摘要
- NRS 的默认设置应该是委托 CA，其中资源持有者生成或授权生成其私钥，控制签名授权，并可以选择合格的运营支持。托管签名仍然是一个选项，而不是实际参与的条件。
- 密钥保管只是证书自由的一部分。持有者还需要及时的父证书服务、可用的发布接口、可导出的签名状态、独立监控以及在不失去路由安全覆盖的情况下更换提供商的记录权利。
- 可移植发布应该作为普通的服务过渡进行测试。重叠、存储库同步、清单、撤销材料、依赖方可见性和回滚需要衡量验收标准，以便迁移服务不会造成验证间隙。
- 紧急恢复不应依赖于常规密钥托管。离线恢复凭证、多方授权、预先商定的替换密钥程序和范围受限的连续性操作可以恢复控制，同时将日常签名保留在持有者手中。
- 用户控制的从属密钥不能消除父 CA 的权威。NRS 规则必须通过通知、证据、快速审查和补救措施来约束延迟签发、选择性撤销、存储库阻碍、未解释的资源减少和其他不利行为。
- 小型运营商需要支持的委托：托管硬件、典礼、健康检查、培训以及在用户安全域内的合同运营。有意义的区别在于谁控制权威和退出，而不是谁具体输入每个命令。
- 设计应通过可观察的练习来判断：独立密钥生成、常规轮换、发布提供商迁移、妥协恢复、父争议和依赖方收敛。无法经受这些测试的权利只是描述性承诺而非操作性权利。
即使一个服务使 RPKI 权威看起来统一，它实际上是分裂的
资源公钥基础设施通常通过简单的产品选择呈现给运营商：使用托管服务或运行委托 CA。这种描述有用但不完整。下面有几种权力。父 CA 认证子级的资源持有。子级控制私钥并签发签名产品。存储库使证书、撤销信息、清单和路由来源对象可用。依赖方检索并验证这些产品。操作门户验证请求并可能代表客户执行签名。
当一个机构执行所有这些功能时，用户的体验可能很流畅。但这也可能模糊权力所在。用户可以点击授权一个来源，同时服务生成并保留相关的私钥。同一个机构可以决定如何验证请求、何时发布对象、如何恢复账户以及是否可以导出。客户拥有服务关系，但不一定拥有独立可用的认证能力。
这种区别很重要，因为路由安全权威可以影响实际连通性。路由来源授权本身并不命令路由器；依赖网络决定是否以及如何使用验证状态。然而，广泛验证赋予签名状态实际后果。不正确的撤销、过期发布、过宽授权或密钥妥协可能影响路由的分类。因此，集中日常签名和恢复会产生治理依赖，即使正式资源注册保持不变。
相关标准并不要求所有功能由一个运营商控制。RFC 6480 描述的 RPKI 架构建立了与互联网号码资源绑定的层次结构。RFC 6487 中的证书配置文件约束资源证书表达权威的方式。签名对象和存储库标准定义了产品如何可用和验证。证书注册和发布协议支持跨组织边界的交互。这种模块化不仅仅是工程上的便利。它为制度选择提供了空间。
NRS 应有意利用这一空间。资源认可、父认证、子签名、存储库操作和依赖方验证应在政策、合同、审计和事件响应中保持区分。提供商可能提供多种功能，但组合它们不应抹去用户日后将它们分开的权利。一个机构必须证明其行使的每一项权力是正当的，而不是因为客户喜欢方便的界面而继承广泛的授权。
对自满最强烈的警告来自层级本身。控制自己私钥的子级并非主权。其父级可以拒绝重新签发证书、在政策允许时减少认证资源、撤销证书或未能支持及时轮换。存储库运营商可以延迟或错误处理发布。依赖方可以保留过期材料直到刷新和过期规则解决。因此，目标不是浪漫地声称拥有密钥就能消除依赖。而是对依赖进行宪政分配：每个行动者获得所需的最小权力，且每项权力都有证据、时间限制和审查。
