需要一个定义的对象

“可移植信任锚”这个短语可能会变得模糊，除非它指明什么在移动。NRS 倡导的那种有用的可移植认可记录应包含一个小的公共核心和受保护的支持证据。

公共核心应标识资源范围或 ASN、被认可的持有者名称、稳定的持有者标识符、每个权威声明的发行者、生效和取代日期、当前状态、持有者的公共连续性密钥、权威 RDAP 发现信息、RPKI 引用、反向 DNS 委派引用、争议标记以及支持证据的加密承诺。它不应包含不必要的个人地址、身份证明或机密合同。

受保护证据应保留重建决定所需的文件和证明：注册机构收据、签署的持有者请求、公司继承证据、转移批准、密钥轮换批准、审查者决定和通知。访问应限定目的并记录。不同的审查者可能需要不同的视图。

持有者应收到一个可移植包，包含公共记录、自身收据、包含证据、先前版本、发行者证书以及独立验证说明。该包应在没有负责服务的活动账户的情况下保持可验证。否则，暂停或费用争议可能抹去所承诺的可移植性。

记录不是所有权契约。它是认可和变更的结构化账目。法律权利、合同权利、路由使用和政策资格仍然是单独的问题。

持有者控制应从连续性密钥开始

持有者需要一个不会仅仅因为其注册账户、员工或服务提供商改变而改变的加密身份。该身份可以由一个由持有者自己的治理控制的连续性密钥表示。它应签署请求、确认收据并授权密钥继承。

一个笔记本电脑密钥是不够的。公司需要阈值控制、硬件保护、命名角色、恢复程序和员工离职后的继承。小型组织可以使用认可的保管人，但保管人不应获得单方面移动资源的权力。法院指定的管理员可能需要在普通签名者不可用时提供有记录的恢复路径。

连续性密钥不能成为永久陷阱。密码学会老化，设备会故障，密钥会泄露。可移植记录应支持签署的继承密钥声明、接受期、通知已知依赖方以及受保护的反对路径。紧急更换需要比常规轮换更强的证据和更多的审查者。

持有者控制也有局限性。连续性密钥的占有不能覆盖认可的转移、有效的法院命令或已证实的泄露。它建立了持有者授权声音的连续性，而非绝对权利。NRS 应争取让每个验证者中此边界可见。

RPKI 展示了信任如何跟随资源委派

RFC 6480将 RPKI 描述为与数字资源分配对齐的证书层次结构。证书支持对签名对象（如 ROA）的验证。RFC 6487指定资源证书如何将主题密钥绑定到枚举的 IP 地址或 AS 号码资源。

层次结构提供了一个重要的教训：权威通过认可的委派继承。在链外创建的证书可能在孤立中密码有效，但对不信任其根的运营商无关。资源证书也不能作为通用公司身份证书。其主题命名在普通身份意义上刻意不具描述性。

对于 NRS，教训是永远不要将倡导或会员凭证呈现为比其权威更强。可移植记录可以包括 RPKI 状态并在接受的信任锚下验证签名对象。它可以保留历史上的 RPKI 收据并显示持有者授权何时改变。NRS 或任何私人倡导者都不能通过声明使其自己的根成为全球路由安全的一部分。

积极的路径是互操作。认可的注册机构可以签署可移植收据。持有者可以将其连续性密钥链接到用于委派 RPKI 服务的密钥。依赖方可以验证认可的 RPKI 链和 NRS 倡导的可移植连续性历史，各自用于其适当的主张。随着时间的推移，广泛参与可以证明为有能力的授权服务提供正式角色是合理的，而不是默认让 NRS 担任。信任将跟随证据而非先于证据。

信任锚定位器使启动问题明确

RFC 8630定义了 RPKI 信任锚定位器（TAL）。它为依赖方提供了一个或多个位置，用于检索信任锚证书以及用于验证该证书的公钥。依赖方首先通过其他手段分发受信任的材料，然后检索并验证当前证书。

