Que signifie une preuve de contrôle pour une adresse IP ?

Quand quelqu'un dit qu'il contrôle un bloc d'adresse IP , qu'est-ce que ça veut dire exactement ?

La réponse est plus compliquée que de vérifier un seul enregistrement WHOIS .

Pour les ressources du numéro Internet, La preuve du contrôle est la preuve qu'une personne ou une organisation est légitimement autorisée à effectuer une action particulière impliquant une ressource d'adresse IP.

Cette action pourrait être :

• la mise à jour des informations du registre;
• l'autorisation d'une annonce BGP ;
• créer ou modifier une autorisation d'origine de route ( ROA );
• déléguant le DNS inverse;
• la location ou la délégation opérationnelle d'espace d'adresse;
• demander un transfert; ou
• représentant le détenteur de la ressource pendant un différend.

Il n'existe aucune preuve qui réponde à chacune de ces questions.

Un registre peut fournir des preuves importantes.

RPKI peut fournir des preuves cryptographiques sur l'autorisation de routage.

Un contrat peut documenter une relation commerciale.

BGP peut montrer qui annonce actuellement un préfixe.

Les dossiers ministériels peuvent indiquer qui est autorisé à agir pour une organisation.

Ces couches peuvent se soutenir, mais elles ne doivent pas être confondues.

Une preuve de contrôle devrait répondre à une question précise : qui est autorisé à faire quoi avec cette ressource de numéro Internet?

Que signifie "Contrôle" pour une adresse IP ?

Une adresse IP n'est pas contrôlée exactement de la même manière qu'un objet physique.

Un préfixe IPv4 ou IPv6 existe dans plusieurs systèmes qui se chevauchent.

Il y a une calque de registre, qui enregistre l'information sur les ressources numériques de l'Internet.

Il y a une couche de routage, où les réseaux annoncent des préfixes en utilisant BGP .

Il y a une couche de sécurité, où des mécanismes tels que RPKI peuvent exprimer l'autorisation d'origine de route.

Il peut également y avoir:

• les relations contractuelles;
• les baux;
• les délégations opérationnelles;
• les structures de propriété des entreprises;
• les relations entre les fournisseurs de services;
• les délégations du DNS inverses; et
• les droits ou obligations juridiques applicables.

Cela signifie que le contrôle peut avoir des significations différentes selon la question posée.

Par exemple:

Contrôle du registre peut signifier être autorisé à mettre à jour le dossier des ressources officielles.

Contrôle du routage peut signifier être autorisé à partir ou organiser l'acheminement du préfixe.

Contrôle opérationnel peut signifier la gestion de l'infrastructure qui utilise actuellement les adresses.

Contrôle commercial peut comporter des droits contractuels relatifs à la location, au transfert ou à la délégation.

Elles ne doivent pas être automatiquement traitées comme identiques.

La preuve du contrôle n'est pas la même que IP Propriété

Une des distinctions les plus importantes est entre contrôle et Propriété.

Le statut juridique des ressources de numéros Internet peut dépendre des contrats, des politiques de registre, de la compétence, de la structure des transactions et d'autres circonstances.

Il n'y a aucune raison de supposer qu'un seul dossier technique règle toutes les questions juridiques possibles.

Un registre peut fournir des preuves solides au sujet de l'état du registre reconnu.

Elle ne détermine pas nécessairement tous les intérêts contractuels, bénéfiques, opérationnels ou juridiques entourant la ressource.

De même, le contrôle de l'infrastructure annonçant un préfixe ne prouve pas automatiquement que le réseau annonceur a le droit de transférer l'espace d'adresse.

C'est pourquoi la preuve du contrôle devrait rester un concept plus étroit.

Au lieu de demander :

Qui possède cette adresse IP ?

une question opérationnelle plus utile est souvent:

Qui a vérifié le pouvoir d'exécuter l'action demandée?

On peut généralement répondre plus précisément à cette question.

Pourquoi la preuve du contrôle est importante

Les ressources de l'Internet doivent rester coordonnées au niveau mondial.

Au niveau mondial, IANA coordonne les systèmes d'adressage IP d'Internet et les numéros de système autonomes, tandis que les registres Internet régionaux fournissent des niveaux régionaux d'attribution et d'enregistrement.

Une fois les ressources utilisées, des changements doivent être apportés avec soin.

Un registre ne devrait pas mettre à jour un bloc d'adresses simplement parce que quelqu'un envoie un courriel demandant un changement.

Un réseau ne devrait pas accepter une autorisation de route simplement parce que quelqu'un prétend représenter le détenteur de la ressource.