用户持有密钥应作为普通假设
默认安排应从资源持有者控制的安全边界内的密钥生成开始。该边界可以是持有者场所的硬件安全模块、持有者账户中的专用云安全服务、离线设备或合同下的管理设备。具体设备应反映风险和规模。重要的是持有者可以授权使用、更换提供者、获得密钥操作证据并防止协会单方面行使日常签名权。
生成密钥还不够。控制意味着持有者决定谁可以激活它、在什么批准规则下、为哪些签名产品、附带什么审计记录以及在什么期间。大型地址持有者可能适合两人规则。小型运营商可能使用一个负责任的行政人员加上一个独立的恢复联系人。高风险操作，如广泛的路由授权或疑似妥协后的更换，需要比常规续约更强的批准。
NRS 应为委托保管发布基线，而不规定一个昂贵的设备。基线应涉及熵、支持算法、安全备份、访问日志、职责分离、撤销准备、时间同步、管理员变更、受保护的恢复材料和处置。应区分强制性安全成果和可选的实现模式。运营商应能够证明所需的控制，而无需从偏好的供应商采购。
用户保管的假设也应适用于运营外包。管理安全公司可以管理 HSM、安排签名和监控发布。如果用户控制账户、批准政策和更换权利，这仍可视为委托操作。相反，标有“客户管理”的设备如果只有提供者可以导出配置、批准新管理员或切换发布，则几乎没有独立性。治理应审查有效权威而非营销描述。
一些组织会选择托管签名。他们可能缺乏员工、只运营少量资源或看重简单服务。NRS 应支持这一选择，提供强认证、可见批准和衡量的服务质量。但托管用户应获得明确的升级路径。他们应能建立自己的密钥、获得必要的子证书关系、移动发布、验证依赖方可见性并无惩罚性费用或自由裁量延迟结束托管签名。
默认规则塑造市场。如果委托操作需要特殊批准、漫长谈判或专门的私人联系，托管控制将成为实际规范，即使政策称其为可选。NRS 应逆转这一负担。符合要求的委托请求应是常规的。任何拒绝应指出具体的安全或授权缺陷，说明如何补救并允许快速独立审查。协会可强制执行技术要求；不应利用这些要求保护自己的服务份额。
同一原则适用于密钥证据。用户应收到密钥创建、证书请求、证书签发、对象签名、撤销和轮换的可验证记录。这些记录应在审计或争议中有用，而不暴露私钥。如果提供商执行典礼，用户应获得足以显示发生内容的证明和日志。证据应在服务变更时随客户移动。
证书权利是一揽子权利，而非单一保管主张
将密钥称为“用户控制”可能成为口号，除非指定相关权利。第一项权利是生成或独立授权生成。第二项是排他的日常使用：NRS 或提供商不应仅因运营基础设施就能创建新的签名产品。第三项是通过可靠记录检查的权利。第四项是通过正常轮换和紧急妥协程序更换的权利。第五项是在提供商之间移动的权利。第六项是终止并安全退役旧权威的权利。
这一揽子权利必须包括及时的父服务。如果父级忽略证书请求、延迟更改或拒绝合理的替换密钥，子级无法无限期维持有效认证。NRS 应为常规签发、计划轮换、资源更改和紧急妥协设置服务目标。时间应从完整认证请求开始计算。如果请求有缺陷，响应应指出缺陷，而不是重新启动不透明的队列。
还必须包括访问发布。正确签名但无法使产品可靠可用的子 CA 并不拥有有用的独立性。持有者应能在合格的存储库提供商中选择、在适当情况下运营自己的符合存储库，并获取完整的当前清单。存储库条款不应使持续发布取决于不相关的成员争议或商业服务。
数据可移植性是另一项权利。持有者应能以文档格式导出公共证书、签名对象、清单、撤销产品、存储库路径、相关时序信息、配置和审计历史。私钥可能因设计不可导出，尤其是在硬件中，但这不应困住用户。更换密钥和协调过渡必须仍然可能。不可导出性可以保护密钥；但它不能证明认证关系的不可移植性是合理的。