这是一个有用的类比和警告。TAL 可以携带多个位置，帮助服务抵御丢失一个存储库地址。它允许证书内容改变，而依赖方继续识别配置的密钥。但依赖方仍然必须获取并接受 TAL。如果信任了错误的密钥，正确的密码学就忠实地验证了错误的权威。

NRS 倡导的那种可移植包需要自己的启动故事。谁给网络提供授权证据服务的第一个密钥？网络如何知道它不是冒名顶替者？如何宣布替换密钥？该服务的两个站点是否可能呈现不同的历史？如果某个司法管辖区命令一个主机删除数据会发生什么？

答案应使用多个独立渠道：发布的密钥仪式、广泛见证的检查点、可重现的验证器发布、多个存储库位置、成员收据和第三方存档副本。单一网站会话不应是信任的唯一基础。

继承密钥优于突然切换

RFC 9691添加了一个信任锚密钥签名对象，用于计划中的 RPKI 信任锚密钥过渡。它让信任锚操作者发送当前和继承密钥以及相关证书位置。支持的依赖方在迁移前在定义的接受期内观察继承者，而较旧的客户端可以继续使用先前的材料直到单独更新。

不应盲目地将特定的 RPKI 机制复制到不同的机构。其价值在于迁移纪律。授权证据服务中未来的根密钥更改应由旧密钥宣布、由新密钥确认、通过独立渠道见证并允许在声明期间共存。依赖方应能在依赖前测试继承者。如果历史分歧或验证器失败，应有回滚计划。

紧急泄露更困难，因为旧密钥不能被信任来祝福其继承者。恢复应需要分离保管人的阈值批准、独立事件发现、公开通知、保存证据以及让依赖方固定最后一个无争议检查点的机会。任何行政人员都不应拥有静默替换根的私人覆盖。

迁移记录本身必须是可移植的。持有者或操作者应能验证为什么后来的授权服务签名从一个更早的信任状态继承，即使旧服务位置已消失。

独立证明应比运营者更持久

如果每个证明都必须在使用时从一个证据服务获取，可移植性就很弱。停电、法律限制或组织失败将移除验证。持有者应拥有足够的材料来证明先前被见证的状态，独立观察者应保留相应的承诺。

RFC 9162定义了证书透明度机制，包括签名树头、包含证明和仅追加日志的一致性证明。NRS 可以提议将结构思路适应于认可事件，供认可的机构和授权操作者评估：定期提交到有序历史，让持有者证明收据被包含，并让监控器测试较晚的历史是否扩展了较早的。

此类比有严格限制。包含证明数据出现在一个承诺的历史中；它不证明声明是真实的、合法的或公平的。一致性证明提交状态之间的仅追加关系；它不防止决策者接受错误证据。私人或可预测的事实可能通过粗心的承诺泄露。

因此，任何授权实施都需要见证者和日志。大学、运营者、民间社会团体、RIR 和商业依赖方可以保留签署的检查点。验证器应拒绝无法与足够多样化的见证者协调的历史。见证者集必须透明地轮换，使其不成为永久俱乐部。

纠正必须追加而非擦除

可移植记录最终会包含错误。如果纠正删除了旧条目，持有者无法解释为什么第三方昨天看到了不同的状态。如果不可变性冻结了错误，系统就成为有效的不实信息分发者。

答案是仅追加的纠正。旧声明作为历史证据保留，但其当前状态变为被取代、纠正或撤销。新事件标识被更改的主张、变更的权威、生效时间、原因类别以及指向先前条目的链接。公共视图默认显示当前状态，而验证者可以重建历史。

有争议的声明需要自己的状态。挑战不应自动撤销当前持有者，因为这会使拒绝服务容易。系统也不应掩盖可信的冲突直到最终判决。一个有界限的争议标记可以标识字段、审查权威和下一个里程碑，而不发布指控或私人文件。

