요약

  • Prop-171은 등록된 어뷰즈 연락처에서 신고를 조사·해결할 수 있는 다운스트림 당사자에 이르는 신뢰할 수 있는 경로를 상위 홀더에게 책임지도록 만드는 제안으로, 신고 내용의 실체가 아니라 전달을 다룹니다.
  • Prop-172는 IP 주소를 통한 인터넷 어뷰즈의 범주를 정의하고 자원 홀더가 1차 판단하도록 하면서, APNIC은 어뷰즈를 판단할 수 없지만 홀더가 대응하고 해결하도록 책임을 지우는 기존 책임은 유지한다고 말합니다.
  • 8월 16일과 21일에 제출된 의견은 이미 관할 의존적 행위 정의의 사용, 누락된 범주, 법률·영향 분석의 부재를 문제 삼았습니다. 안전한 공통 계층은 연락처 정확성과 라우팅이며, 실질적 결과에는 명시된 결정자, 증거 기준, 시정 절차 및 심사가 필요합니다.

두 제안이 하나의 순서를 만들다

어뷰즈 신고가 방어 가능한 운영 결과를 만들기 위해서는 두 개의 관문을 통과해야 합니다. 관련 네트워크 사용을 조사할 수 있는 사람에게 도달해야 하고, 그다음 누군가 사실이 규칙에 부합하는지, 통지가 신뢰할 수 있는지, 대응이 충분한지를 판단해야 합니다.

APNIC의 정책 SIG는 이제 이 두 관문을 함께 논의하도록 요청받고 있습니다. 8월 9일 의장단은prop-171, 하위 할당 주소 공간의 어뷰즈 연락처에 대한 운영 책임성과prop-172, IP 주소를 통한 인터넷 어뷰즈 정의를 배포했습니다. 양쪽 모두 9월 10일 APNIC 62 오픈 정책 회의에 안건으로 올라 있습니다.

이 짝은 APNIC 자체 페이지를 넘어서도 드러납니다.독립 RIR 제안 색인은 양쪽을APNIC 62에서 논의 예정으로, 8월 10일 마지막 수정으로 나열합니다.TWNIC 공지는 뭄바이의 09:30–13:00 정책 SIG 세션 7개 제안에 이를 포함시키고, 8월 25일 현지 온라인 토론을 예정했습니다.

어느 제안도 채택된 정책이 아닙니다. 그러나 의제에서의 근접성은 각 문안만 따로 읽으면 놓치기 쉬운 설계 문제를 드러냅니다. Prop-171은 신고의 경로를 만들고, prop-172은 주장의 어휘를 제공합니다. 미해결 질문은 경로가 작동하지만 당사자들이 어휘에 대해 불일치할 때 무슨 일이 일어나는가입니다.

첫 번째 관문은 전달

Prop-171은 실용적 구분에서 시작합니다. 등록된 어뷰즈 연락처는 유효하고 도달 가능하면서도 운영상 쓸모없을 수 있습니다.

APNIC의 기존 IRT 검증은 특정 메일박스가 챌린지를 수신하는지 확인할 수 있습니다. 그러나 그 뒤의 사람이 특정 시점에 어떤 다운스트림 고객이 주소를 사용했는지 알고 있는지, 관련 로그에 접근할 수 있는지, 해당 행위를 완화할 권한이 있는지는 확인할 수 없습니다. 하위 할당 체인에서는 메시지가 상위 제공자, 중앙화된 그룹 메일박스 또는 해당 네트워크에서 여러 계층 떨어진 중개자에게 도달할 수 있습니다.

이 제안은 레지스트리 기록을 책임지는 상위 홀더에게 책임을 부여합니다. 그 홀더는 등록된 연락처에서 해당 주소 공간의 신고를 조사·해결할 수 있는 당사자에 이르는 신뢰할 수 있는 운영 경로를 보장해야 합니다. 다운스트림 데스크를 직접 등록할 수 있습니다. 상위 데스크가 신고를 분류·전달할 수 있습니다. 정당한 신고가 과도한 지연 없이 운영 책임 당사자에게 도달한다면 다른 방식도 인정될 수 있습니다.

