摘要

  • WHOIS 始于 1982 年，最初是一个面向具名人员的公共网络目录。其简单的查询-应答设计无法保留防篡改的号码资源控制链、区分公开信息与受保护的历史，也无法为不同目的的用户提供认证。
  • RDAP 改进了结构化访问、传输安全、认证与授权。其事件模型能够记录注册、变更、转移和其他日期，但当前的 RDAP 应答并不一定就是完整的历史账本，也未必能证明现有记录背后的每一个决策。
  • RIR 的实践已经表明，历史数据可以与当前的公共数据分离。ARIN 的 WhoWas 服务为经授权的用户提供历史上曾公开的注册信息报告；RIPE 保存较早的操作版本，但在普通历史查询中排除历史个人和角色记录。
  • 留存期限应与事件和证据的类型挂钩，而不是规定一个任意的年数。持久的机构事实可能需要长期保存；个人联系字段应尽量精简并加以访问控制，在其目的终止后移除或模糊化，但可因法律存证和诉求而保留。
  • 防篡改并不要求永久公开。一个仅允许追加的事件序列、经过签名的检查点、可信时间戳、保留的决策记录以及可审计的更正，足以建立完整性，而个人相关数据则可在加密、隔离或经问责政策下删除。
  • 访问应基于目的。持有人应能够检查自己的链条；交易对手方应依授权或同意获得交易所需的证据；裁决者与主管当局应有受管辖的途径；研究人员应获得去标识化或聚合后的材料。
  • 历史注册证据支持控制链，但不能在每个法域下最终决定所有权、合同优先权、路由权限或法律权属。证明层应当说明注册局核实了什么、什么仍不确定、以及哪个事件更正了先前的记录。

当前应答的证明力往往低于用户想象

当前的注册应答只是一个快照。它可以显示与某个地址段关联的名称、记录标识符、状态、政策允许公开的联系人以及注册或最近变更等日期。它之所以有价值，是因为运营人员需要一个最新、标准化且易于查询的答案。

快照作为序列的证据是薄弱的。假设某家公司收购了一项网络业务，变更了法律名称，迁移了地址注册记录，更换了技术联系人，随后又进入了破产程序。当前的记录可能只显示最终的公司名称和一个最近的变更日期，却无法显示前手信息、各个阶段确切的资源范围、转移所依据的被认可的授权、审查过程中做出的更正，或者某个时间段内实施的限制。

在普通商业活动中，缺失的这些序列信息非常重要。买方需要了解卖方的声明是否与公认的持有人历史相符；贷款方需要知晓在公司变更后，某项通知是否仍然与相关记录关联；清算人需要区分运营联系人更新与注册权益的转移；面临质疑的持有人需要证明 RIR 是何时以及为何认可其地位的。

在防范滥用和追究责任的工作中同样重要。一个事件发生在特定的时间，而非今天。观察到流量时，当前的联络人可能与资源毫无关系。将当前持有人视为历史运营者可能导致错误的指控。

正确的回应不是将每个旧记录都公开，而是认识到当前的公布与历史的证明回答的是不同的问题。前者支持当前的协调，后者支持具有正当目的的人进行回顾重建。

需要谨慎描述控制链。注册历史显示的是注册记录以及 RIR 接受了哪些证据或授权。它不能自动证明每一种法律下的所有权、每个公司的实际控制、每个路由器的物理保管或每个数据包的来源。一个可靠的有限证明比夸大的声明更有用。

WHOIS 在成为基础设施证据之前是一项白页服务

1982 年 3 月发布的 RFC 812 将 NICNAME/WHOIS 描述为 ARPANET 用户的目录服务。请求的条目包括个人的全名、邮寄地址、电话号码和网络邮箱。客户端连接到 43 端口，发送一行指令并接收人类可读的文本。

这段历史解释了 WHOIS 后来的许多困难。该服务始于一个足够小的社区，可以想象为可识别参与者建立广泛的目录。它并非作为一个财产登记册、交易账本或保护隐私的证据系统而开始。其协议没有定义标准的响应结构、差异化的访问模式或更改的加密历史。

RFC 954 在 1985 年更新了该服务。RFC 3912 在 2004 年取代了较早的协议描述，同时做出了一个直白的观察：WHOIS 没有强安全性的规定，缺乏访问控制、完整性和保密性。该规范指出，基于 WHOIS 的服务因此应仅用于可公开的非敏感信息。

到那时，功能已远远超出了研究网络用户目录的范围。WHOIS 服务涵盖了域名、互联网地址、自治系统编号和相关联系人。运营人员、调查者、企业和公共当局都在查询注册记录。对证据的期望提高了，而底层协议却仍然简陋。