每个纠正都应为持有者和受影响的发行者生成收据。举报人可能收到较窄的收据。独立监控者应观察新承诺。如果纠正的记录先前被导出，负责的操作者应发布机器可读的撤销或取代通知，以便下游用户不再将其呈现为当前状态。

RDAP 连续性需要认可的发现

RDAP 为数字资源用户提供结构化的注册响应，但他们首先需要找到权威服务。RFC 9224定义了 IPv4、IPv6 和 AS 号码空间的 IANA 引导注册表。客户端将资源匹配到列出的服务 URL 并查询权威服务器。

这意味着 NRS 不能仅仅通过将其列在可移植凭证中而使端点权威。对于普通的 RDAP 发现，IANA 引导状态和认可的注册委派仍然是决定性的。一个独立授权的端点可以提供连续性视图、历史证据或推荐补充，但必须准确标记自己，直到认可的引导路径改变。

可移植性仍可改进 RDAP。持有者包可以记录之前和当前的权威基础 URL、响应哈希、事件时间和发行者收据。在迁移期间，NRS 可以独立观察关于新旧服务是否一致、重定向是否工作以及 IANA 引导数据是否反映被认可的权威的公共证据。如果认可的服务失败，连续性端点可以返回最后一个被见证的状态，并带有显著的时间和权威通知。

未来目标可能是一个标准的 RDAP 链接关系用于可移植认可证据。采用需要开放的技术协议和谨慎的隐私处理。它不应依赖于由 NRS 或任何单一提供商或私人许可证控制的专有客户端。

RPKI 连续性是一种迁移，而非复制

RPKI 材料不能简单地从一家认证机构复制到另一家。证书、撤销列表、清单和签名对象通过特定的链和存储库上下文进行验证。RFC 9286使用清单帮助依赖方确定预期的发布集并检测特定形式的篡改或消失。RFC 8182让依赖方同步存储库快照和增量。

可移植过渡必须保留旧链足够长时间，以便依赖方观察新链。当前权威应发布适当的继承或替换材料，新存储库应发布完整的有效集，监控者应在两种视图下比较结果。撤回和撤销必须以避免不必要验证间隙的顺序发生。

NRS 可以倡导围绕该过渡的证据协议，而无需持有根密钥。认可的注册机构、授权的监控者和各方可以记录谁授权了移动、其范围、被见证的存储库状态、验证者观察和持有者接受。NRS 可以从公共或同意的证据中记录争议，而不假装操作或修复认可的链。

在 RIR 继承或紧急运营者事件期间，此证据将非常有价值。它将显示哪些签名状态在机构变更前存在，以及哪些持有者确认了继承者。实际的路由安全连续性仍取决于接受的信任锚、有效证书、存储库可用性和运营者检索。

不利行动是分离保管的理由

RFC 8211研究了认证机构或存储库管理员如何通过删除、更改或撤销 RPKI 材料造成伤害。原因可能是错误、攻击、法律强制或故意行动，可见效果可能看起来相似直到补救发生。

如果同一机构控制注册认可、证书颁发、存储库发布、争议判断和历史证据的每份副本，一次不利行动就可以影响整个合法性账目。可移植性应划分这些权力。

认可的注册机构可能仍然是分配记录的权威。持有者控制其连续性密钥。授权的证据服务保存可移植收据和公共承诺。独立见证者保留检查点。单独的审查者决定 NRS 接纳和争议。依赖方选择是否接受 NRS 证据，并可以固定先前无争议的状态。

没有安排消除胁迫或妥协。分离增加了抹去历史或伪造连续性所需的独立失败数量。当权威不同意时，它也会创建证据。注册机构可以撤销其当前证书，而被见证的可移植记录保留该证书先前存在的事实并标识有争议的过渡。

