要約

  • Carlos Gañánは、ひとつのDNS悪用率に押し込められがちな二つの問いを分けた。月内に悪意ある登録が一件でも起きたか、起きた後にどこまで増えたか、である。
  • RIPE 93の発表ではCategory 1 gTLDは発生頻度で悪い値、発生後の規模で小さい値を示した。二つを合わせた推計は、gTLD月あたりの悪意ある登録ドメインが37％少ないという結果だった。

分析

一つの率では次の段階が見えない

月間の悪用率だけを見ると、制度が成功したか失敗したかを決めたくなる。だが、最初の悪意ある登録の後に何が起きたかは消えてしまう。ICANNのSecurity, Stability and Resiliency Researchに所属する主任研究員のCarlos Gañánは、RIPE 93でCategory 1のセーフガードを二段階に分けた。悪用は現れるのか。現れた後、どれだけ広がるのか。

発表された数字は割れている。Category 1 gTLDが月内に少なくとも一件の悪意ある登録ドメインを記録するモデル上の確率は、他の新gTLDより3.1ポイント高かった。一方、悪用が起きた場合の予測規模は38％小さい。両方を組み合わせたモデルでは、gTLD月あたりの悪意ある登録ドメイン総数は37％少なかった。

これは矛盾ではない。少なくとも一件が見つかる月が増えても、その月のキャンペーンが小さければ、総量は下がりうる。単一の率は「入口」と「拡大」をひとまとめにしてしまう。

1,106の新gTLDを月単位で追う

研究は2023年から2025年まで、1,106の新gTLDを月ごとに追跡した。Gañánによれば、モデルでは名前空間の規模、レジストリの構造、各月に共通する条件を考慮した。対象は研究で定義したDNS Abuseに該当する悪意ある登録ドメインで、侵害されたドメインとccTLDは対象外だった。これらのセーフガードが管理する対象ではないためだ。

Category 1には二つの登録モデルがある。Gañánは自己申告を中心とする開かれたLevel 3と、より制限の強いLevel 8を比較した。ICANNが2014年に採択した枠組みでは、開放型の文字列に保障措置1〜3、高度規制の閉鎖型には1〜8が適用される。第6項は登録契約に、登録者が必要な許認可や資格を持つとの表明を含める。第7項は、苦情が資格の真正性に疑義を示した場合にレジストリ運営者が関係当局へ照会するよう求め、第8項は資格の有効性に関わる重大な変更の報告を求める。発表はLevel 8の発生率、条件付き規模、総量がLevel 3より低いと報告した。

結果は年と悪用の種類でも変わった。フィッシングでは差が最も明確で、マルウェアでは小さく、ボットネットの指令・制御ドメインでは観測数が少なく統計的に有意な効果が出なかった。研究は資格確認、登録拒否、苦情対応と停止時間を結果に結びつけていない。これらを連結したレジストリ記録があれば、差が登録審査と事後対応のどちらから生じたかを判別できる。

三つの推定値は並べて読む必要がある。月間発生確率は3.1ポイント高く、発生後の予測規模は38％小さく、gTLD月あたりの悪意ある登録ドメインは37％少ない。発生と拡大を分ければ、単一の悪用率が隠す段階が見えてくる。

出典

RIPE 93の発表ページと概要；公式プレナリー文字起こし；ICANN Category 1セーフガード；ICANNが2014年に採択した実施枠組み；ICANNのCarlos Hernandez Ganan紹介; RIPE 93の登壇者写真)。