这种不匹配导致了两个常见错误。一个是认为因为某个字段曾公开可用，它就应该永远公开。另一个是认为因为公共服务只显示当前字段，旧的状态就没有合法价值。

两者都将访问与留存混为一谈。一条记录可能值得保存而不必公开。一个人的旧电话号码可能既不必要也披露有害。持有人从一家法律实体变更为另一家的事实和日期，在多年后对争议可能仍至关重要。

1982 年的教训不是开放性错了，而是一个白页协议不应默默承担历史证明的宪制负担。

RDAP 使差异化访问成为可能，但本身并不创建完整的历史

RDAP 旨在弥补 WHOIS 的重要缺陷。它使用 HTTP 和结构化的 JSON。RFC 7481 通过成熟的安全层为访问控制、认证、授权、保密和数据完整性提供了框架。服务可以支持匿名公开访问，同时向具有被认可目的的已认证用户提供不同的信息。

RFC 9083 还定义了事件。RDAP 响应可以识别诸如注册、重新注册、最近变更、删除、重新实例化、转移、锁定和解锁等操作，并附有日期，有时还包括操作者。这比非结构化、含义随服务器变化的行文有了显著改进。

但是，不应将事件数组误认为完整的账本。该标准解释了如何表示事件，但没有强制每个 RIR 响应都披露每个历史状态、底层文件、审核人或争议。当前对象可以包含注册和最后更改日期，但省略两者之间的详细序列。操作者可能未被捕获。

因此，协议和证明服务处于不同的层面。RDAP 可以承载受保护的历史响应。它可以认证请求者并返回结构化事件。它可以链接到通知和相关记录。但 RIR 仍然需要在端点背后具备留存政策、事件模型、证据控制、访问决策和审计踪迹。

这一区别之所以重要，是因为技术升级可能造成机构完整性的假象。JSON 比传统的 WHOIS 文本更容易解析。名为“transfer”的字段看起来具有权威性。这两点都不能证明每条前手记录都被保留，日期都经过独立验证，或者后来的更正无法被隐藏。

历史证明配置文件可以在 RDAP 基础上构建，而不是取而代之。它将定义请求者的目的、资源范围、时间间隔、返回的事件类别、脱敏、完整性证明、更正的链接和响应的来源。公共客户端可以继续接收当前视图。经授权的用户可以通过相同的安全框架请求历史层。

RDAP 带来的收获不是自动的历史。它是能够不再将普遍公开视为注册证据可访问的唯一途径。

现有 RIR 服务已拒绝了完全保密与完全公开之间的选择

争论有时被表述为，注册机构必须在公布所有历史字段和删除所有历史之间做出选择。当前 RIR 的实践显示了更多有益的中间立場。

ARIN 的 WhoWas 服务让经授权的 ARIN Online 用户能够访问某个 IP 地址或自治系统编号的历史注册信息。访问必须经申请和批准，用户需接受条款。报告可以涵盖与所请求号码相关的网络、自治系统、组织和联系人句柄的公开历史。ARIN 声明这些报告包含的数据曾是 WHOIS 中公开可见的信息。

这一模式确立了若干原则。历史数据可以有合法的运营和研究用途。访问可以要求已识别用户和明确的条款。报告可以跟踪关联记录，而不是返回一条扁平的信息行。服务可以限制大流量查询，而不是将无限制收集作为任何访问的代价。

RIPE 采用了不同但相关的做法。其文档说明，每个更新过的对象的所有旧版本都被保存。历史查询可暴露仍存在的操作对象的版本和差异，但在删除和重新创建方面有所限制。历史人员与角色数据不能通过这些查询获得。《RIPE 数据库需求》将此描述为运营或研究价值与个人数据过滤之间的平衡。

APNIC 于 2017 年报告了一项 WhoWas 试点，将 RDAP 扩展至历史注册查询，并突出显示版本之间的更改。该发布是当时实施实验的证据，并非证明每个功能现在仍然可用。然而它表明，结构化历史检索可以通过 RIR 记录构建。

这些服务没有哪项提供了普遍答案。ARIN 的审批模式、RIPE 的公开运营历史和 APNIC 报告的试点在覆盖范围、访问方式、格式和当前状态上各不相同。这种差异本身具有参考价值。历史正被作为目的和风险的产物进行治理，而不是简单地从当前 WHOIS 复制而来。

一个共同的基线可以在保留区域自由裁量权的同时，确保每个持有人都能获得自己资源的可靠链条，并且合法的争议不会因为旧状态被丢弃或旧联系人被过度暴露而失败。

控制链是一连串被接受的机构事件

有用的历史不应是一堆整页快照。它应识别将一个公认状态连接到下一个状态的事件。

链条从一个注册或公认的遗留状态开始。然后记录后续重大变化：分配或指派、转移、合并或继承、法律名称变更、账户合并、细分、回收、撤销、行政更正、争议锁定、限制解除以及在合格注册服务机构之间的迁移。普通的联系人维护可以保留在较低的证据层级，除非它影响授权。