这种保留不会使被撤销的路由保持有效。它保护了审查发生了什么、寻求补救和合法迁移的能力。

反向 DNS 揭示了父委派限制

反向 DNS 是诚实可移植性的另一个考验。in-addr.arpa和ip6.arpa下的权威遵循 DNS 委派链。RFC 3172描述了arpa域的管理以及地址分配与反向区域之间的关系。IANA、RIR 和持有者各自可能控制不同的边界。

持有者可以在可移植包中携带其偏好的名称服务器、DNSSEC 材料、先前的委派和变更收据。它可以连续运营子区域并证明同一连续性密钥授权了新服务器。这些都不强制父节点发布委派。父节点合作或认可的继承仍然是必要的。

NRS 研究可以使差距可见。验证者可能显示“持有者区域就绪；当前父节点未更改”、“父节点更新已接受；传播已观察”或“委派有争议”。独立 DNS 检查可以记录从几个网络看到的视图。在计划的过渡期间，旧和新名称服务器可以在技术适当的地方共存。

这就是受限可移植性的样子：保留持有者能力和证据，减少可避免的停机时间，但明确说明哪道门仍超出持有者控制。一个承诺无缝反向 DNS 移动而没有父节点权威的设计将是误导性的。

转移历史应随资源移动

IPv4 转移、组织继承和注册机构边界变更可能使证据碎片化。源注册机构可能保留一个账户，接收注册机构另一个，经纪人第三套记录，持有者只有电子邮件确认。多年后，尽职调查审查者可能难以重建为什么当前条目从较早条目推出。

可移植记录应创建转移链。每个事件标识源和接收实体、受影响的资源、认可的批准权威、生效时间、被取代的凭证、新的连续性密钥以及任何可以披露的条件。双方应收到签署的收据。每个 RIR 只能证明其控制的部分。

机密价格、谈判和身份证明文件不需要公开。加密承诺可以将受保护证据绑定到事件，并为以后的争议提供选择性披露。公众需要足够的信息来理解连续性，而不了解商业条款。

在政策不允许转移的地方，NRS 不能将私人销售重新标记为认可的注册。它可以记录各方主张协议以及当前注册机构不认可变更。可移植性保护不同意的证据；它不制造共识。

认可必须在公司变更中可移植

持有者本身不是静态的。法定名称可以改变而实体继续存在。合并可以将权利转移到继承者。集团可以在关联公司之间重组资产。破产可将控制权交给管理员。仅绑定到旧公司名称的可移植密钥可能在连续性最重要的时刻变得不可用。

NRS 应提出身份过渡事件的标准。简单的名称变更需要当前的公共注册和持有者的授权。合并需要继承证明和哪些资源移动的审查。破产可能需要官方任命记录以及谁可以签署的限制。跨境变更可能涉及多个法律体系。

公共记录应保留规范名称和日期而不暴露个人文件。它应区分法律实体的连续性和向不同实体的转移。持有者密钥可能通过名称变更继续存在，但在控制权变更后应轮换或获得继承者批准。

在相同主张旧和新的权威的人中，独立审查至关重要。一个接受账户持有人上传的任何公司文件的可移植系统将使接管欺诈更容易。可移植性必须减少对现任者自由裁量权的依赖，而不减少身份保证。

避免捕获需要结构性退出权利

为减少注册机构把关而创建的机构可能成为新的把关者。提供商可能控制认可密钥、验证器软件、证据存档和商业许可证；NRS 不得承担这些运营角色。如果以后依赖方依赖所有这些，提供商可以提高费用、偏袒合作伙伴或使退出技术上痛苦。

治疗不是良好意图的承诺。记录格式、验证器和加密规则应是开放的。任何人都应能验证可移植包，而不需要联系 NRS 或任何单一提供商或接受变化的商业条款。持有者应能随时导出当前和历史记录。见证者应多样且可替换。密钥保管需要多个机构。

治理应防止一个成员类别、注册机构、经纪人、创始人、国家或投资者控制认可政策。冲突规则应涵盖从转移或争议中赚钱的组织。对证据标准、费用、根密钥或验证器行为的重大更改应需要公开通知、有理由的决定和推迟的生效日期。