이는 어뷰즈 주소가 존재해야 한다는 기존 관행보다 구체적입니다.RFC 2142는 1997년ABUSE@domain을 표준 메일박스 이름으로 만들었습니다. 메일박스 이름은 탐색 비용을 줄입니다. Prop-171은 다음 비용, 즉 공개 주소와 내부 운영 체계 사이의 막다른 길을 줄이려 합니다.

문안은 일부 한계도 신중히 다룹니다. 모든 다운스트림 고객 연락처의 공개를 요구하지 않으며, 새로운 감사·컴플라이언스 메커니즘을 만들지 않고 하나의 운영 모델을 강제하지도 않는다고 명시합니다. 사무국 가이던스가 다양한 계층에서 이 원칙이 어떻게 적용되는지 설명할 것입니다.

이 한계들이 중요한 이유는 제안이 여전히 부담스러운 용어를 사용하기 때문입니다. 어떤 신고가정당한(legitimate)것인가? 얼마나 지연해야과도한(undue)것인가? 무엇이신뢰할 수 있는(reliable)경로를 보여주는가? 이 질문들은 운영적으로 — 접수 확인, 티켓 라우팅, 에스컬레이션 기록, 시간 한정 테스트 — 답할 수도 있고, 실질적으로 주장을 판단함으로써 답할 수도 있습니다. 첫 방식은 전달을 검증합니다. 둘째 방식은 조용히 다음 관문으로 넘어갑니다.

두 번째 관문은 분류

Prop-172는 현재 연락처 규칙이 피해온 것을 다룹니다. IP 주소를 통한 인터넷 어뷰즈의 정의입니다.

초안에는 악성코드 배포 또는 호스팅, DDoS 트래픽 발생·증폭·반사, 고의적 또는 중과실 라우팅 계층 어뷰즈, 피규정 행위를 조장하기 위한 주소 자원의 사기적 취득·이전·하위 할당, 피싱·사기·스캠·사칭에 사용되는 인프라가 포함됩니다. 신속히 바로잡는 선의의 실수, 그중 무심한 라우팅 설정 오류는 제외됩니다. 통지 후 신속히 대응하는 홀더에 대한 제3자 불법 행위도 제외됩니다.

이 제안은 자신의 적용 범위를 좁게 유지하려 합니다. 새로운 의무, 신고 요건 또는 컴플라이언스 메커니즘을 만들지 않는다고 명시합니다. 신고자가 정당한 근거를 갖고 홀더가 실무적 능력을 갖추었을 때 1차 판단은 자원 홀더에게 맡깁니다. 고립된 지연이나 불완전한 대응 자체는 어뷰즈가 아닙니다. 입증된 통지에 대한 선의의 의존에는 세이프 하버가 제공됩니다.

그다음 문안은 가장 어려운 문장에 도달합니다. APNIC은 어뷰즈를 판단할 권한이 없다는 것입니다. 다음 호흡에 APNIC은 홀더가 어뷰즈에 대응하고 해결하도록 책임지는 기존 책임을 유지한다고 말합니다.

이 두 진술은책임(accountable)에 경계된 의미를 부여할 때만 공존할 수 있습니다. APNIC은 등록된 경로가 작동하는지, 홀더가 접수를 확인하는지, 기록이 정확한지 확인할 수 있습니다. 그러나 주장, 증거, 홀더의 실무적 능력, 대응, 관할 법률에 대해 무언가를 결정하지 않고서는 홀더가 어뷰즈 해결에 실패했다고 판단할 수 없습니다. 레지스트리가 결코 질문을 판단하지 않는다고 주장하면서 답변을 심사할 수는 없습니다.

세 가지 결정이 무주공산

이 간극은 초안이 만들지 않은 재판소를 발명하지 않고도 기술할 수 있습니다.