每个事件需要一个稳定的标识符、资源范围、对前状态的引用、对结果状态的引用、生效时间、记录时间、决策依据、证据类别、保证级别和更正状态。如果事件仅涉及前缀的一部分，范围必须精确。如果自治系统编号包含在更广泛的企业交易中，其记录不应暗示每项资产都遵循相同路径。

事件应标明 RIR 决定了什么，而不是复述向其提出的每一个断言。转移记录可以注明注册局接受了从公认组织 A 到公认组织 B 的变更，依据命名的政策和证据类别。支持文件可以保持受保护。审核人可以随后验证所需证据曾存在且其完整性得到保存。

更正应纳入序列。如果生效日期错误，或者在欺诈被确认后转移被撤销，原始事件不应消失。关联的更正应解释哪些字段或结论发生了变化，谁授权了补救措施，以及更正后的状态何时生效。删除第一个状态会使记录更干净，但机构更不负责。

链条也需要标记空白。早期分配可能缺少完整的文件证据。注册局的迁移可能保存了当前持有人，但没有保留每个中间更新。这些局限应被明确表示。声明最早已验证的状态始于特定日期，比事后构建的丝滑故事更有力。

在这种语境下，控制指的是公认注册位置的序列。绝不应让它暗示超出证据所能支撑的东西。

留存应跟随诉求的生命期，而非一个时髦的数字

历史应保留多久？诱人的答案是一个单一期限：七年、十年或注册的生命期。任何普适的数字都隐藏了比解决更多的问题。

不同记录服务于不同目的。一个前缀在两个法律组织之间转移的事实，可能在所导致的注册存在的整个期间以及回收或转让后的一段时间内都有关联。一份尽职调查文件可能需要在协议整个生命期以及索赔的任何时效期内保存。认证日志可能有更短的安全目的。一名前员工的个人电话号码在更换后可能很快就不再有用。

因此，留存应按类别定义。核心机构事件及其完整性承诺可以持久。支持权属或继承的证据应跟随注册或相关诉求可以合理被质疑的期间，并因法律存证而延长。操作日志应有规定的安全和审计期限。个人属性应独立于其曾经伴随的事件，接受必要性审查和最小化处理。

尽管 RIR 和持有人在许多司法管辖区内运作，欧盟的数据保护框架仍是一种有益的约束。其原则包括数据最小化和存储限制，而其删除条款也承认涉及法律义务以及确立、行使或抗辩法律诉求的情形。这不是一个全球性的留存规则。但它说明了为何隐私和证明不能简化为保留一切或删除一切。

政策应指明时钟的起点。是文件收到之日、事件生效之日、持有人关系结束之日、资源被归还之日，还是争议终结之日？不同的选择可能增加数年。无声的模糊有利于持有记录的机构，而损害所有依赖它们的人。

定期审查与初始期限同样重要。RIR 应问一问：目的是否仍然存在；同样的证明是否能在较少个人数据下保存；存证是否依然有效；过时的加密或文件格式是否威胁可读性。

一个站得住脚的答案是理由的排期。历史之所以持续，是因为某个明确的诉求、问责义务或连续性需求持续着，而不是因为无限期存储感觉更安全。

个人信息不是控制链

历史注册记录经常将机构事实与个人数据混在一起。公司名称、资源范围和有效的转移日期可能排在一名多年前提交更新的员工的姓名、地址、电话号码和电子邮件旁边。将整个记录视为一个不可分割的对象制造了虚假的选择。

链条可以在删除许多个人字段后存活。机构可以保存某位授权代表在特定保证级别行动的信息，而不必在每个可访问的快照中保留该人旧的公开电话号码。它可以为一个争议保留受保护的身份引用，同时仅公开发布角色。它可以记录通知已被发送和确认，而不向每个研究人员暴露地址。

RIPE 将历史人员和角色记录排除在普通历史查询之外，体现了这种分离。其隐私声明也解释，在注册目的和法律义务所需时，历史数据和更新请求可能被保留，而对个人信息的访问受到控制。其结果并非问责的缺失，而是关于记录的哪一部分应对谁可见的决定。

脱敏必须经过设计，而非随意实施。从显示文本中移除姓名却将其留在关联句柄、自由格式备注或差异视图中，不是保护。历史数据负载应逐字段分类，派生索引应遵循相同的访问规则。

加密摘要也不应被假定为匿名。如果可能的值是可预测的，一个人可能通过猜测测试被识别出来。对个人记录的完整性承诺需要隐私审查、访问控制，有时还需要将验证限于授权方的密钥或盐值构造。