退出必须经过测试。NRS 应争取每个授权服务证明独立团队可以从安全保管的材料中重建公共历史、操作验证器并继续见证服务，而无需其在线系统。一个自身不能被移植的可移植性机构已失败其核心主张。

认可需要独立上诉

NRS 成员资格可能被拒绝、暂停或撤销；数字资源认可是认可的注册机构和法定权威的单独决定。如果同一名员工调查、决定和审理上诉，签署的收据只是让集中的自由裁量权更容易记录。

第一次审查应验证身份、资源证据和冲突检查。一个单独的机构应审理挑战。其成员需要固定任期、公布的资格、冲突披露以及免于因不受欢迎的决定而被移除的保护。上诉人应收到所依赖的理由和证据类别，但须经合法编辑。

当密钥泄露或重复声明威胁用户时，紧急保护行动可能在全面听证前发生。此类行动应到期除非确认，通知受影响方，并保留最后一个无争议状态。后来的逆转应恢复当前认可并追加纠正，而不是抹去中断。

法院和认可的注册机构争议机制仍然相关。NRS 应说明其倡导或成员代表何时遵从合格论坛，以及它如何报告竞争命令；它不能维持一个并行的权威状态。它不能使每个司法管辖区一致，但可以防止悄悄的地点选择。

上诉结果应汇总发布：维持、修改、撤销、撤回和等待时间。此证据将显示 NRS 是否纠正其自身成员或倡导记录。

隐私和可移植性必须一起设计

可移植证据可能成为监控资产。包可能透露公司联系人、转移时机、安全安排、先前争议和审查者姓名。如果每个依赖方都收到完整文件，可移植性的成本就是不可接受的暴露。

因此，公共核心应只包含广泛验证所需的内容。受保护证据可以加密用于定义的审查者角色。持有者可以披露一个主张而不披露整个历史。公共承诺可以证明证据在决定前存在而不揭示其内容。

撤销对隐私也很重要。从当前记录中移除的个人联系人可能保留在历史证据中。访问控制和保留规则应限制谁可以检索它。公共历史可以引用稳定的角色标识符而不是个人姓名。法律擦除义务可能需要移除个人内容，同时保留承诺和变更理由。

NRS 应倡导披露每个验证器发送给其操作者的信息。理想情况下，离线验证不透露用户正在检查哪个资源。在线状态服务应抵制将查询日志转化为商业兴趣或调查地图。

隐私不与问责制对立。一个精心设计的收据可以暴露机构权威、时间和结果，同时保护证明其合理性的文件。

连续性应以有边界的方式失败

每个信任服务最终都会经历失败。密钥可能不可用。存储库可能分区。见证者可能不同意。验证器可能包含错误。设计应说明用户看到什么以及哪个最后已知状态保持可用。

可用性失败不应悄然变成权威失败。如果授权证据服务无法发布新的检查点，验证者可以显示最后被见证的时间并拒绝将后来的声明视为当前。如果一个存储库失败，其他签名位置可以提供相同的已提交数据。如果见证者不同意，验证者应显现分裂而不是选择最方便的历史。

受损害的持有者密钥不应自动使每张先前收据无效。系统可以标记损害时间，在审查后轮换到继承者并保留在有争议事件前作出的签名。授权证据服务处受损害的签名密钥更严重，应激活独立恢复章程。

连续性演练应测试站点、密钥保管人、云提供商、治理机构和法律实体的丢失。结果应识别恢复时间、缺失证据和纠正措施。公众不需要看到敏感的恢复细节，但应知道机构是否已证明它能超越自身生存。

采纳应从证据开始，而非权威

第一阶段是适度且可行的。NRS 可以为其自身会员决定发布可移植收据和仅追加历史。持有者连续性密钥或数字资源证明需要单独授权、技术上负责的服务。独立见证者可以保留检查点。开放的验证器可以离线工作。上诉可以针对实际接纳和暂停决定进行测试。

