要約

  • AFRINICが2019年6月5日に行ったのは「AFPUB-2018-GEN-001-DRAFT03」の公表であり、この事実だけから合意、理事会による批准、実装、執行を導くことはできない。
  • Draft 3の核心は、登録されたabuse contactの到達性を検証することと、個別の乱用通報を実質的に処理・裁定することを分離した点にある。届くこと、受領を認めること、調査すること、是正すること、責任を判断することは別々の行為である。
  • 古い、または無人の連絡先は被害者や他ネットワークに探索・再送・引き継ぎの費用を負わせるため、定期的な到達性確認には正当な目的がある。ただし不達や遅延は、スパム判定、担当交代、障害、言語差、報告量などでも起こり、違法性や怠慢の証明にはならない。
  • AFRINICはモーリシャスで設立された私的な技術登録機関であり、記録、識別子の一意性、連絡可能性、相互運用性を調整できるが、主権的、規制的、警察的、懲罰的、没収的、または公法上の裁定権限を持たない。救済は連絡記録の欠陥に対応する範囲に限られるべきである。
  • 2021年のDraft 7と2026年2月4日のその批准は、同じ提案系列の後年の経過にすぎない。それらを2019年のDraft 3へ遡及させ、Draft 3が採択または運用されたかのように扱うことはできない。

2019年6月5日に起きたこと

2019年6月5日、AFRINICは「Abuse Contact Policy Update」系列の第三案、識別子AFPUB-2018-GEN-001-DRAFT03を公表した。提案者として示されたのはJordi Palet Martinezである。ここで最初に固定すべきなのは、制度上の動詞だ。確認できるのは「公表した」であって、「合意した」「批准した」「実装した」「会員に適用した」ではない。Draft 3に基づく検証が完了した具体的事例や、特定の会員が不利益を受けた事例も、この公表事実からは確認できない。

それでも、この第三案は軽い改稿ではなかった。問題の焦点を、乱用にどう対処したかという実質判断から、登録された連絡経路が使えるかという限定された検査へ戻そうとしたからだ。通報者にとっては、公開されたアドレスへ送った報告が担当部署まで届くことが重要である。ネットワーク運用者にとっては、第三者の主張が届いたという事実と、その主張が正しいという判断とを混同されないことが重要である。AFRINICにとっては、自らが整備する登録データの正確さを確かめる仕事と、登録簿の外で起きた行為を裁く仕事を分ける必要があった。

この区別は抽象論ではない。IPアドレスに関する乱用通報では、受信者と実際のサービス運用者が異なることがある。アドレス資源の登録上の保有主体、その顧客、ホスティング事業者、再販業者、現場のセキュリティ担当、ログを保有する部署は、一つの組織図の中でさえ一致しない場合がある。メールが届いたというだけでは、誰が対象サービスを制御していたかは分からない。受領通知が返っただけでは、申告された出来事が起きたとも分からない。反対に、即時の返信がなくても、内部でログ保全や顧客照会が進んでいるかもしれない。

したがって、Draft 3が分けた二つの仕事は、証拠の種類も、担当能力も、誤った判断の損害も違う。連絡先検証が問うのは「登録された経路に、認証された管理主体が到達できるか」である。乱用対応が問うのは「何が起きたか、誰が制御していたか、どの証拠を信頼できるか、どの是正が技術的・契約的・法的に適切か」である。前者は登録簿の品質管理に近い。後者は、技術調査、契約関係、管轄法、適正手続を必要とし、ときには裁判所、規制当局、または捜査機関の領域に入る。

Draft 2は何を残していたのか

Draft 3の意味を理解するために必要なのは、直前のDraft 2を狭く見ることだ。2018年11月20日に公表されたDraft 2では、abuse-cと、実際に管理されるabuse mailboxが登録データ上の義務として構想されていた。新規作成や更新時に加え、少なくとも六か月ごと、さらにAFRINICが必要と判断した時点で検証する設計だった。

Draft 2の規範部分は、最初の検証期間を最大15日、その後のエスカレーション期間も最大15日としていた。一方、同じ文書の例示には二営業日と三営業日という別の時計が残っていた。この15日＋15日と2日＋3日の不整合は、連絡先検査が単なる「届くか、届かないか」では済まず、期間の数え方、通知の受領、担当部署への引き継ぎ、休業日、言語、障害復旧をめぐる手続問題を伴うことを示す。

より重要なのは、Draft 2が、検証をくぐり抜けようとする行為が疑われる場合や、乱用事案に対する返答が不正確または存在しないと見なされる場合に、再検証、AFRINICによる仲介、関連手続の利用へ進み得る構造を持っていたことだ。ここでは連絡経路の状態と、通報処理の内容が接近していた。形式的に検証トークンへ反応するだけのアドレスでは意味がない、という問題意識は理解できる。しかし「返答が正しいか」を登録機関が評価し始めれば、到達性の検査はすぐに実体判断へ滑る。

2019年4月20日付のAFRINICスタッフ・法務評価は、その滑りが連絡先欄を超え得ることを明らかにしていた。提案されたアカウント制限によってMyAFRINICの機能が使えなくなり、投票にも影響する可能性があるとスタッフは説明した。法務助言は、連絡情報を更新しないことに対して投票権を失わせるのは不均衡だと評した一方、モーリシャス法上違法ではないとも述べた。ここで決定的なのは、違法かどうかだけではない。連絡先レコードの欠陥に対し、組織統治への参加まで失わせることが、欠陥と救済の対応関係を壊している点である。