持有人的自身权利也很重要。不应允许一个组织以员工隐私为由，拒绝向裁决者披露谁对一项有争议的转移拥有权限。答案是有管辖的披露，而不是普遍曝光。

将个人与链条分离能同时改善两个目标。隐私决定可以跟随必要性。机构事件可以保持持久。记录不再依赖于为了证明发生了转移而保留过时的地址。

防篡改首先是机构属性，然后才是加密特性

一项历史服务只有在后来的管理员不能悄悄改写过去时才有价值。密码学可以提供帮助，但首要的保障是机构性的：职责分离、记录的授权、仅允许追加的事件处理、独立审查、受控的更正和保留的证据。

在技术层面上，每个事件可以包含其规范记录的摘要和对前一个被接受事件的引用。周期性的签名检查点可以将注册局在该时刻已知的序列固定下来。可信时间戳可以显示某个承诺不晚于某一时刻存在。像透明性系统中使用的仅追加 Merkle 树，可以支持包含和一致性证明，而不使每个负载都公开。

RFC 9162 的证书透明性设计是一个参考，而不是面向 RIR 历史的现成规则。它展示了签名树头和一致性证明如何使之后的移除或重新排序可被发现。号码资源事件有不同的隐私、更正和权限需求。注册局应借鉴其完整性属性，而不是假装证书和地址记录可以互换。

数据负载可以保留在受保护的证据存储中，而公共检查点可对事件序列进行承诺。经授权的审核人接收事件、允许的支撑材料以及该事件已被纳入检查点的证明。公众观察者可以看到聚合的检查点信息，而不必学习个人数据。

防篡改必须涵盖软件和密钥变更。如果 RIR 更换签名密钥，过渡应进行交叉引用并公开宣布。如果某个缺陷导致了错误的承诺，更正应被链接而非掩盖。备份应经过恢复测试，而非仅仅声称存在。

独立见证人可以加强信任。另一个 RIR、一名审计师或一个公共监控器可以保留检查点，使悄悄的事后篡改变得更加困难。见证人无需接收受保护的证据。

没有任何机制能证明原始断言是真实的。它证明的是机构接受了某一明确的事件，保存了它，且没有悄悄改变它在序列中的位置。真实性仍取决于证据、审查和质疑。防篡改保护的是机构记忆的完整性，而不是机构判断的绝对正确。

更正和删除并非对立面

对仅追加历史的一个常见反对是，隐私法和错误法可能要求更正或删除信息。对删除的一个常见反对是，它破坏了控制链。两种反对都假设公共负载、受保护证据和完整性序列必须是同一的。

它们不必相同。如果公开名称不准确，当前记录应被及时更正。历史序列可以保留一个最小化的事件，说明某个较早值被更正，而不必继续展示错误的个人字段。受保护的原始信息只有在一个明确的法律或问责目的足以证明时才可保留。

当个人数据必须被删除时，机构可以删除可访问负载，并保留一个非识别的墓碑：事件标识符、资源范围、日期、原因类别、授权，以及声明受保护的个人内容已根据政策移除。是否可以保留任何摘要需要评估，因为摘要仍可能与个人相关。

当存在法律存证时，访问应收紧而非扩大。存证为某一明确事项保留了证据；它并非允许继续保持公开。记录应显示存证的授权、范围、起始、审查日期和解除。没有审查的无期限存证不过是另一种名目的留存。

更正也需要时间上的精确。后来发现某项较早的转移无效，并不一定意味着注册局应假装该转移从未出现。历史应区分原始行动日期、发现日期和有效后果。法院、持有人和运营者可能需要了解在此期间公开记录显示了什么。

这种分层方式使问责成为可能。公众看到准确的当前记录和非敏感的机构历史。经授权的审查人可以检查与其目的相称的证据。完整性机制显示更正是跟随而非无形中取代了先前的状态。

一个机构赢得信任，不是通过声称从不犯错，而是通过使错误、更正、脱敏和合法移除成为可区分的事件。

访问应基于目的和关系授予

谁可以检查历史？错误答案是每个人和仅注册局自己。

当前持有人应能广泛访问其资源的机构链条，包括能够查看哪些事件确立了其公认的地位，同时保护无关人员的数据。它应能获得一份可验证的声明用于尽职调查，并对错误提出质疑。

前持有人应能获取涉及其期间和转移的部分，尤其是在抗辩某项主张时。不应赋予它持续窥视新持有人稍后保密事务的权限。

买方、贷款方、保险人、审计师可以在持有人授权且局限于交易范围内获取证据。答复应注明检查了什么、日期以及任何空白。它不应成为可转手的历史联系人信息转储。

裁决者、法院指定的官员或主管当局需要立足于适用权限的途径。注册局应验证请求，记录披露并限定于该事项。在合法且安全时，通知相关方应是常态；当立即通知被禁止时，应记录延迟通知。