第二阶段可以增加自愿的数字资源证明。持有者提交认可的注册记录、RPKI 引用、RDAP 响应和反向 DNS 状态。NRS 可以引用和分析公共证据，但任何技术验证或证明必须由授权的独立服务执行，并精确标记其权威。结果是一份可移植的认可证据档案，而非替代注册。

第三阶段需要合作伙伴关系。RIR、国家注册机构、转移促进者或其他认可实体可以直接以可移植格式签发签名收据。运营者可以在尽职调查和事件审查中使用在采纳标准下开发的可移植连续性证据。技术团体可以标准化链接关系和凭证字段。

只有在广泛采纳、独立审计、成功的密钥轮换和测试的继承之后，认可的机构才能询问任何声明是否值得超越证据的信任锚待遇。即使在那时，依赖方也应选择加入用于特定目的。没有默认应将 NRS 成员资格或倡导转变为路由权威。

这个序列积极定位 NRS，因为它给机构一条通向重要性的可信路径。它避免了在展示可靠性之前宣布权威的致命错误。

必须根据可移植性声明衡量绩效

NRS 应发布衡量其倡导声明和负责机构报告的结果的指标。每个持有者能否导出完整的可验证包？账户关闭后验证工作多久？多少收据有独立的包含证据？多少见证者观察了每个检查点？密钥轮换需要多长时间？多少上诉改变了最初决定？外部团队能否从托管材料重建公共历史？

计数需要分母和限制。没有依赖方的成功密钥仪式几乎不能证明采纳。来自一个企业集团的一千个签名证明几乎不能证明多样性。一次恢复演练不能建立对每种法律或技术失败的韧性。

隐私措施应与可用性并重。NRS 不应仅为生成报告而持有受保护的注册证据；授权操作者应汇总报告访问、未经授权的尝试、编辑请求和保留例外。治理措施应显示冲突、回避、集中的投票权和重要的商业依赖。

最重要的衡量是分歧后的可移植性。前成员、败诉方或批评者仍应能验证先前的收据并导出其有权持有的记录。如果只有满意的成员能展示可移植性，设计尚未面临真正的考验。

独立保证应检查决定，而非仪式

公钥仪式是有用的，但如果保证停留在硬件和签名，它们可能成为戏剧。困难的问题涉及谁被允许主张资源、如何处理冲突证据、审查者是否独立以及纠正是否到达每个公共视图。

评估者应抽样接纳、拒绝、密钥变更、公司继承、争议、暂停和退出。它应从证据重建权威、验证收据、测试公共承诺并确认持有者可以带着可用包离开。它应尝试从备份恢复并比较见证者保留的检查点。

技术测试应包括分歧的存储库视图、过时数据、恶意替换、受损持有者密钥和验证器降级。治理测试应检查集中的控制、关联方决定、审查者冲突和紧急权力。隐私测试应询问承诺是否揭示可预测的事实。

报告应分离设计合规性与有效性。授权服务可以遵循每条规则但若证据标准薄弱则产生虚假认可。它可以操作强大的密码学而同时上诉不可访问。可移植信任锚在机构纠正技术和判断失败时赢得信心。

最强的反对意见改进了设计

一种反对意见是另一个认可层增加了复杂性。这是真的。NRS 推广的设计不佳的凭证可能混淆运营者并创造重复声明。答案是狭窄的主张、精确的权威标签以及显示分歧而非隐藏分歧的验证器。

第二种反对意见是可移植性削弱了政策合规性。持有者可能引用 NRS 倡导或证据来逃避注册机构的转移限制或撤销。答案是 NRS 证据不能改变认可的权威。它保留持有者案例和历史，同时使政策决定可见。

