Résumé

  • À APNIC 62, les responsables n’ont pas appelé de décision de consensus sur prop-172. Le texte reste en discussion et ne modifie pas la politique actuelle.
  • La version 2 vise les dommages techniques et confie la première appréciation au titulaire de la ressource. Elle ne précise pas comment APNIC pourrait évaluer une réponse contestée.

Analyse

Une définition devient une règle de conduite dès qu’elle détermine quelles plaintes un titulaire doit traiter. C’est le point sensible de prop-172. Dans sa version 2, la proposition supprime le terme « illégal » de la définition opératoire : l’évaluation ne dépendrait donc plus de législations différentes selon les pays. Elle vise plutôt les actes qui causent, tentent de causer ou créent un risque matériel de dommage technique à la sécurité, à la stabilité ou à la confiance dans Internet, lorsque le titulaire peut intervenir en pratique.

Les exemples vont de l’hébergement de logiciels malveillants et du déni de service distribué au balayage malveillant, à l’intrusion, au détournement de routage BGP, aux transferts frauduleux de ressources et à l’hébergement de sites d’hameçonnage ou d’usurpation. La version 2 ajoute les tentatives et les risques matériels, élargit une protection pour les actions de bonne foi et précise que celle-ci ne remplace pas les protections ou responsabilités prévues par le droit national. Ces changements répondent à des remarques faites sur la version 1 ; ils ne transforment pas chaque signalement en preuve.

Les auteurs affirment que prop-172 ne crée ni nouvelle obligation, ni procédure de signalement, ni mécanisme de conformité. La politique APNIC-127 déjà en vigueur impose un objet Incident Response Team pour chaque enregistrement de ressource, la surveillance des contacts qui y figurent et une réponse rapide aux plaintes. Prop-172 fournirait une définition pour interpréter cette obligation et servir de base à de futures propositions. Même sans nouvel outil de sanction, une définition peut donc changer la façon dont l’obligation existante est comprise.

Le texte confie la première appréciation au titulaire lorsqu’un signalement repose sur un motif légitime et que le titulaire peut agir. Il indique aussi qu’APNIC ne peut pas arbitrer un cas d’abus, tout en lui attribuant un rôle de responsabilisation lorsque des plaintes légitimes sont ignorées de mauvaise foi. La difficulté est de vérifier cette responsabilité sans trancher indirectement si l’acte signalé constituait un abus. L’évaluation du secrétariat d’APNIC, explicitement limitée à la version 1, soulevait déjà cette tension. La version 2 la reconnaît mais la renvoie à un groupe de travail proposé et à de futures discussions de politique.

À APNIC 62, les présidents n’ont pas appelé de décision de consensus. Le compte rendu de la réunion dit que les échanges vont se poursuivre sur la liste du Policy SIG. Ce résultat n’est ni un vote contre ni un rejet. La page de suivi d’APNIC classe toujours la proposition parmi celles en discussion ; aucune nouvelle définition n’est en vigueur. Selon le processus de développement des politiques, un texte accepté doit encore passer par l’examen des membres, une période de commentaires, l’aval de l’Executive Council et sa mise en œuvre.

Le résultat laisse une question de gouvernance, pas un verdict. Un contact d’abus doit acheminer rapidement un signalement vers l’opérateur capable d’agir. Le titulaire, de son côté, doit pouvoir examiner des éléments suffisants avant de prendre des mesures contre un client ou un réseau. La prochaine version devra distinguer ces fonctions : exiger une réponse rapide sans faire d’APNIC le juge de chaque litige sur les faits.

Sources