要約

  • Prop-172はIPアドレスを介した悪用の類型を定めるが、新しい報告、コンプライアンス、執行の仕組みは設けない。
  • 通知を受け、実際に対応できる資源保有者が第一段階の判断を行い、APNICには悪用を裁定する権限がないと明記されている。
  • 9月10日のAPNIC 62では、共通語彙と将来の調査・制裁権限を別々の決定として記録する必要がある。

一つのIPアドレスが示す事実は一つとは限らない。意図的な経路ハイジャックかもしれない。ホスティング顧客が設置したフィッシングページかもしれない。あるいは、発見後すぐに修正された設定ミスかもしれない。アドレスはインフラの手掛かりになるが、行為者、認識、対応能力、適用法、十分な証拠、妥当な救済を自動的には決めない。

Prop-172-v001の重要な境界はここにある。提案は8月10日に公開され、APNIC 62のOpen Policy Meetingで議論される。APNICポリシーに「IPアドレスを介したインターネット悪用」を導入するが、挿入先の文書と節は未定で、IRTオブジェクト条項は候補の一つにすぎない。APNICの会合案内も、新しい執行制度ではなく共通定義として説明している。

類型は判決ではない

第1版は、マルウェアやボットネットの指令基盤、DDoSの発信・増幅・反射、BGPハイジャックを含む意図的または重大な過失による経路悪用、番号資源の不正な取得・移転・再割り当て、フィッシングや詐欺、なりすましに使われる基盤を挙げる。

同時に除外も置く。善意の運用ミスが特定され、速やかに修正された場合は悪用としない。顧客、利用者、従業員による違法行為も、通知後に保有者が速やかに対応すれば自動的に保有者の悪用とはならない。一度の遅れや不完全な対応だけでは足りない。通知と措置の記録は推奨されるが義務ではない。

正当な根拠を持つ通報者から通知され、実際に対応できる場合、最初の判断は資源保有者にある。根拠のある通知を合理的に信頼して善意で対応しても、より広い監視義務が生まれたり、定義を超える責任を認めたりすることにはならない。

そして本文は、APNICには悪用を裁定する権限がないと明言する。この一文が他の表現の解釈を拘束すべきである。

「責任を問う」の射程

直後には、APNICが資源保有者に悪用への応答と対処を求める既存の責任を維持するとある。一方で、新しい義務、報告、遵守制度、執行権限は作らないともいう。

両者が両立するのは、APNICの役割を既存の登録・連絡先管理に限定し、通報内容の真偽を判断しない場合だけだ。第1版は保有者の初期判断が争われた後の決定者を示していない。「根拠のある通知」「速やか」「不応答のパターン」「実際の対応能力」の基準も、法域が衝突する場合の扱いも未定である。

提案者は、定義の欠如が執行をほぼ不可能にし、いわゆる防弾ホスティングの存続につながると主張する。他のRIRとの比較も提案者の説明であり、この凍結資料だけでは独立に検証されていない。APNIC事務局が8月26日に公表した影響評価は、レジストリへの直接的な影響は見込まれないとし、悪用の有無や対応の妥当性を判断することは現行のIRT連絡先検証を超えると指摘する。

共通語彙は、修正済みのミスと意図的行為を区別し、abuse窓口間の意思疎通を改善できる。しかし「これらに限らない」という文言、コンテンツに近い詐欺類型、法域依存の違法性は将来の解釈を広げ得る。現時点の越権を示すものではないが、今こそ境界を明記すべき理由になる。

情報源