安全研究人员和网络调查人员可能有合法理由检查过去状态。一个分层服务可以提供最小化数据、限时访问、查询日志以及重新发布个人信息的制裁。大流量的研究可以使用经重新识别风险审核的去标识化数据集。

公众应保留对当前协调数据和主要机构事件非敏感历史的访问。这在不过度曝光每个前员工的情况下支持市场信心。

每一类访问都需要申诉渠道。被拒绝自身链条的持有人，或被拒绝有根据请求的研究人员，应收到理由和复审路径。反之，个人数据被不当披露的个人需要投诉和救济途径。

目的限制必须在访问之后可执行。条款、技术控制和审计应限制后续使用。完全防止是不可能的，这就是为什么披露前的最小化仍是最强的控制。

目标不是特权保密，而是使证明可用于那些合法决定依赖它的人，同时拒绝好奇获得必要性的地位。

持有人需要检查、更正和携带自己链条的权利

注册机构经常要求持有人维护准确数据。对等的义务是让持有人看到归属于他们的后续历史。

持有人应能请求特定资源的机器可读和人类可读链条。声明应包括事件标识符、日期、公认的组织、范围、政策依据、保证级别、有效的限制、更正和已声明的空白。受保护的支撑证据可以按类别列出，而不必无必要地复制。

检查允许持有人在交易或争议使其代价高昂之前，发现错误的前手、错误的生效日期或无法解释的断层。更正请求应创建一个复审案例，保留被质疑的状态，并链接结果。RIR 应区分事实性更正与试图改写一段不便却准确的事件。

携带权是更困难的权利。如果注册服务责任发生变化，持有人的链条不应被困在旧机构中。后继者应获得足够经过验证的历史以延续状态，而前手服务机构保留其期间的证明并履行法定留存义务。迁移应有一次性的最终切换，链条中不留缺口。

携带历史并不意味着持有人可以编辑它。持有人获得一份可验证的副本，并可以提交异议。机构签名和检查点防止自产文件被误认为权威记录。

该权利还应在账户丢失后继续存在。一家破产的公司、合并后的继承人或遗产代理人可能不再控制原始的登录凭据。身份和授权恢复程序需要支持合法的继承，而不降低对普通请求的保护。

资源号协会（NRS）能够以积极的方式阐述这种对等的契约。持有人承诺提供准确、及时的信息和证据。注册提供商承诺保留关键事件、保护人员、允许检查并支持最终的迁移。每一方都可以依据明确定义的义务接受审计。

当记录的主体不仅被注册局观察，而且能验证注册局要求他人信赖的链条时，问责就更加牢固。

交易需要一个交割证明，而非不受限制的历史浏览

IPv4 转移和依赖地址的商业交易为历史证据创造了一个实际用途。各方需要知道协议中描述的资源是否与卖方公认的注册地位相联系，以及交割后的记录是否与获批的变更相联系。

一份交割证明应标识确切的前缀或自治系统编号、前手公认持有人、新公认持有人、生效事件、权限、有效条件和检查点。它应说明 RIR 是否验证了法律身份、继承或政策资格，并陈述任何重大限制。它不应包含每个旧的联系人字段。

这份文件可以减少模糊性，而不宣称普适的所有权。RIR 的政策和协议管辖注册关系；适用的财产法、合同法、破产法以及担保交易法管辖注册局可能不能决定的问题。证明应避免诸如“所有者”之类的词语，除非管辖机构和法律支持其使用。

交割前的尽职调查可以利用受保护的历史视图来识别断点。一个传统地址段可能从某个早期注册机构转移到 RIR 的记录中。一个公司可能几次更改名称。一次重组可能改变了法律实体，而运营品牌保持恒定。每个转换需要与主张相称的证据。

在交割时，各方应收到一份有时间限制的状态声明，稍后是最终的事件确认。如果存在悬而未决的争议或限制，应向获得授权的各方披露，而不是被一份看起来干净的当前应答擦除。

交割后，访问应收窄。买方保留其链条。卖方保留已完成转移及其前持有期间的证明。顾问仅保留其法律和专业职责所必需的内容。公众用户如果政策允许，看到新的当前记录和转移的非敏感事实。

这是一个历史证明层，而不是一个公开市场监控工具。它不应仅仅因为注册发生变动，就暴露交易价格、保密协议或个人顾问的信息。

机构收益是带有记忆的终局性。当前记录可以干净地转移给新持有人，而解释这一变动所需的证据仍保持可验证。

争议需要注册局在每个决策点所知情况的证据

当注册受到质疑时，各方常常基于不同的日期进行争辩。一方依赖一封旧信件，另一方依赖当前的 RDAP 响应，注册局依赖某个案例决定，运营人员指向实时路由。缺乏按时间顺序排列的记录，每个项目都可能被弄得看起来具有决定性。