첫 번째 결정은 통지에 관한 것입니다. 신고자가 정당한 근거를 갖고 통지가 입증되었다고 누가 결정하는가? 보안팀은 근본 행위를 판단하지 않고도 불완전한 티켓, 경쟁자의 괴롭힘, 미인증 불만을 거부할 수 있습니다. 그러나 티켓 거부가 나중에 홀더에 불리하게 작용한다면 통지의 유효성에는 증거 기준이 필요합니다.

두 번째는 분류입니다. Prop-172는 홀더에게 첫 답을 줍니다. 이는 운영상 타당합니다. 홀더나 그 고객이 로그와 맥락을 가질 가능성이 더 큽니다. 그러나 구조적으로 불완전합니다. 대응 실패로 지목된 당사자가, 정책이 어떤 결과와 연결되는 순간 자신의 결정의 최종 심사자일 수는 없습니다.

세 번째는 심사와 구제입니다. APNIC이 판단할 수 없다면 쟁송된 사건은 누가 결정하는가? 국가 법원은 공법을 적용할 수 있지만, 아시아·태평양의 네트워크, 신고자, 고객, 인프라는 여러 관할에 걸칠 수 있습니다. 계약은 상위·하위 네트워크 간 책임을 배분할 수 있지만 제3자에 대한 공적 권한을 만들 수 없습니다. 사무국 가이던스는 티켓 흐름을 설명할 수 있지만 가이던스가 승인되지 않은 실질적 규범이 되어서는 안 됩니다.

따라서 빠져 있는 항목은 구체적입니다. 결정자, 증거 기준, 관할 규칙, 대응 테스트, 시정 기간, 비례적 구제, 항소 또는 독립 심사. Prop-172는 향후 제안이 의무를 다룰 수 있다고 말합니다. 그 순서는 유지되어야 합니다. 정의가 자체 정책 논쟁을 거치기 전에 구현 가이던스를 통해 집행 효과를 얻어서는 안 됩니다.

메일링 리스트는 곧 단층선을 찾았다

초기 의견들은 어뷰즈 대응에 대한 확립된 반대를 보여주지 않습니다. 기술적 서술이 끝나고 법적 판단이 시작되는 지점에 대한 불일치를 보여줍니다.

8월 16일 Jonathan Brewer는prop-172를 지지하면서unlawful(불법)의 삭제를 요청했습니다. 법은 관할에 따라 달라지기 때문입니다. 그는 위해 시도를 포함하고 스캐닝·프로빙·침입을 추가할 것을 제안했습니다. Terry Sweetser는같은 관할 우려를 제기하며 범위 확대를 경고하고, 서명된 ROA 없이 자신의 프리픽스를 광고하는 행위가 정의에 끌어들여질 수 있는지 물었습니다. 그는RFC 4732를 인용했는데, 그 문서 자체도 충분히 미묘한 DoS 공격은 원리상 플래시 크라우드와 구별될 수 없을 수 있다고 적고 있습니다.

8월 21일 Jordi Palet는 양쪽 제안에 대해 의견을 냈습니다. prop-171에 대해서는사무국 영향 분석을 요청하며, 다운스트림 메일박스가 실패했을 때 상위 홀더가 이미 책임져야 한다면 이 문안이 무엇을 추가하는지 의문을 제기했습니다. 7분 뒤그의 prop-172 의견은 정의가 호주 또는 다른 국가 법원에서 작동할지 물었고, 법률 분석을 요청하며 스팸, 스캐닝, 침입 시도가 누락되었다고 지목했습니다.

이 의견들은 예시 목록만으로는 정책이 완성되지 않는 이유도 보여줍니다. 스캐닝을 추가하면 연구를 위한 동의 규칙이 필요합니다.unlawful을 추가하면 관할 규칙이 필요합니다. 포괄 조항을 추가하면 정의의 예측 가능성이 떨어집니다. 쟁송되는 모든 범주를 제거하면 그 정의가 원래 도와야 할 어뷰즈 데스크에 도움이 되지 않을 수 있습니다.