该一揽子权利包括独立观察。用户不应信任执行操作的同一仪表板。外部监控应像依赖方一样检索存储库、验证资源链、比较预期和观察到的产品，并在消失、不一致、意外来源更改或临近到期时发出警报。NRS 应支持标准化的提要或通知，以便持有者和第三方监控者快速检测不利变化。
最后，证书权利需要补救措施。服务被延迟或阻碍的用户应有一个快速通道，了解路由后果。审查应能命令发布恢复、临时连续性措施、更正签发或保护状态。财务补偿可能后来重要，但不能替代快速技术纠正。只能在相关证书过期后才能得到维护的权利不是有效权利。
发布必须在事实上可移植，而不仅仅在合同中
存储库可移植性是名义自由最可能失败的地方。发布涉及名称、位置、同步、清单、证书和撤销状态、获取行为以及依赖方缓存。从用户门户看起来完整的移动可能仍会导致验证者之间的不一致视图。NRS 因此应将迁移定义为有准备、重叠、观察和关闭的可衡量的技术事件。
移动前，即将退出的提供商应提供完整清单和近期操作历史。即将进入的提供商应验证能否发布每个要求的当前产品并维持必要的可用性。子级应准备在适用标准下的新清单和其他时间敏感材料。父和子引用应进行检查。监控应通过几个独立检索点建立基线。
过渡应避免两个存储库都不提供可用状态的时刻。确切序列取决于证书和存储库设计，但治理要求明确：新旧安排需要有限的重叠或其他符合标准的方法，在引用更改时保持验证。运营商应模拟不同时间刷新的依赖方。成功不能仅因新端点回答一个测试请求而宣布。
RFC 8181 的发布协议和 RFC 8182 的存储库增量机制说明了为什么服务边界和检索行为需要分别关注。发布接口可让 CA 向它不运营的存储库提交产品。增量检索可提高依赖方的同步效率。两个协议单独都不能保证制度可移植性。凭据、存储库引用、服务条款、历史状态、监控和协调变更仍需治理。
NRS 应要求合格提供商通过通用程序接收和释放客户。资格应测试协议符合性、可用性、一致性、事件响应、导出完整性和迁移合作。应禁止主张对客户证书或签名对象所有权的合同条款。退出费用应反映合理工作，而非困住用户的战略价值。
迁移演练应在紧急情况前进行。持有者可以每年运行一次测试，创建非生产子环境，在服务间移动并验证独立验证。大型持有者可以每隔更长时间执行一次受控生产过渡。提供商应参与协会范围的演练，包括缓慢、不可达或财务困难的退出运营商。目的是在还有时间时发现隐藏依赖。
回滚同样值得关注。如果进入服务发布不一致状态，必须有边界的方法恢复到最后一个已知良好安排，而不制造竞争权威。回滚标准应在移动前决定：来自多个监控者的验证失败、缺少关键对象、超过定义间隔的差异或无法刷新。一个负责任的过渡领导者应协调行动，而独立观察者记录依赖方实际看到的内容。
关闭应退役不再需要的凭证和引用，确认退出服务不能再接受新提交，保存所需审计证据并通知持有者残留保留。退出提供商不得在过渡后保留影子发布能力。也不应删除解释先前状态所需的证据。安全需要既移除过时权力又保留可追究历史。
可移植性指标应在总体上公开。NRS 可报告中位和最差迁移时间、观察到的验证间隙、回滚频率、不完整导出、提供商引起的延迟以及按严重程度分类的事件。可比较的证据为成员提供选择服务的基础。它还揭示形式上竞争的存储库市场是否真正开放，还是由一个其客户无法安全离开的提供商主导。
紧急恢复应恢复权威而不创建永久托管