Draft 3の区別は、まさにこの背景の後に現れた。第三案の意味をDraft 2の時計やアカウント制限そのものへ還元してはいけない。Draft 2は、なぜ境界が必要になったかを示す直前の基準線である。Draft 3の独自の出来事は、連絡先の検証と、乱用通報の実質的な扱いとを分けて示したことにある。第三案がDraft 2の各期間を維持したか変更したか、あるいは後の草案で見られる救済手順をすでに備えていたかについて、ここで推測を加えるべきではない。

六つの動詞を一つにしない

「abuse mailboxが機能する」という表現は便利だが、制度設計には粗すぎる。少なくとも六つの段階を分けなければならない。

第一は配信可能性である。メールサーバーが宛先を受け付け、恒久的なエラーを返さないことを確かめる。これは経路についての情報であり、組織の対応能力や通報の真偽についての情報ではない。

第二は認証された管理である。登録データを変更する権限を持つ主体が、その役割アドレスを管理しているかを確かめる。単に外部からメールが通るだけでなく、登録主体がチャレンジを確認できる状態を問う。しかし、トークンを返せることは、24時間体制の調査班を持つことと同じではない。

第三は受領確認である。通報が受付系へ入ったことを知らせる。自動返信でも達成できるが、自動返信は受領証であって是正の証明ではない。「受け取った」と「同意した」は違う。

第四はトリアージである。報告に、時刻、対象アドレス、プロトコル、観測内容、返信先など調査可能な情報があるかを見分け、適切な担当へ振り分ける。誤送信、重複、欠落、機械生成の大量報告を処理する段階でもある。

第五は是正である。ログを確認し、顧客へ照会し、侵害されたホストを隔離し、設定を直し、必要ならサービス上の措置を取る。これは運用者が保有する証拠と権限に依存する。登録機関がメール配信を試しただけでは、その是正が可能か、必要か、完了したかを知ることはできない。

第六は裁定である。申告された行為が実際に起きたか、誰に責任があるか、契約違反や違法行為に当たるか、どの救済・制裁が相当かを判断する。ここでは相手方の反論、証拠の真正性、管轄、比例性、不服申立てが問題になる。これは連絡先検証の延長ではない。

この六つを一つの「応答性」という指標に押し込めると、技術的に測れるものが制度上判断してよいものへすり替わる。配信成功は受領の弱い証拠になり得るが、是正の質を示さない。受領確認は担当への到達を示し得るが、申立てを認めたことにはならない。返信時間はサービス水準を考える一材料にはなるが、沈黙を有罪へ変える時計ではない。Draft 3の価値は、この一連の動詞を再び分離する入口を作った点にあった。

誰の利益が衝突していたのか

AFRINICの資源保有者と認証済み登録担当者には、公開連絡先を最新に保つ責任がある。ネットワーク運用者やabuse deskは、証拠を選別し、ログを保存し、実際の障害や不正利用を是正できる。通報者や被害を受けたネットワークは、責任ある担当へ迅速に到達できなければ、探索と再送を繰り返すことになる。下流顧客やサービス利用者は、実際の乱用が放置された場合にも、誤認や過大な制裁でネットワーク継続性を失った場合にも損害を受ける。

この構図には、単純な善悪の二分法がない。連絡不能な窓口を放置する運用は、他者へ費用を押しつける。だが、不完全な通報を基に資源保有者を即座に不誠実とみなす制度も、別の費用を生む。AFRINICスタッフと法務助言者がDraft 2の比例性問題を示したのは、登録データの修正という目的に対し、投票やアカウント機能まで波及する手段が重すぎる可能性があったからだ。

また、AFRINIC自身の説明は、何を公表し、どの提案系列を記録し、後にどの版を批准したかを知る一次資料になる。しかし、AFRINICが自らを地域のスチュワード、コミュニティの代表、権威ある機関と表現したとしても、それだけで公権力が生まれるわけではない。技術登録機関の役割は、制度の自己記述ではなく、実際に委ねられた機能と、その機能に必要な最小限の権限から測る必要がある。

後年の経過を2019年へ戻さない

同じ提案系列には後の版がある。AFRINICの記録は、Draft 7を2021年5月17日付の後続版として示し、そのDraft 7が2026年2月4日に批准されたとしている。この時間関係は重要だが、Draft 3の内容を膨らませる材料ではない。

2026年の批准が証明するのは、後続のDraft 7について後年に批准という出来事があったことだけである。2019年6月5日のDraft 3がその日に採択されたことも、現場へ導入されたことも、特定会員に執行されたことも証明しない。後の版に書かれた通知、再試行、治癒、非遵守、その他の救済手順を第三案へ移植することもできない。

公開資料の限界も明記しておく必要がある。Draft 3によって特定の会員がポータル機能、投票権、登録サービス、番号資源の継続性を失ったという事実は確認されていない。選択的な検証、悪意ある通報、具体的な停止、測定された金銭損失も確認されていない。以下で扱う運用・経済上の損害は、登録検証が実質判断へ越境した場合の作用経路であり、2019年に観測された被害の主張ではない。