要約

  • RIPE NCCは2019年10月以降、abuse-mailbox属性を年1回以上、自動的・技術的に検証している。検証は構文、DNS、メールサーバー設定を確認するが、メールを送信せず、人間の応答を検査しない。
  • 独立した非運営者の学術研究(USENIX Security 2016、ICIR/Li et al.; WEIS 2017、Cetin et al.)は、レジストリ/WHOISの滥用連絡先の85.9%〜92.8%が、アドレスが配達可能であっても返信を受けないことを測定した。
  • 実際に人間が報告を読むことを義務づけた唯一の強化案(2019-04)は、2020年9月8日、費用が便益を上回るという反対によりコンセンサスに至らず撤回された。既存の自動検査では92.5%のアドレスが合格していた。
  • 2025年のRIPE NCC年次記録は2,320件のabuse-c検証調査と86,959件のメールアドレス検証を示すが、期間中の会員閉鎖は未納金による172件が大部分で、無効なabuse-cを理由とする閉鎖は公に確認されていない。

制度の起源:検証なき義務

RIPE地域の滥用連絡先制度は、2012年のRIPE-563によって形づくられた。この方針はabuse-c属性を必須とし、roleオブジェクトに単一のabuse-mailbox属性の保持を求めたが、その情報の検証については何も定めなかった(https://www.ripe.net/publications/docs/ripe-563/)。つまり制度の設計時点で、記載されたアドレスが実際に機能するかどうかを確かめる仕組みは存在しなかった。

2018年の転換:配達可能性のみを検査する年次検証

方針提案2017-02は2018年6月1日に受諾され、2019年10月10日にRIPE-705として実装された。これはRIPE NCCにabuse-mailbox属性を少なくとも年1回検証することを義務づける。ただしその検証は自動的・技術的なものであり、構文、DNS、メールサーバー設定を確認する。メールを送信せず、滥用連絡先の側の対応も要求しない(https://www.ripe.net/community/policies/proposals/2017-02/)。

提案の影響分析は、RIPEデータベース内の約7万の個別abuse-mailbox属性のうち10〜25%が誤りまたは無活性かもしれないと見積もった。RIPE NCCは5年間で1,000件を超える外部からの誤り報告を調査・解決しながら、閉鎖・登録解除を一度も発動しなかった。これは最終手段と位置づけられ、発動にはさらに3か月の是正期間が設けられる(https://www.ripe.net/publications/docs/ripe-705/)。

実装の実績と限界

RIPE Labsに文書化された展開過程では、検証された約67,000の連絡先のうち約9,500(約14%)が更新された。症例の約60%は自動プロセスで解決され、約50の独立リソースがスポンサーシップを変更した。実装期間中に不協力を理由に会員を閉鎖した事例はなく、日常の検証は1日約10件の新しいチケットを生んでいる(https://labs.ripe.net/author/angela_dallara/abuse-c-validation-update-on-progress-and-some-numbers/)。展開中、自動検証の93%が合格したとRIPE 79で報告されている(https://ripe79.ripe.net/presentations/102-2017-02-Implementation-Summary_final.pdf)。

撤回された強化案:2019-04

提案2019-04は、abuse-mailboxが実際にメッセージを受信すること(自動でも手動でも)を要求し、報告者にウェブフォームの利用を強制することを禁止するものであった。しかし2020年9月8日、コンセンサスに達しないまま撤回された。提案者の申し立ては2020年10月26日に支持された。当時の記録では、既存の自動検査で92.5%のabuse-mailboxが合格しており、RIPE NCCは追加の作業量を現在の約10倍と見積もっていた(https://www.ripe.net/community/policies/proposals/2019-04/; https://www.ripe.net/community/policies/proposals/2019-04/; https://www.ripe.net/community/policies/archived-policy-proposals/)。

反対は費用論に基づいていた。Nick HilliardとErik Baisは労力と費用が便益を上回るとコメントし、審査期間中に支持のメッセージは一件も寄せられなかった(https://www.ripe.net/community/policies/proposals/2019-04/)。

独立測定が示す機能的空白

独立した非運営者の研究は、制度が測定していないものを測定している。USENIX Security 2016のICIR/Li et al.とWEIS 2017のCetin et al.は、レジストリ/WHOISの滥用連絡先の85.9%〜92.8%が、アドレスが配達可能であっても返信を受けないことを発見した(https://www.icir.org/vern/papers/sec16-vuln-notifications.pdf; https://mkorczynski.com/WEIS2017Cetin.pdf)。これは「人間が読んで対応する」というabuse-cの機能そのものが、現在の年次検証の対象外であることを示す。

RIPE NCC自身の公表ガイダンスは、運営者に滥用報告への返信を強制することはできないと明言し、苦情者は運営者のabuse-cメールボックスに誘導され、応答義務は運営者にあるとする(https://www.ripe.net/about-us/support/abuse/; https://www.ripe.net/manage-ips-and-asns/resource-management/abuse-c-information/)。

2025年の記録:発動しない最終手段

2025年のRIPE NCC年次記録は2,320件のabuse-c検証調査と86,959件の検証済みメールアドレスを示す。一方、期間中に文書化された会員閉鎖は未納金による172件が大部分であり、無効なabuse-cを理由とする閉鎖は一件もない。閉鎖・登録解除という最終手段が無効なabuse-cを理由に公に発動した記録は存在しない(https://www.ripe.net/about-us/press-centre/annual-reports; https://www.ripe.net/media/documents/ripe-855.pdf)。

会員閉鎖・登録解除手続を定めるRIPE-858は2026年5月7日に改訂され、執行通知をメールに移し、郵便による催告を廃した。これは強化というより、既に発動していない制裁の通知経路を狭める変更である(https://www.ripe.net/publications/docs/ripe-858/)。

証拠の境界

85.9%〜92.8%の範囲は方法の異なる二つの研究(2016年、2017年)の集計であり、「返信なし」の意味(人間の応答の欠如か、自動応答の欠如か)は研究ごとに異なる。また、展開中に更新された約14%の連絡先のうち、どれだけが人間による監視付きメールボックスになったか(単に構文上有効になっただけでなく)は、記録のどこにも測定されていない。