密钥丢失和妥协是不可避免的设计案例，而非遥远例外。运营商可能失去对 HSM 的访问、解雇管理员、遭遇灾难、发现未经授权的签名或无法登录云账户。坚持用户持有密钥但不提供可信恢复的治理模型将推动用户回到集中托管。通过常规中央托管解决恢复问题的模型以另一个名字重现同一集中。
NRS 应偏好替换而非恢复同一私钥。如果密钥被怀疑妥协，恢复副本也可能恢复攻击者的能力。安全目标是认证持有者、建立新密钥、获得适当的父认证、撤销或退役旧证书、发布一致的当前状态并验证依赖方收敛。旧私钥不应被视为总是可恢复的宝藏。
计划恢复凭证可以支持这一过渡。在注册时，持有者可以指定多个恢复权威，如两名官员和一个独立安全联系人，各自拥有受保护的凭证。任何一方不应拥有足够权威替换密钥。阈值批准可在身份、角色和资源证据检查后授权替换请求。阈值记录应在人员变更时更新并定期测试。
离线恢复材料可存放在防篡改控制下的分离地点。对于一些组织，这可以包括在托管人之间分割的加密备份。对于其他组织，尤其是密钥故意不可导出时，它可以由授权新密钥典礼而非签名密钥副本的凭证组成。NRS 应根据风险定义成果和证据，同时允许两种模式。
紧急权威必须狭窄。连续性受托人或协会安全功能可被允许促进认证、维护存储库可用性和请求临时父行动。它不应获得无限能力为用户资源签发路由授权。任何临时签名状态应预先授权、最小许可、短暂并对持有者和独立审查者可见。如果没有安全临时状态存在，决策应明确而非伪装成常规管理。
恢复序列应对事件进行分类。无妥协证据的丢失可允许在重叠期间保持常规授权的受控轮换。怀疑妥协需要更快的撤销分析和最近每个签名产品的更仔细检查。组织控制争议要求谨慎：技术团队不应仅因一方拥有设备就选择企业派系。法律无能力或解散可能引用与公认资源权威相关的单独连续性规则。
时间目标应与路由风险匹配。影响活动路由的怀疑未经授权授权可能需要数小时内行动。丢失的离线密钥与当前产品在安全间隔内有效可允许更从容的典礼。协会应按事件类别发布目标时间并衡量绩效。紧迫性不应消除认证，但认证应在危机前设计好，而非危机中发明。
每个紧急行动需要事后审查。记录应显示谁启动、什么证据支持权威、哪些产品更改、临时措施持续多久、用户何时重新控制以及依赖方观察到什么。审查应检查假阴性和假阳性。拒绝真正持有者可能延长风险；接受冒名顶替者可能转移有效路由权威。恢复设计必须面对两种错误。
协会还应提供安全演练。参与者可以在隔离环境中模拟丢失、管理员离职和签名妥协，然后执行替换和发布检查。通过正常操作但在恢复演练中失败的提供商不应被视为完全合格。恢复是服务的一部分，而非特殊优惠。
父 CA 仍然强大，必须相应治理
委托更改了日常签名的位置，但父级仍然锚定从属证书。这一事实应明确陈述。父级可能通过无充分理由撤销、未能更新、认证错误资源集、延迟替换密钥或发布不一致撤销状态来伤害用户。庆祝用户保管而忽视父权力的政策将错误描述风险。
RFC 8211 审查 CA 或存储库管理者的不利行动，特别与制度设计相关。技术架构不能使每种敌意或错误行为不可能。治理必须减少机会、改善检测、约束自由裁量权并提供恢复。NRS 应将父干预视为定义权力的可责实践，而非运营根或中间服务的不可审查财产。
常规父行动应针对权威资源记录和认证请求自动化，具有透明状态和独立监控。手动裁量应保留用于确定的例外。如果证书请求被拒绝，用户应收到原因代码、依赖的证据和纠正途径。如果协会认为需要紧急安全行动，应记录范围、预期持续时间和批准基础。