历史应显示注册局在每个关键时点收到了什么、核实了什么以及决定了什么。应区分提交时间和生效时间、临时状态和最终状态、通知与同意。如果争议期间设置了锁定，事件应陈述其范围和解除。

证据必须保持可质疑。一份签名的事件证明注册局记录了一个决定，而不是证明一份伪造的公司文件变成了真实的。对方需要一条呈现相反证据的途径，裁决者需要看到与事项相称的保证级别和审查备注。

链条还应识别不确定性。早期注册记录可能来源不完整。注册局可能验证了公司名称，但没有验证受益所有权。RIR 间的转移可能依赖于对端注册局的认证。这些边界有助于法院或仲裁庭分配权重。

争议中的访问必须足够对称以实现公平，同时尊重无关数据。一方不应接收到另一方无法审查的完整档案。一份披露清单可以列出被保留的类别与依据。独立审查人可以解决有争议的脱敏。

保全通知应窄而及时。一旦争议被合理预见，相关记录、访问日志和检查点应得到保护，免于例行删除。当事项和适用的索赔期限结束，存证应被审查并解除。

历史证明服务可以减少通过公开 WHOIS 进行诉讼的冲动。各方不再需要为了保全证据而要求每个旧的个人字段保留在线。他们可以依赖来自记录的、经独立可验证完整性的受管辖的披露。

最终，证明链条的权利是获得公平年表的权利：相同的事件、日期、局限和更正可供决策者以及利害攸关方使用。

传统分配需要对缺失环节保持诚实

互联网号码的历史并非始于今天的五大 RIR。早期的地址注册是通过前身机构进行的，后来转移到区域管理之下。APNIC 描述了通过早期注册转移或前身安排（如 AUNIC）而来的历史资源。ARIN 的 WhoWas 覆盖范围包括其服务区域内的传统地址。

这些记录可能具有商业意义，但年代久远并不产生完整的证据。当前的 RIR 可能继承了一个状态，却没有每份原始申请、信件、联系人或组织变更。记录格式之间的转换可能在保留字段的同时丢失了上下文。

证明层应标明最早经过验证的状态以及更早材料的来源分类。它可以说某项注册存在于某个已知日期的，在某个文件记录的前身记录中，责任在记录的文件化过渡下转移至 RIR，而后续事件以更高的保证级别保留。它不应虚构一条可追溯至 1982 年的连续链条，而在无法展示的情况下。

传统持有人还需要一条更正路径，不使历史状态依赖于无法再维护的旧联系人数据。公司继承证据、存档的公开文件以及先前的注册局通信可能比一个过时的个人邮箱更相关。

同样的克制也适用于缺失。一条缺失的旧条目不是当前持有人主张无效的证明。它是一个空白，其意义取决于政策、证据和法律。历史服务应使空白可见，而不是将其转化为自动的不利结论。

市场参与者应对此不确定性进行定价。涉及有据可查的近期转移的交易，不同于依赖于仅有部分链条的早期分配的交易。注册局可以在不评估资源价值或决定交易的情况下，描述保证级别。

资源号协会（NRS）的倡导如果能够捍卫持有人免受没收性假设的侵害，同时要求诚实的证据，就可能有用。传统状态不应意味着永久的怀疑，但也不应成为可证明链条的替代。

合法的目标是跨机构代际的连续性，并带有反映幸存下来的而非后来用户希望幸存下来的信心标签。

公共历史应描述机构，而非曝光前雇员

一份最小的公共历史可以改善问责。它可以显示一个资源首次被记录于特定时期、在命名的法律组织之间移动、进入或离开有争议状态，以及在有效注册关系之间转移。当精确性会制造风险，且对于公共用途无需精确时，日期可以取整。

公共层通常应省略前雇员姓名、直接联系详情、认证事件、身份文件、签名和通信。这些字段很少有助于公众理解机构链条。它们可能在人员角色结束后很久仍然曝光他们。

组织名称也需要小心。一名个体交易者或自然人持有人可能通过注册名称被识别。公布必须遵循适用的政策和法律，受保护的证明可能比公开时间线更合适。即使公司历史也可能在其它方式公开之前暴露机密的架构重组。

检验标准是目的。该公布是否有助于当前的网络协调、对某项重要注册局行动的问责，或基于当前状态的知情信赖？如果答案仅仅是该数据曾在 WHOIS 中出现过，那么这并不足够。过去的公开并不使永久的重新公布变得无害。

ARIN 关于 WhoWas 报告包含曾公开的 WHOIS 数据的声明，是对该服务返回内容的重要界定，但并不确立所有此类数据必须保持公开的普适规则。该服务本身需要审批。