第三种反对意见是现有者不会合作。一些人可能将可移植收据视为挑战。NRS 可以从公共证据和同意的持有者账户开始，然后要求负责机构展示降低的争议成本和更好的连续性。当收据降低重建旧案例的负担时，合作变得有吸引力。

第四种反对意见是密码学不能解决机构合法性问题。正确。它可以使篡改、包含、继承和不一致性更可观察。合法性仍然需要公平规则、合格验证、审查、多样性和持续认可。

第五种反对意见是 NRS 本身可能被捕获。这是定义风险。开放格式、独立见证者、出口权、分布式密钥保管和经过测试的机构继承不是可选的附加功能；它们是该主张的条件。

现有证据仍然有限

该提案超出了已展示的 NRS 能力。公共 NRS 材料确立了倡导立场、成员条款和机构雄心。它们不显示运营中的数字资源证书机构、全球接受的信任锚、被见证的仅追加认可历史、大规模独立上诉、跨 RIR 签名收据，或经过测试的 RDAP、RPKI 和反向 DNS 迁移。

更广泛的标准建立了有用的构建块，但不是所提议的机构。RPKI 信任锚密钥过渡解决了一个定义的证书问题。RDAP 引导识别认可的权威服务。透明度日志支持有界证明。反向 DNS 遵循父委派。这些都没有指定 NRS 或保证运营者将接受其声明。

成本也是未知的。高保证的身份审查、密钥保管、见证者多样性、隐私保护、上诉和长期保存是昂贵的。小持有者不得被仅对大型经纪人和网络负担得起的设计排除。没有单一商业类别控制的可持续资金仍然是一个未解决的问题。

这些限制应被视为 NRS 倡导议程，而不是放弃的理由。当未知数在权威被主张之前被命名时，未来方向变得可信。

关注可能悄然崩溃的边界

随着 NRS 发展其倡导和成员代表工作，观察者应注意成员凭证是否开始被营销为资源所有权的证明。他们应检查自我声明是否在视觉上与 RIR 证明不同，争议是否随导出物一起移动，以及任何提议的验证器是否只接受由一个提供商托管的数据。

他们应关注密钥保管。谁能激活紧急权力？一个行政人员或供应商能否替换根？继承密钥是否被见证足够长？依赖方能否保留最后一个无争议状态？

他们应关注认可经济学。转移经纪人、大持有者或注册合作伙伴是否获得特权接纳？费用是否公开且可比？前成员能否免费验证收据？上诉是否需要超出小运营者能力的资源？

他们应关注互操作性。RDAP 链接是否使用开放约定？RPKI 证据是否使用标准依赖方工具验证？反向 DNS 状态能否独立检查？导出物是否完整、有文档且持久？

最重要的是，他们应关注 NRS 是否发布失败。只报告成功，或授权信任服务只揭示成功仪式和增长的成员资格，尚未展示问责制。

认可应移动而不失去锚定

互联网数字注册系统需要持久的权威和变化的能力。这些目标看似冲突，只有当现任记录是制度记忆的唯一容器时才冲突。可移植证据让持有者在保持认可的链及其每个有争议的中断的同时移动身份、证书、存储库和服务。

NRS 可以将纪律严明的倡导作为其定义性贡献。它可以发布基于来源的要求涉及持有者控制的连续性密钥、签名收据、独立见证者、仅追加纠正、出口权和安全过渡。认可的注册机构和授权技术操作者必须实施这些机制；NRS 可以帮助成员理解和审查证据，而不成为信任服务。

“锚”这个词应保持要求性。任何授权信任服务必须比它所替代的把关者更难捕获、更容易离开，并且对签名的局限性诚实。NRS 应要求在倡导依赖之前提供继承和独立审查的证明，同时保持自身成员和代表可撤销且透明。

如果做到这一点，可移植性将不会分散数字资源权威。它将使权威更具韧性，确保认可历史、持有者证据和服务连续性不会因一个机构的变化而消失。这是一个值得建设的未来，一个可以在不假装已经存在的情况下开始的未来。

来源