高影响不利行动应要求职责分离。调查涉嫌妥协的人不应单独授权撤销并控制审查记录。两人或委员会批准可减少错误，而紧急规则可允许立即临时行动，随后快速独立确认。标准应确定哪些事件证明该例外以及确认必须多快发生。
通知重要但不绝对。提前通知适合计划到期、资源更改和非紧急合规问题。在回应确认的密钥妥协前可能不安全。即使那时，同时通知应通过独立渠道进行，除非这样做明显加剧伤害。不应仅因技术人员将证书管理视为内部而使沉默成为默认。
审查需要技术能力和快速行动能力。数周后才开会的普通成员申诉不适合实时路由安全问题。NRS 应维护一个独立小组，能够检查资源权威、证书状态、存储库证据和运营影响。它应能在更广泛争议继续时命令恢复、替换、更正或临时连续性。
补救措施应保持认证和资源权利之间的区别。纠正不当证书撤销并不决定每项合同主张。相反，持有者不能使用从属密钥击败治理规则下公认的有效转移或资源更改。证书服务应反映权威资源状态，关于该状态的争议应通过适当的权利程序解决，并带有连续性保护。
透明度可以阻止滥用而不暴露可利用细节。NRS 应报告紧急撤销、延迟签发、争议资源减少、存储库中断和审查结果的数量和类别。一旦即时风险过去，重大事件应收到公开解释。敏感认证证据可以保持受保护。成员需要足够信息来判断特殊权力是否罕见、正当并在错误时得到纠正。
密钥生命周期职责应具体可测试
控制是在整个生命周期中维持的，而非在注册时一次性建立。密钥生成应使用批准的算法和安全随机性。证书请求应将密钥绑定到认证持有者。激活应确认发布和独立验证。常规操作应续订时间敏感产品、监控存储库并限制管理员权限。轮换应在弱点或设备故障产生紧迫性前替换密钥。退役应撤销或过期权威并安全处置过时秘密。
算法敏捷性是这一职责的一部分。RFC 6916 描述了 RPKI 的算法敏捷性程序，反映了随时间改变加密算法的需要。NRS 应避免使此类更改取决于一个供应商硬件计划的保管模型。资格应测试服务能否引入支持算法、运行必要重叠、更新依赖方期望并退役过期材料，而不强迫用户放弃控制。
常规轮换是恢复有效性的最好证据。能够生成新密钥、获得认证、发布一致状态并观察依赖方收敛的持有者一次证明了几个关键权利。NRS 应设置轮换间隔或基于风险的期望，同时避免不必要的折腾。演练应充分记录以区分完成过渡和门户状态消息。
授权内容也需要治理。用户保管不应意味着无约束或粗心签发。接口应验证资源范围、前缀长度、来源身份和过期。风险更改可在持有者自己的批准政策内接受额外审查。工具应显示移除或缩小授权的可能效果，并警告冲突的当前对象。持有者控制决策，但良好设计减少可避免错误。
短有效期可限制暴露但增加对可靠续约和发布的依赖。长有效期减少续约压力但可能使过期权威有效。NRS 应设置平衡的配置文件并使权衡可见。紧急程序不应依赖每个依赖方即时刷新。测试应包括具有现实轮询、缓存和失败行为的验证器。
管理员生命周期应与加密生命周期一样严格。离职员工应立即失去访问权限。恢复联系人应重新确认。特权操作应使用强认证和独立通知。高影响操作应禁止共享账户。技术上安全的 HSM 不能保护权威，如果前雇员仍可通过被忽视的门户批准其使用。
支持的委托可以服务小型运营商而不剥夺其权利
对用户持有密钥最严重的实际反对是不平等能力。大型网络可以雇佣安全工程师并运营冗余硬件。小持有者可能有一名网络管理员，对证书维护兴趣不大。如果委托仅为最大成员设计，托管控制将保持主导，权利将是形式性的而非广泛可用。
NRS 应建立支持的委托服务类别。提供商可提供配置硬件、管理典礼、监控发布、续约警报、事件支持和定期演练。用户将保留安全账户的所有权或决定性控制、设置批准政策并拥有指定新提供商的能力。提供商将在文件授权下运营，该授权可终止而不失去认证关系。