얇은 규칙은 여전히 가치 있다

선택지는 어뷰즈를 무시하는 것과 APNIC을 어뷰즈 법원으로 만드는 것 사이가 아닙니다.

좁은 레지스트리 계층은 유용한 일을 할 수 있습니다. 정확한 역할 연락처를 요구하고, 객관적 도달성을 테스트하고, 검증 상태를 표시하고, 연락처를 올바른 자원 기록에 매핑하고, 홀더가 하위 할당이 자신의 책임 데스크에 어떻게 도달하는지 기록하게 할 수 있습니다. 오래된 데이터에 시정 기간을 주고 공개 연락처 필드를 기밀 고객 기록과 구분할 수 있습니다. 이런 행위는 대장을 개선하고 신고를 전달 가능하게 만듭니다.

Lu Heng의Policy Mirror는 이를 얇은 규칙이라 부릅니다. 두꺼운 규칙은 연락처 검증이 대응의 실질, 속도, 충분성 또는 법적 적절성을 판단하는 데 사용될 때, 특히 레지스트리 서비스나 홀더의 인정된 통제가 영향을 받을 수 있을 때 시작됩니다. 그 공식화에서 레지스트리는 건물 안에서 무슨 일이 일어나는지 단속하는 것이 아니라 문을 게시해야 합니다.

APNIC에 대한NRS 해설도 같은 권한 구분을 더 단순한 운영 용어로 만듭니다. Whois 결과의 APNIC 표기는 위임 체인을 식별할 뿐, APNIC이 어뷰즈 트래픽을 발생시켰다는 뜻이 아니며 APNIC은 이를 막을 권한이 없습니다.

Prop-171은신뢰할 수 있는 경로가 선호하는 결과에 도달할 의무가 아니라 검증 가능한 티켓 라우팅으로 구현된다면 이 얇은 계층에 가까이 머물 수 있습니다. Prop-172는 이후의 결과가대응(respond),해결(address),책임(accountable)의 의미에 몰래 들어오지 않는 한 어휘 작업으로만 남을 수 있습니다.

9월 회의가 분리해야 할 것

9월 10일 토론은 모든 형태의 온라인 피해를 해결할 필요가 없습니다. 각 제안이 어떤 질문에 답할 역량이 있는지를 결정하면 됩니다.

Prop-171의 유용한 테스트는 운영적입니다. 공개 연락처로 보낸 신고가 접수 확인을 받고, 추적 가능한 티켓을 얻고, 관련 로그와 권한을 가진 당사자에게 도달하는가? 사무국 영향 분석은 최상위 홀더가 모든 사건을 직접 처리한다고 가정하지 않고 NIR, 상위 제공자, 리셀러, 호스팅사, 고객 네트워크에 걸친 비용을 식별해야 합니다.

Prop-172의 첫 테스트는 분류학 이전에 헌법적입니다. APNIC이 공통 어휘를 만들고 있는가, 기존 의무를 해석하고 있는가, 미래 제재의 근거를 준비하고 있는가? 홀더의 1차 결정은 누가 심사하는가?불법(unlawful)행위에 어떤 법체계가 적용되는가? 연구용 스캐닝, 실수, 쟁송된 라우팅 사건, 불완전한 증거는 어떻게 다루어지는가? 번호 레지스트리의 역량 밖에 남는 부분은 무엇인가?

즉각적인 소식은 이 질문들이 이제 살아 있다는 것이지, 답이 정해졌다는 것이 아닙니다. 두 제안은 유용하게 신고의 경로와 의미를 분리했습니다. APNIC 62는 그 분리를 지켜야 합니다. 메일박스는 테스트할 수 있습니다. 전달 경로는 감사할 수 있습니다. 쟁송된 판정에는 연락처 기록이 제공할 수 없는 권한과 정당 절차가 필요합니다.

출처