Un transfert ne devrait pas être enregistré si la partie qui le demande ne peut pas démontrer l'autorité appropriée.

Les mécanismes de preuve de contrôle aident donc à protéger:

• la précision du registre;
• les détenteurs de ressources;
• les opérateurs de réseau;
• les contreparties;
• la sécurité du routage;
• l'intégrité du transfert;
• la continuité opérationnelle.

L'objectif n'est pas de créer des couches de permission inutiles.

Il s'agit de prévenir les changements non autorisés tout en rendant les changements légitimes vérifiables.

Que peut - on utiliser comme preuve de contrôle?

Il n'y a pas de preuve universelle qui fonctionne pour chaque situation.

Un processus fiable examine normalement les preuves appropriées à la mesure demandée.

Plusieurs types de preuves peuvent être pertinents.

1. Comptes d'enregistrement et dossiers de ressources

Le registre est un point de départ évident.

Elle peut identifier:

• l'organisme enregistré;
• les contacts avec les ressources;
• contacts administratifs;
• contacts techniques;
• état des ressources;
• autres informations d'enregistrement.

L'accès à un compte de registre authentifié peut également démontrer qu'un utilisateur a obtenu certaines capacités administratives au sein de ce système de registre.

Toutefois, l'accès au registre doit être interprété avec soin.

Un employé peut avoir des qualifications de connexion sans avoir le pouvoir de vendre ou de transférer une ressource.

Les pouvoirs d'un ancien employé peuvent ne pas refléter les pouvoirs actuels.

Un compte peut également être compromis.

Pour les actions à impact plus élevé, l'authentification devrait donc être combinée à des vérifications d'autorisation appropriées.

Être en mesure d'accéder à un système et être autorisé à prendre une décision particulière ne sont pas toujours la même chose.

2. Autorisation ministérielle

Lorsqu'une organisation est le détenteur reconnu de ressources, la preuve du contrôle peut exiger la preuve que la personne qui présente une demande peut agir légitimement pour cette organisation.

Selon les circonstances, les éléments de preuve peuvent comprendre :

• les renseignements autorisés sur le signataire;
• la documentation de l'entreprise;
• l'autorisation du directeur ou du dirigeant;
• les lettres formelles;
• les dossiers d'autorisation interne;
• une autre chaîne d'autorité vérifiable.

La documentation exacte requise variera.

Le principe important est que le contrôle doit être traçable du détenteur de la ressource à la personne qui demande le changement.

Cela devient particulièrement important pendant:

• les fusions;
• les acquisitions;
• la restructuration des entreprises;
• insolvabilité;
• les départs des employés;
• les différends entre anciens et actuels représentants.

3. Autorisation d'acheminement

Le routage fournit une autre couche de preuves.

Si un préfixe est annoncé par l'intermédiaire de BGP , les opérateurs peuvent observer quel ASN est à l'origine.

Mais une seule annonce de BGP est une preuve insuffisante du contrôle légitime.

BGP montre la réalité du routage.

Il ne prouve pas, en soi, l'autorisation.

Un préfixe peut être:

• une annonce légitime par un client;
• annoncé par un fournisseur d'hébergement;
• provenant d'un réseau en amont;
• transitée temporairement pendant une migration; ou
• annoncé sans autorisation.

Pour cette raison, un modèle de preuve de contrôle utile devrait distinguer:

Qui achemine le préfixe ?

par:

Qui a autorisé ce routage ?

Ce sont des questions différentes.

4 . RPKI et autorisation d'origine de la route

RPKI fournit l'un des exemples les plus clairs d'autorisation cryptographique dans le système de ressources numériques Internet.

Dans le cadre de l'architecture RPKI , les certificats de ressources attestent des avoirs de l'espace d'adresse IP et des numéros AS dans le cadre de confiance RPKI , tandis qu'une autorisation d'origine de route permet à un détenteur de ressources d'autoriser explicitement un système autonome à créer des itinéraires pour des préfixes spécifiés.

Cela fait de RPKI des preuves précieuses pour une question précise:

Est-ce que cet ASN est autorisé, dans le système RPKI , à créer ce préfixe?

Mais même RPKI ne devrait pas être étendu au-delà de ce qu'il prouve.

Un ROA valide ne prouve pas automatiquement :

• la propriété légale;
• les modalités d'un bail;
• qui exploite l'application client;
• qui a payé pour la ressource;
• tout intérêt contractuel; ou
• que l'itinéraire est actuellement annoncé.

C'est une puissante affirmation de sécurité.

Ce n'est pas un document de titre universel.

5. Lettres d'autorisation

Les opérateurs de réseau utilisent fréquemment des lettres d'autorisation, ou LOA s , documenter la permission pour les actions liées au routage.

