摘要

  • ARIN 8 月 5 日称，其数据库约有 1.7 万个历史网络，其中大约一半没有 Point of Contact，或其 POC 无法由 ARIN 核验。
  • 同一篇文章给出 11%“当前已验证”和另有 20%“信息不完整”，随后又以“资源受 ARIN 协议覆盖的组织”为比较组，公布 76% 的已验证率。
  • 这些数字不能据此判定为矛盾，但页面没有给出精确统计时点、各组数量、类别是否重叠，也没有解释如何从网络换算到组织和 POC。
  • 无需公开任何姓名或邮箱，ARIN 只要发布一张版本化汇总表，列清单位、规则、分子与分母，就能让这项风险提示可复核。

一篇风险提示承担了统计公报的任务

ARIN 8 月 5 日的文章原本是在提醒历史资源持有人更新登记信息。它描述了一条现实的攻击路径：不再维护的记录容易显得无人管理，冒名者可能模仿登记组织，尝试接管 Org ID 或联系人，再说服服务商为相关地址提供路由。

文章的新闻价值来自规模。ARIN 称数据库中约有 1.7 万个历史网络；大约一半没有 POC，或已有 POC 但 ARIN 无法核验。只有 11% 拥有当前已验证的联系记录，另有 20% 虽然有记录，信息却不完整。

随后出现一组对照：对“资源受 ARIN 协议覆盖的组织”，76% 有已验证联系记录，信息不完整者为零。ARIN 没有把差异归因于协议文本本身，而是归因于有人持续检查并更新信息；文章也明确说，历史资源持有人无需签协议就可以维护联系人。

这项操作建议是成立的。问题在于，博客没有同时成为一份可重做的统计快照。读者看不到数据截止时点、精确总数、每个类别的数量、取整方法和覆盖全体记录的状态分布。

17,000 的单位是网络，76% 的单位却是组织

页面先数网络，再数组织，而年度验证规则针对的是 POC 记录。三者不能直接等号连接。

一个组织可能关联多个网络；一个网络既可能挂有资源层面的联系人，也可能通过所属组织继承联系人；同一位联系人或同一个角色账户还能服务多个记录。ARIN 的 POC 指南还区分 Admin、Tech、NOC 和 Abuse 等不同职责。

数据准确性改进计划使用的是组织层面的组合定义。Complete 要求组织必填字段以及至少一个 POC 填有必要数据；Correct 要求组织经过审查且至少一个 POC 已验证；Current 还要求上述审查与验证在过去五年内发生。

8 月 5 日的 11% 是否采用这套组合定义，页面没有说明。受协议覆盖的组织总数是多少、对应多少网络，同样没有披露。内部查询完全可能严谨，但公开读者缺少从一套单位走到另一套单位的桥。

这一点对运营判断很重要。如果分子是“至少有一个直接或继承 POC 有效的网络”，它回答的是资源可联系性；如果分子是“当前有效的所有 POC 记录”，它回答的是联系人维护率。两个比例都可以准确，却不能互相替代。

11% 加 20% 以后，剩余部分仍未命名

“另有 20%”表明不完整组与 11% 已验证组是追加关系。若暂时把约 1.7 万当作共同分母，两者大致对应 1,870 个和 3,400 个网络。这只是编辑部演算，不是 ARIN 公布的精确计数，因为起始分母本来就是约数。

两项相加为 31%，但剩余 69% 不能自动叫作“无效”。此前的“大约一半”把“没有 POC”和“无法核验 POC”放在一起，却没有说明信息不完整者是否也属于无法核验；也没有说明仍在 60 天回复期内的记录、由组织联系人间接覆盖的资源或其他状态如何归类。

因此，也不能用 100% 减 11%，再宣布 89% 的历史网络联系人无效。“当前未验证”“不完整”“无法核验”“已标无效”“没有联系人”是不同状态。大约一半也不等于精确的 8,500 个。

可以确认的不是算术冲突，而是分类没有闭合：页面给出了足以诱发计算的数字，却没有给出足以授权计算结论的规则。

在 NRPM 中，“无效”有清楚而有限的后果

现行 NRPM 第 3.6 节要求每年核验 Admin、Tech、NOC 和 Abuse POC，既包括组织联系人，也包括资源联系人。收到通知后，POC 最多有 60 天确认信息正确完整，或提交修订。

若 POC 被标为无效，其 ARIN Online 权限会收缩到缴费和更新联系人。组织如果一个有效 POC 都没有，就要先让至少一个 Admin 或 Tech 完成验证或修订，才能使用其他功能。接收再分配或详细再指派的组织也必须预先有关联的已验证 POC。

这些限制保护的是账号权限和登记证据，不是把号码资源本身宣布无效。联系记录失效不意味着地址被撤销、被放弃或可以重新分配，也不能单独证明谁在运营网络、谁控制公司或谁有转让权限。

同理，ARIN 关于劫持者寻找“像是被遗弃的记录”的说法是一项风险机制，不是事故统计。不能由此推断每一条未验证记录都遭过攻击，更不能把一次年度点击当作完整权属证明。

“无有效 POC 报告”是受控数据，不是缺失的公共收据

ARIN 另有一份无有效 POC 的资源报告说明。其规则很明确：网络或 ASN 如果既没有直接联系人，也没有通过组织关联的联系人，或者所有关联 POC 都无效，就进入报告。

这证明 ARIN 已能处理资源、组织与联系人之间的直接和间接关系。但该报告同时包含网络和 ASN，博客谈的却是历史网络；报告还需依照 Bulk Whois 可接受使用政策获批申请，并明确禁止重新分发。

这类限制保护原始运营数据，并不妨碍公开汇总。所需的不是邮箱、电话、住址或逐前缀名单，而是一张不含个人信息的统计收据：精确数据日期、对象单位、总体数量、直接与继承 POC、各状态定义、类别是否互斥、分子分母、取整办法和修订历史。

同一张说明还可以写清博客口径与无有效 POC 报告、Complete/Correct/Current 指标之间的关系。若三者覆盖人群不同，直接标注“不可一对一比较”比强行合并更可信。

薄登记机构更需要把边界写清

RIR 不需要调查每个前缀背后的全部公司关系。它在这里的核心职责更窄：维护唯一而可用的登记记录，为合法控制者提供纠错入口，并让外部读者知道某个状态能证明什么、不能证明什么。

一张汇总表正符合这项有限职责。历史持有人可以看到该修复的是缺失、未回复还是信息不全；运营商不会再把无联系人和未验证混成一类；研究者能衡量宣传与提醒是否改变了总体；ARIN 也能在调整方法时保留旧基线。

8 月的文章已经把规模和风险说清。现在缺的不是更强烈的警告，而是能让警告长期成立的统计账页。

来源