Résumé

  • La proposition fixe qui peut signaler, quelles preuves fournir, un seuil de 14 jours sur 30, une notification formelle et sept jours ouvrés pour remédier au problème.
  • Elle reste en discussion. Son texte reconnaît que les restrictions intermédiaires doivent encore être définies dans un document RIPE distinct.

Une procédure paraît solide quand elle sait ouvrir un dossier. Elle ne l’est vraiment que si elle sait aussi le clore.

La proposition 2026-02 de RIPE NCC, publiée le 13 octobre 2026 et confiée au groupe de travail Sécurité, vise les opérations malveillantes persistantes au niveau de l’infrastructure : architecture de commande et de contrôle pour DDoS, diffusion systémique de logiciels malveillants, réseaux d’hébergement de phishing ou infrastructure de botnets de spam automatisé. Elle exclut les pools résidentiels et dynamiques et distingue l’infrastructure systémique d’un terminal isolé compromis. Le texte est en phase de discussion jusqu’au 11 novembre ; il ne constitue pas une règle adoptée. (Proposition 2026-02 ; propositions en cours)

Le dossier ne devrait pas partir d’une simple plainte ni d’une apparition unique sur une liste. Un opérateur de réseau affecté ou un CERT national ouvrirait un ticket auprès de RIPE NCC, accompagné de télémétrie automatisée issue d’une liste d’infrastructures approuvée et d’éléments horodatés ou signés attestant la durée. Le déclencheur proposé est une présence cumulée de 14 jours sur une période glissante de 30 jours dans un bloc alloué ou attribué par RIPE NCC. Le groupe Sécurité réexaminerait chaque année les classifications de menace et gérerait par consensus le registre des listes admises.

Celui-ci devrait reposer sur une télémétrie objective, conserver un historique public et exclure les pools résidentiels ou dynamiques.

Ce dispositif cherche à transformer un signal incertain en seuil administratif reproductible. Mais chaque conversion suppose un responsable et une règle. Comment comparer des télémétries recueillies sur des réseaux différents ? Comment calculer la durée lorsque les entrées sont retirées puis réinscrites ? Que signifie une activité « persistante » quand les observations sont lacunaires ? Les horodatages et l’historique public rendent le dossier traçable ; ils ne disent pas encore comment trancher des preuves contradictoires.

La notification est décrite avec davantage de précision. RIPE NCC enverrait un avis formel de remédiation, avec suivi de livraison électronique et accusé de lecture, aux contacts juridiques, administratifs et de facturation prévus par l’accord de service signé. Si plusieurs comptes LIR d’un même membre sont concernés, les contacts de chaque compte recevraient une copie. Le détenteur disposerait ensuite de sept jours ouvrés à partir de la livraison confirmée pour se conformer : les préfixes identifiés devraient quitter les listes approuvées, ou le détenteur devrait prendre une mesure administrative vérifiée pour les isoler.

Le délai ne commence donc pas nécessairement au premier signal. Son point de départ dépend de la confirmation de livraison aux contacts désignés. Pour l’opérateur, la tenue à jour de ces coordonnées et l’escalade interne deviennent des éléments de sécurité opérationnelle. Pour RIPE NCC, le dossier doit différencier un avis non livré d’un avis reçu mais sans réponse. Sans trace du délai appliqué, de son destinataire et des preuves retenues, une restriction serait difficile à auditer.

Le maillon le moins défini est ensuite celui des « restrictions administratives intermédiaires proportionnées », adaptées à l’architecture du registre du détenteur. La proposition prévoit un statut public de non-conformité dans la RIPE Database. Elle affirme vouloir préserver les attributions sous-jacentes et éviter la déconnexion immédiate des réseaux en aval voisins. Mais elle ne dresse pas elle-même la liste des restrictions possibles. Son exposé des motifs dit que l’efficacité opérationnelle suppose des mesures fortes et bien définies, approuvées par la communauté puis codifiées dans un document RIPE distinct.

Cette dépendance change la lecture du dispositif. Un seuil ne dit pas quelle fonction peut être restreinte, comment la mesure doit suivre les ressources concernées, ni comment protéger les clients voisins. « Proportionné » exprime un principe ; sans liste bornée de mesures et règle de sélection, ce n’est pas encore une décision reproductible. Il faut aussi distinguer ces mesures intermédiaires des procédures existantes de suspension, de radiation ou de résiliation. L’accord de service publié figure dans RIPE-732 ; RIPE-858 décrit la clôture d’un LIR et la radiation de ressources. La proposition ne dit pas qu’elle remplace l’un ou l’autre. (RIPE-732 ; RIPE-858)

La sortie est plus précise sur le papier. RIPE NCC devrait lever les restrictions et le statut public dans un délai d’un jour ouvré après avoir vérifié la conformité. Le test envisagé est binaire : retrait des listes approuvées ou, lorsqu’il est question de RPKI, suppression du ROA concerné. Le personnel n’aurait pas à évaluer le trafic pour décider de la restauration. Cette règle peut limiter les jugements subjectifs, mais elle rend la liste et le registre décisifs aux deux extrémités du processus. Une inscription périmée, une suppression contestée ou un ROA mal associé pourraient décaler l’état administratif et la réalité du réseau.

Le contraste avec la règle actuelle sur le contact abuse est instructif. RIPE-705 impose un attribut abuse-c et une validation au moins annuelle de la boîte aux lettres, avec suivi lorsqu’elle est jugée incorrecte. Il s’agit de vérifier un canal de contact ; cette règle ne crée ni le seuil de la proposition, ni ses restrictions, ni son mécanisme de rétablissement. (RIPE-705)

La discussion devrait donc éprouver le dossier dans son ensemble, pas seulement le seuil de 14 jours sur 30. Le détenteur devrait pouvoir consulter les observations, la version de la liste, le calcul, l’accusé de réception, les preuves de remédiation, la mesure retenue et la condition de levée. Il faut aussi une voie pour corriger une entrée erronée, résoudre les dossiers contradictoires et produire un reçu horodaté de restauration. Ces garanties ne préjugent pas de l’adoption. Elles rendraient la décision intelligible si elle l’était.

Le choix institutionnel ne se résume pas à demander si RIPE NCC doit réagir aux signaux d’abus. Il porte sur la traduction d’un signal défini collectivement en conséquences administratives liées au contrat, et sur les limites de cette traduction. Le déclencheur peut être précis alors que le remède reste discrétionnaire. La proposition 2026-02 met cette asymétrie au jour avant son adoption ; la discussion peut encore lui adjoindre un barème contrôlable et une sortie tout aussi vérifiable. Références procédurales : processus d’élaboration des politiques RIPE (RIPE-781) et archives officielles des annonces de propositions.