成本应透明且可比。基本委托操作不应要求定制法律谈判。标准服务描述可以说明哪方控制 HSM 账户、谁可以启动签名、谁批准高风险操作、如何导出记录、发布如何移动以及恢复如何工作。客户应能在权威和退出方面比较两个提供商，而不仅仅是价格和正常运行时间。
共享基础设施仍可保持分离。提供商可以在认证硬件上托管许多逻辑安全域，前提是每个客户的密钥和批准被隔离、特权访问受控，且一个客户不能影响另一个。独立评估应测试技术隔离和运营实践。NRS 不应假装共享硬件固有不可接受或固有安全。
培训应关注决策而非让每个持有者成为密码学家。管理员需要理解路由授权的作用、密钥妥协与账户丢失的区别、何时请求轮换、如何验证发布以及联系谁。演练可以揭示组织权威是否为当前。一个简洁、演练充分的程序比没人用过的长手册更有价值。
如果成本否则会迫使集中保管，补贴可能对较小或公共利益网络合理。资金应跟随用户并可与多个合格提供商使用。给予协会运营的单个主机价格优势将破坏 NRS 试图创建的市场。支持应扩大选择，而非将财务援助转化为技术依赖。
托管服务本身应满足反锁定标准。用户应看到每个有效授权、接收独立通知、导出历史、指定恢复联系人并实践向委托的过渡。服务不应仅因执行签名就将协会描述为密钥权威的所有者。托管操作是受认可持有者在明确限制内扮演的信义技术角色。
审计应检查有效控制和依赖方结果
只检查密钥是否存在且存储库回答请求的审计将错过治理问题。审查者应追踪谁可以导致新签名对象出现、谁可以阻止它、谁可以替换密钥、谁可以移动发布、谁可以在锁定后恢复以及谁可以撤销证书。他们应将文件权威与实际凭证、批准和观察到的行为进行比较。
测试应使用受控操作。审计员可以请求常规对象更改、检查批准证据、独立检索生成发布并衡量收敛。可以开始轮换、在激活前暂停并验证回滚有效。可以请求完整导出并在测试环境中尝试提供商迁移。可以模拟不可用管理员并确认阈值恢复拒绝单一声称者。
存储库评估应包括不一致视图、过时增量状态、全快照回退、过期压力和拒绝服务。依赖方多样，因此测试应在可能时观察几个验证器实现和网络位置。目标不是保证相同的刷新时间。而是检测行动是否产生有界、可解释的收敛而非隐藏分歧。
父行为也应是可审计的。审查者应抽样证书请求、拒绝原因、紧急行动、资源更改和恢复时间。他们应寻找协会托管服务用户与外部提供商用户之间的差别对待。处理自己客户更快的父级会将必要层级角色转变为反竞争优势。
事件记录应将原因与效果连接。如果授权消失，记录应区分用户指令、密钥妥协、父行动、存储库失败、过期和验证器延迟。每项原因要求不同补救。汇总报告随后可显示系统脆弱处而不暴露私有安全细节。
指标应抵制虚荣。仅显示正常运行时间意义不大，如果导出不完整或迁移需数月。NRS 应发布成功委托注册、中位父响应时间、完成轮换、失败恢复、迁移持续时间、验证间隙分钟、未经授权签名事件、审查中逆转的不利行动以及提供商集中度等措施。趋势和分布比一个有利平均值更重要。
三个失败案例揭示权利是否真实
首先考虑一个使用协会托管 CA 的中型接入提供商。在雇佣安全员工后，它决定转向委托模式。在基于权利的设计下，它在自己的 HSM 中生成密钥、认证证书请求、用独立存储库建立发布并演练过渡。新旧状态安全重叠，监控者观察收敛，托管凭证关闭，提供者保留完整历史。无需官员决定客户是否有足够有说服力的理由离开。