聚合层面的公布可以支持研究。RIR 可以报告转移事件、更正、锁定、历史请求、批准、拒绝和留存审查的计数，并附有明确的期间和分母。研究单个链条的研究人员可以根据明确的标准申请最小化的记录。

这种分离改进了公共辩论。观察者可以评估一个机构是否更正错误、争议被锁定多久，以及迁移是否保存历史，而无需浏览一位前工程师的家庭地址。

机构透明度不是通过释放的个人信息量来衡量的。它的衡量标准是：重要的决策、授权、时机、更正和绩效是否可以受到检验。

审计应像对待篡改一样严格覆盖访问

如果访问薄弱，一个防篡改的历史仍然可能成为监控资产。因此，每个受保护的查询都应留下自己的可审计记录。

访问日志应标识请求账户、已验证的角色、声明目的、授权或同意、资源范围、时间范围、披露的字段、决定以及（必要时）审核人以及权限的过期。它应区分交互式检查和批量检索。应记录被拒绝的尝试，但不无限期保留不必要的查询内容。

持有人应能够在合法限制内看到其资源的有用访问历史。延迟通知机制可以在保护调查的同时，确保秘密不会默认永久化。员工访问也应被包括在内；特权管理不在问责边界之外。

独立审计应对批准和拒绝进行抽样。批准揭示过度披露。拒绝揭示机构是否正在扣留合法的证明。审计师应测试个人字段是否在当前记录、历史版本、差异、索引和备份中一致地脱敏。

指标需要分母。一份报告可以陈述一个命名的服务在特定期间收到了指定数量的历史请求，按访问类别批准了特定数量，并记录了指定数量的政策违反。它不能从一个 RIR 的用户推断全球的历史请求需求。

访问滥用需要补救措施。凭证可以被暂停，后续披露可被调查，受影响的人可被告知。机构用户不应因其目的起初看起来合法而免于后果。即使每次查询都可以单独辩护，重复的大批量使用也应得到审查。

审计记录本身包含敏感信息。一项执法请求、计划中的交易或争议可能通过查询被揭示。访问日志需要自己的留存、安全和披露规则。

完整性与隐私在此交汇。机构不仅必须证明历史未被改写，还必须证明它未被随意打开。一个值得信赖的控制链包括对每个受保护视图的监管链。

NRS 能将持有人权利转化为对等的证据标准

资源号协会（NRS）主张准确的注册、运营者权利和受约束的权限。历史证明提供了一个具体的方案，其中这些原则可以加强注册局的 stewardship，而非削弱它。

本协会可以提出一份最低的持有人历史声明：确切的资源范围、公认的状态、重大事件、有效的限制、更正、空白、保证级别和完整性证明。它可以坚持每个持有人都有途径获得并质疑该声明，而不必要求旧的个人信息公开。

它也可以定义可携带的要求。当合格的注册关系发生变更时，事件序列、证据引用、访问限制和未解决的争议必须可移动地或可验证地链接。旧提供商不能将链条扣为人质；新提供商不能从方便的干净日期开始历史。

对等性很重要。寻求有力证明的持有人必须提供准确的法律身份、授权证据和及时的变更信息。他们必须接受一个有效的不利事件或争议不能仅仅因为使交易复杂化就删除。隐私保护人；它不创造伪造机构历史的权利。

NRS 可以赞助使用自愿的持有人和保留的数据进行的跨服务测试案例。审查人员可以检查名称变更、合并、部分前缀转移、更正和访问撤销在迁移后是否仍然可证明。结果应标出所测试的案例，而不是声称普适的性能。

本协会应避免承诺法律所有权。其标准可以证明注册的连续性和证据质量，同时将财产和优先权问题留给有权法律和协议。这种克制将使该产品对 RIR、持有人、贷款人和法院更具可信度。

积极的机构愿景既不是公开档案库，也不是秘密注册局地窖。它是一个可携带的证明服务，其中持有人可以展示其公认的链条，注册局可以展示其决定，而受影响的人们可以期望其过时的详细资料保持受保护。

当权利伴随双方的证据义务而到来时，它们便变得持久。

不能从部分服务中推断出全球留存声明

公开材料证实一些 RIR 保存并暴露某种形式的历史。它们未证明被保留的事件、被删除的记录、WhoWas 用户、争议请求或交易信赖的完整的全球分母。

ARIN 的服务记录了其自身的覆盖范围和批准条件。RIPE 的文档描述了自己的版本历史与排除项。APNIC 2017 年的文章描述了当时的一个试点。这些来源不能支持声称每个 RIR 都保留同等数据，每个历史地址都有完整的链条，或者已经存在共同的留存期限。