Une LOA mai indiquer qu'un réseau particulier ou ASN est autorisé à annoncer un préfixe.

Cela peut être utile lorsque:

• la création de BGP ;
• le déplacement entre fournisseurs;
• la configuration des réseaux en amont;
• utilisation de l'espace IPv4 loué; ou
• changer les environnements d'hébergement.

Une LOA constitue une preuve de l'autorisation, mais sa fiabilité dépend de l'autorisation de la partie qui l'a délivrée.

La question importante reste la suivante: chaîne de contrôle.

Un document est aussi utile que l'autorité qui l'appuie.

6. Dossiers des marchés et des délégations opérationnelles

Un détenteur de ressources IP peut permettre à une autre organisation d'utiliser l'espace d'adresse sans transférer la relation de registre sous-jacente.

Cela est courant dans les contrats de location et autres arrangements opérationnels.

Un contrat peut établir:

• le préfixe utilisé;
• qui peut le diriger;
• qui ASN peut en être l'origine;
• la durée de la délégation;
• qui gère la RPKI ;
• qui contrôle le DNS inversé;
• qui traite les rapports d'abus;
• ce qui arrive quand la relation se termine.

Dans cette situation, le détenteur des ressources et l'utilisateur opérationnel sont des parties différentes.

Cela ne crée pas nécessairement une contradiction.

Cela crée un besoin d'enregistrements plus clairs.

Le titulaire doit rester identifiable.

La délégation opérationnelle doit être compréhensible.

L'autorisation d'acheminement doit correspondre au réseau prévu.

Et la fin de la délégation devrait avoir un processus opérationnel clair.

C'est une raison. Le miroir politique préconise un modèle de registre capable de reconnaître la délégation opérationnelle tout en maintenant la couche de coordination commune axée sur l'unicité, l'exactitude et la continuité.

7. Contrôle DNS inversé

La capacité de changer inverse DNS peut démontrer l'autorité opérationnelle sur une autre partie du IP environnement des ressources.

Mais là encore, cela ne prouve qu'une capacité spécifique.

Si une organisation peut mettre à jour les enregistrements PTR , cela ne signifie pas automatiquement qu'elle peut :

• transférer le préfixe;
• changer le titulaire inscrit;
• créer un ROA ; ou
• autoriser un réseau entièrement différent à en être l'origine.

Le DNS inverse est un calque.

Il ne doit pas être confondu avec la preuve de chaque autre couche.

8. Dossiers historiques et de vérification

La preuve devient beaucoup plus facile lorsque les changements de ressources laissent une piste de vérification.

Les dossiers utiles peuvent montrer :

• qui ont fait un changement;
• quand elle a été faite;
• ce qu'était l'état précédent;
• les preuves à l'appui du changement;
• l'organisation qui l'a autorisée; et
• si les enregistrements de sécurité ou de routage connexes ont changé en même temps.

Cela devient particulièrement important pendant les différends.

Supposons que deux parties revendiquent l'autorité sur un préfixe.

Un système sans historique significatif ne peut contenir que l'entrée courante de la base de données.

Un système vérifiable peut à la place reconstruire comment la ressource a évolué d'un état à l'autre.

Cela permet à la question de devenir :

La transition elle-même était-elle valide?

plutôt que simplement:

Que dit la base de données aujourd'hui ?

Cette distinction est importante parce qu'un bon registre devrait maintenir l'état exact et rendre les changements d'état légitimes explicables.

Ce que la preuve du contrôle ne prouve pas

Une erreur courante est de prendre une preuve valable et de la traiter comme une preuve de tout.

Cela devrait être évité.

C'est pourquoi la preuve du contrôle est mieux comprise comme une cadre factuel plutôt qu'un seul document.

Preuve de contrôle lors d'un transfert d'adresse IP

Les transferts sont l'une des situations où la preuve du contrôle devient la plus importante.

Avant qu'un registre ne change d'un titulaire à l'autre, le processus devrait être en mesure d'établir au minimum:

1. Quelle est la ressource concernée?
2. Qui est le cédant reconnu?
3. La personne qui demande le transfert a-t-elle le pouvoir d'agir pour cette partie?
4. Y a-t-il une réclamation en conflit, une fraude ou une retenue pertinente?
5. Qui est le cessionnaire prévu?
6. Le nouveau registre peut-il être enregistré avec exactitude?
7. La transition de l'information opérationnelle associée peut-elle se faire sans interruption inutile?

Le rôle du registre ici devrait être important mais ciblé.

Il devrait vérifier l'intégrité de la transition du registre.