现在改变一个事实：托管服务拒绝导出有用状态，并说迁移只能发生在年度维护期间。客户可能仍然拥有资源注册，但实际证书自由缺失。NRS 审查应能要求导出、设定协调日期并监督连续性。如果协会自己运营托管，决策必须移至独立机构。制度合法性取决于接受对自己基础设施的审查。
第二个案例是一个委托 CA，其 HSM 在洪水后故障。当前授权维持发布并在有限期间有效。持有者激活其阈值恢复组，在二级站点创建新密钥，并向父级请求替换认证。独立监控者比较预期状态与发布。由于没有妥协证据，新旧权威可通过受控轮换重叠。恢复成功而无需任何人检索故障密钥的托管副本。
如果证据反而显示洪水前有未授权签名，响应变化。旧证书和每个近期对象需要审查。父级可能需要紧急撤销行动，临时连续性可能比先前状态更窄。用户仍通过预先建立的恢复权威参与，但速度和遏制优先于保留每个现有授权。事件随后接受独立审查。
第三个案例是资源持有者与存储库提供商之间的争议。提供商声称未付发票并威胁立即停止发布。正常商业债权人可以追讨付款，但不应用路由安全发布控制作为对无关网络的杠杆。资格条款应要求连续性期、导出、迁移合作和争议分离。NRS 可允许用户在金融索赔继续在适当论坛进行时移动发布。
假设持有者还与协会就成员费存在争议。同一分离应适用。基本认证和发布连续性不应作为非正式收款手段被撤回。如果治理规则因不同原因授权资源行动，该行动必须遵循自己的证据、通知和审查。将计费杠杆与父权力结合将精确重现用户控制密钥旨在限制的制度支配。
这些案例说明为什么保管、可移植性、恢复和审查应在一起。用户建筑物中的私钥不能解决存储库强制。可移植发布不能解决父撤销。没有真实组织权威的紧急恢复可能将控制交给冒名顶替者。每个保护针对不同失败，且一揽子措施仅当过渡端到端实践时才有效。
提供商多样性必须减少相关控制，而非增加标签
NRS 不应从服务目录列出的公司数量推断韧性。几个品牌可能依赖同一 HSM 运营商、云账户、存储库平台、证书软件团队或事件承包商。共享层的故障随后可能影响看似独立的用户。提供商资格应向协会披露实质依赖，并使集中度在总体上对成员可见。
依赖映射应覆盖控制和基础设施。两个存储库服务可能运行在不同数据中心，但依赖一个管理组进行特权更改。委托 CA 供应商可能将每个客户的恢复权威放在一个支持台。监控公司可能仅从它应观察的服务获取预期状态。这些安排创造相关判断，即使设备分离。
协会应为每个目的定义独立性。第二个发布端点仅在第一个提供商不可用时提供基础设施多样性。恢复托管人仅在不能被普通运营商指示时提供组织多样性。外部监控者仅在独立检索和验证状态时提供证据多样性。一个组织可能仍提供优秀服务，但不应用两个产品名称计数两次。
成员需要足够披露以做出有意选择。提供商描述应识别重要转包功能、与服务连续性相关的司法管辖区、变更控制权威、恢复依赖、可移植性条款和近期演练结果。敏感安全细节可保持受保护。公共目的是揭示集中度和退出风险，而非发布攻击指南。
NRS 本身应避免成为隐藏的共同依赖。它将必然运营或授权父功能，并可能在早期阶段运行参考服务。但这不能证明使其门户成为唯一认证渠道、其存储库成为唯一支持的发布位置或其支持团队成为唯一恢复权威的合理性。参考服务应建立互操作性并降低进入成本，同时为独立操作留出空间。
采购可以加强这种分离。协会合同应使用开放接口、要求配置和证据导出、保护客户对操作记录的所有权，并允许其他提供商协助过渡。不能在其他地方复制的定制功能应受到审查。最便宜的短期报价可能代价高昂，如果它使机构无法更换关键运营商。