WHOIS 的年龄也不是分母。一个追溯至 1982 年的协议并不意味着每条记录自 1982 年以来一直持续留存。机构、格式、政策和服务区域已经改变。一些旧记录被转换；一些上下文可能无法获得。

因此，评估应使用所声明的总体。一个注册局可以选择某个期间记录的所有重大事件，并报告有多少具有完整的前状态引用、保证标签、完整性证明和审查结果。一个交易试点可以报告参与链条的数量、发现的空白、更正时间以及用户评估。一个隐私审计可以报告抽样的字段和违反情况。

负面发现应保持可见。如果删除并重新创建的对象破坏了 RIPE 的可访问历史，这个限制应被声明。如果对一类大流量研究来说，WhoWas 访问并不合适，拒绝不是历史缺乏价值的证据。如果一个传统链条始于继承来的状态，结果是部分的，而非无价值的。

一个成熟的标准应欢迎零结果。更好的历史可能不会在法律不确定性占主导地位的地方减少交易时间。防篡改承诺可能对于无法获得授权访问的用户没有帮助。更短的个人数据期可能对机构证据没有影响，如果字段已被正确分离的话。

精确性保护改革免受倡导通货膨胀的影响。证明层的理由建立在可识别的交易、争议、问责和连续性需求之上。它不要求编造的全球百分比。

正确的政策将事件保留得比曝光更久

历史注册政策的中心错误是让留存和可见性共用同一时钟。如果一个字段从公众视野中消失，机构担心失去证据。如果记录必须被保存，隐私倡导者担心永久的公布。一个分层系统为每种关切提供各自的答案。

重大的机构事件可以长期保存，可能贯穿公认注册的整个生命期及其后的相关主张。它们的公开表示可以最小化。支撑的个人证据可以有更短的留存期限、受保护的访问以及法律存证。操作日志可以更早过期。完整性检查点可以在政策允许且隐私风险被处理、而负载已被移除的情况下保持。

政策应是清晰可读的。持有人应知道哪些事件类别被保存、从何时起、保存多久、为了什么目的。前联系人应知道个人字段何时离开可访问的历史，以及如何请求审查。依赖方应知道可以获得何种历史声明以及它证明了什么。

机构应公布这些规则的变更，并评估其对现有记录的影响。一项新的隐私要求可能需要对旧版本进行脱敏，而不仅仅是从明天起更好地收集。一项新的交易服务可能证明保存某一事件类别是合理的，但不是文件中的每一份文件。

技术应支持选择性的行动。一个只能保存或删除整份快照的系统迫使做出糟糕的治理选择。事件级别的分类、分离的证据存储、受保护的身份引用和完整性证明使政策可执行。

审查应包括成本和安全。无限期存档累积违规风险和迁移负担。过早删除将成本转移给必须从较弱私人文件中重建链条的持有人和法院。机构应公布取舍，而非将其隐藏在存储默认值中。

将事件保留得比曝光更久，不是在开放性和隐私之间的半个妥协。它是更精确地说明每项信息究竟是为何的陈述。

历史证明层将使当前的注册更加可信

当前的 WHOIS 和 RDAP 服务仍然至关重要。运营人员需要知道现在记录的是哪个组织，以及如何联系正确的角色。历史证明层应当强化这一当前的答案，而不是将每个查询变成档案调查。

它通过使当前状态可解释来实现这一点。持有人可以展示将它与前手联系起来的被接受事件。交易对手方可以在不收集无关个人记录的情况下验证交易。法院可以检查一个其完整性和更正都可见的年表记录。前员工可以离开角色，而不必成为永久的公开展品。

这项改革还收窄了机构权力。如果过去的决定受到挑战，RIR 不能再依赖于当前记录的干净表层。它的事件历史和更正记录可以被审查。同时，它获得了针对伪造截图和选择性私人档案的保护，因为它可以提供一份权威的证明。

NRS 可以在不损害独特性和准确性的前提下推进持有人权利。持有人获得检查、质疑和可携带的连续性。作为回报，它提供证据并接受有效历史不能因方便而被擦除。

剩余的法律限制应被平实陈述。注册历史是注册关系的有力证据。它可以支持一条控制链。它不确定有关财产、合同优先权、路由使用、受益所有权或责任的一切主张。不同的司法管辖区和协议可以赋予不同的后果。

这种谦逊不是弱点。它允许服务在其所知的范围内精确：这个机构记录了这项资源处于此状态，依据此权限接受了该事件，保存了此类证据，更正了此项错误，并根据此规则披露了这段历史。

证明控制链的权利因此与不让每个人类细节永远暴露的权利配对。两项权利依赖于相同的设计选择：将机构记忆保存为结构化证据，而不是将旧的公开页面保存得就好像公布本身就是证据。

来源