Cela ne signifie pas nécessairement décider de toute question commerciale concernant la transaction.

Cela reflète le principe exprimé en La Charte des droits de la coordination de l'unicité: la couche commune devrait protéger l'unicité, la preuve de contrôle, l'exactitude du registre, les assertions de sécurité, les dossiers de transfert, la vérifiabilité et la continuité.

Preuve de contrôle pendant la location d'adresse IP

Le leasing crée une situation différente.

Le détenteur de la ressource enregistrée peut demeurer le même.

Une autre organisation peut devenir l'utilisateur opérationnel.

Un tiers peut fournir le réseau par lequel le préfixe est annoncé.

La preuve du contrôle devrait donc répondre à plusieurs questions plus étroites:

Qui est le détenteur ?

Qui est l'utilisateur autorisé?

Qui peut annoncer le préfixe?

Quel ASN devrait en être l'origine?

Qui gère RPKI ?

Qui contrôle le DNS inversé?

Quand la délégation commence-t-elle et prend-elle fin?

Essayer d'effondrer tous ces rôles en un seul mot – Propriétaire, Titulaire ou utilisateur – peut créer plus de confusion que de clarté.

Un meilleur système enregistre les relations qui comptent réellement.

Qu'arrive - t - il lorsque différentes preuves sont en conflit?

Les cas les plus difficiles se produisent lorsque différents systèmes racontent différentes histoires.

Imaginez que:

• le registre identifie l'organisation A;
• le préfixe est annoncé par l'Organisation B;
• un contrat indique que l'organisation C utilise les adresses;
• un ancien ROA autorise toujours ASN X;
• le réseau actuel utilise ASN Y; et
• deux parties ne sont pas d'accord au sujet de qui peut demander la prochaine mise à jour du registre.

Le simple fait de choisir une base de données et d'ignorer le reste peut ne pas résoudre le problème sous-jacent.

Une meilleure enquête demande:

• Quel était le dernier état du registre vérifié?
• Qu'est-ce qui a changé après ça ?
• Qui a autorisé le changement?
• Quelles preuves appuient chaque allégation?
• Quelles parties du réseau sont actuellement opérationnelles?
• Existe-t-il des preuves de fraude ou d'une transition d'État non autorisée?
• Quelles informations peuvent être mises à jour sans perturber inutilement le fonctionnement légitime du réseau?

Un État contesté devrait être traité comme un problème à étudier, et non comme une excuse pour prétendre que la réalité opérationnelle n'existe pas.

Pourquoi l'État vérifié dernier compte

Lorsque le contrôle est incertain, maintenir une vérification dernier état vérifié peut aider à empêcher l'incertitude de devenir un changement arbitraire.

L'idée est simple.

Avant de modifier un dossier contesté, le système devrait savoir :

• le dernier état vérifié;
• les preuves à l'appui;
• quelles nouvelles preuves sont apparues;
• si la transition proposée est valide;
• si un différend n'est toujours pas réglé.

Cela ne signifie pas préserver un enregistrement incorrect pour toujours.

Cela signifie rendre les changements traçables.

Un registre devrait pouvoir dire non seulement :

C'est l'état actuel.

mais aussi:

C'est ainsi que la ressource est passée de l'état précédent vérifié à l'état actuel.

C'est ce que la vérifiabilité ajoute à la preuve du contrôle.

La preuve de contrôle doit être portable

Il y a une autre question importante de conception.

Que se passe-t-il si la preuve du contrôle n'existe que dans une seule institution?

Ensuite, la capacité du détenteur de la ressource de démontrer son contrôle peut dépendre de l'accès continu à cette institution.

Un modèle de coordination plus résistant devrait apporter des preuves importantes:

• vérifiable;
• vérifiable;
• transférable le cas échéant;
• compréhensible par les contreparties; et
• En cas d'échec institutionnel.

Cela ne signifie pas que tous les titres de compétences devraient être publiquement exposés.

Cela signifie que la validité ne devrait pas dépendre inutilement du verrouillage institutionnel.

Un détenteur de ressources devrait pouvoir démontrer une chaîne de contrôle légitime même lorsque les fournisseurs, les employés, l'infrastructure ou les systèmes administratifs changent.

Une liste de contrôle pratique

Avant d'apporter un changement important à une ressource IP , demandez :

Identité des ressources

• Quel préfixe exact IPv4 ou IPv6 est impliqué ?
• La ressource est-elle identifiée de façon unique?

État du greffe

• Quelle organisation est actuellement enregistrée?
• Les dossiers pertinents sont-ils à jour?
• Y a-t-il un conflit actif?