集中度限制应关注后果而非任意市场份额。如果一个提供商为大多数用户服务，但每个客户可以在测试间隔内迁移，风险低于其用户无法离开的小型提供商。NRS 应将份额数据与可移植时间、共同依赖、恢复性能和特权访问范围结合。上升的集中度指标可触发额外演练、与替代提供商预留容量以及更仔细的审查，而非自动禁止。
退出能力必须在主导服务失败前存在。替代提供商应保持测试能力以波浪式接收客户。NRS 可协调容量演练，其中几个虚构账户同时移动，测量认证队列、存储库负载、支持人员编制和依赖方影响。为单个安静客户证明的迁移程序可能在数百人需要时失败。
协会还应规划提供商收购。合并可以在合同不变时将密钥、员工、存储库和客户记录置于一个控制者之下。合格提供商应通知 NRS 实质控制变化，解释其对隔离的影响，并在集中度或管辖权显著变化时提供无惩罚迁移期。客户不应在完成后才发现其独立服务已成为他们刻意避免的机构的一部分。
竞争本身不是目的。目标是在压力下可信的选择。多个提供商重要，因为它们允许用户逃离糟糕服务、减少相关故障并挑战制度假设。如果用户无法移动、如果所有提供商依赖一个控制中心或如果父级偏袒其关联主机，市场外观几乎不增加安全性。多样性仅在权威、基础设施和证据实际分离时才有价值。
NRS 应采用具有可衡量验收测试的证书权利章程
协会应在简短治理章程中陈述证书权利，并通过技术要求、提供商条款和审查实施。章程应承认持有者选择托管或委托操作、控制日常签名、指定合格提供商、获得及时父服务、移动发布、检查证据、替换密钥、恢复权威和挑战不利行动的权利。还应说明持有者保护凭证、维护联系人、在认证范围内签发、监控状态和配合事件响应的义务。
每项权利需要验收测试。委托通过独立密钥生成和成功认证证明。控制通过协会无法单独执行的批准行动证明。可移植性通过具有边界验证效果的迁移证明。恢复通过模拟丢失后的替换证明。父问责通过合理决策、衡量响应和有效审查证明。提供商竞争通过实际客户移动而非供应商列表证明。
NRS 应分阶段实施模型，但不使延迟永久化。可从参考委托服务、两个独立发布提供商、已发布接口和受监督迁移开始。早期用户应包括不同地区的小型和大型持有者。发现应在规模增加前更改要求。托管用户应收到明确日期，届时过渡权利和导出完全可用。
协会应对自己的方便保持怀疑。中央托管可能高效，尤其在启动时。效率是收益，而非宪政论点。如果机构编写规则、控制父级、持有大多数私钥、运行主导存储库并判断争议，运营便利已积累成治理权力。良好意图不消除冲突。
也不应浪漫化去中心化。安全薄弱的密钥、被遗弃的存储库和未受培训的管理员可能削弱路由安全。协会有权要求能力、监控和恢复。约束是安全规则必须相称、提供商中立且可纠正。它们应提高委托操作的质量，而非将每个偏差变成中央保管的理由。
最终测试是实用的。资源持有者应能用证据回答五个问题：现在谁能签名？谁能阻止或撤销该权威？当前状态发布在哪里？服务如何移动？丢失或妥协后如何安全恢复控制？如果所有五个答案都是同一个机构，系统已复制托管 CA 权力，无论用于描述它的语言是什么。
用户控制密钥因此不是装饰性的去中心化特征。它们是更广泛权利分配的一部分。可移植发布防止存储库依赖。紧急恢复使自我保管可生存。父约束承认剩余层级。独立监控和审查使制度行为可见。支持的委托将这些保护带到小型运营商可及范围内。
号码资源协会可以在不要求成员用资源依赖交换证书依赖的情况下加强路由安全。其任务是提供一致的信任层级，同时拒绝垄断其下的每个功能。有纪律的立场既非中央控制也非不支持的自助服务。而是由可互操作服务、测试连续性和狭窄、可审查的制度权力支持的用户权威。