Pouvoirs organisationnels

• Qui demande le changement?
• Cette personne peut-elle agir légitimement pour l'organisation?

Routage

• Quel ASN provient actuellement du préfixe ?
• Quel ASN est destiné à le produire après le changement?
• Qui a autorisé cet arrangement ?

RPKI

• Y a-t-il un problème ROA ?
• Ça correspond à l'état de routage prévu ?
• Qui peut apporter les changements nécessaires à la RPKI ?

Délégation opérationnelle

• Une autre organisation utilise-t-elle actuellement la ressource?
• Cette délégation est-elle documentée?
• Quand commence-t-elle ou finit-elle?

DNS inversé

• Qui contrôle la délégation DNS inversée?
• Cette responsabilité doit-elle changer?

Vérification

• Quelles preuves appuient la transition d'État demandée?
• L'état précédent restera-t-il traçable?

Continuité

• Le changement peut-il être effectué sans perturber inutilement un réseau de fonctionnement?

Il s'agit d'un test beaucoup plus utile que de demander si quelqu'un peut produire un document étiqueté "proof of control".

Une coordination mince exige une preuve solide, et non un contrôle large

Un registre mince ne signifie pas un registre avec une sécurité faible.

À bien des égards, le contraire est vrai.

Si une couche de coordination est axée sur un petit ensemble de fonctions essentielles, ces fonctions doivent être bien exécutées.

Cela signifie des mécanismes solides pour :

• un caractère unique;
• identité;
• la preuve du contrôle;
• la précision du registre;
• la prévention de la fraude;
• les assertions de sécurité;
• les registres de transfert;
• la vérification;
• le statut de conflit;
• la continuité opérationnelle.

Ce qui n'appartient pas nécessairement à la même couche commune, ce sont des décisions plus larges concernant :

• prix;
• la géographie des clients;
• modèles commerciaux ordinaires;
• la stratégie commerciale; ou
• quel fournisseur d'infrastructure légitime un opérateur choisit.

La preuve du contrôle devrait protéger l'intégrité du registre.

Il ne devrait pas devenir une justification vague pour contrôler chaque décision impliquant une ressource de numéro Internet.

Preuve des réseaux de contrôle et de fonctionnement

En fin de compte, la preuve du contrôle est importante parce que les adresses IP sont utilisées par les réseaux en exploitation.

Une fois qu'un préfixe est déployé, il peut supporter:

• serveurs;
• sites Web;
• API ;
• les environnements nuageux;
• les services à la clientèle;
• pare-feu;
• VPN ;
• DNS ;
• systèmes de messagerie;
• les politiques de sécurité;
• contrôles d'accès au réseau.

Un changement non autorisé peut donc avoir des conséquences bien au-delà d'une base de données de registre.

Dans le même temps, une question administrative non résolue ne devrait pas être automatiquement autorisée à créer des perturbations inutiles pour un réseau de fonctionnement valide.

Cet équilibre est central pour Primacy du code de fonctionnement.

Le registre a besoin de preuves solides.

La couche de sécurité nécessite une autorisation valide.

Le dossier doit rester exact.

Mais ces mécanismes existent pour soutenir les réseaux interopérables.

Ils ne devraient pas perdre de vue ce but.

Conclusion

La preuve du contrôle d'une adresse IP ne doit pas être réduite à un champ de base de données, à une annonce BGP ou à un document.

Des ressources de nombres Internet existent à plusieurs niveaux.

Le registre enregistre une partie de la réalité.

BGP décrit le routage.

RPKI décrit l'autorisation d'origine de la route.

Les contrats peuvent décrire la délégation commerciale ou opérationnelle.

Les documents ministériels peuvent établir le pouvoir d'agir.

L'historique de la vérification montre comment la ressource a évolué entre les États.

Chaque couche répond à une question différente.

L'objectif n'est pas de rendre la preuve plus compliquée que nécessaire.

C'est pour le rendre précis.

Qui contrôle la ressource?

est souvent trop large.

Une meilleure question est la suivante :

Qui est autorisé à effectuer cette action spécifique, quelles preuves appuient cette autorité et l'État qui en résulte peut-il être compris et vérifié de façon indépendante?

C'est ce que la preuve du contrôle devrait fournir.

Un système de registre solide devrait rendre le contrôle légitime facile à démontrer, les changements non autorisés difficiles à effectuer, les différends plus faciles à vérifier et les réseaux plus faciles à protéger.

Le registre devrait enregistrer le contrôle avec précision.

Les preuves devraient rendre le contrôle vérifiable.

Et la preuve devrait servir le réseau, et ne pas le remplacer.