Кратко

  • Рабочая группа ICANN предлагает обязать регистратора проверять связанные домены, если у него есть достаточные для принятия мер доказательства использования спонсируемого им имени для определённого вида злоупотреблений DNS. Речь идёт о расследовании, а не об автоматическом наказании всех связанных доменов.
  • 42 публичных комментария дали 533 классифицированных ответа; около 85% поддерживали те или иные положения из 13 рекомендаций и инструкций. Эти ответы станут материалом следующего этапа, но не являются ни окончательным правилом, ни голосованием всех владельцев доменов и пользователей Интернета.

От проверки одного имени к проверке портфеля

Действующее Соглашение об аккредитации регистраторов уже обязывает регистратора действовать, если у него есть достаточные доказательства использования спонсируемого им домена для злоупотреблений DNS. Мера должна быть своевременной и подходящей, с учётом ущерба и возможных побочных последствий. Уведомление ICANN о соблюдении обязательств по DNS-злоупотреблениям за 2024 год разъясняет эту обязанность. Глобальная поправка к соглашению относит к злоупотреблениям DNS вредоносное ПО, ботнеты, фишинг, фарминг и спам, если он служит каналом распространения одной из этих форм.

Сегодня обязанность относится к имени, по которому имеются доказательства. Но кампания может использовать целый портфель: сообщают об одном домене, а другие имена того же предполагаемого субъекта остаются без проверки. Первичный доклад рабочей группы GNSO от 18 августа предлагает механизм Associated Domain Checks (ADC), чтобы закрыть этот пробел. Если у регистратора есть достаточные доказательства злоупотребления через спонсируемый им домен, он должен будет выяснить, используются ли связанные имена в его собственном портфеле таким же образом.

Проверка и санкция — разные действия. Связь указывает, где искать дальше, но не устанавливает, чем занимается следующий домен. Проект требует разумного расследования того, используются ли связанные имена для злоупотреблений. Он не предписывает приостанавливать домен только потому, что тот делит аккаунт, данные владельца, сервер имён или реселлера с доменом, ставшим поводом для проверки. Нет и требования искать связи у других регистраторов либо создавать централизованную базу всех доменов каждого владельца.

Пока это предложение, а не действующая обязанность регистраторов. На странице публичных консультаций ICANN опубликован сводный отчёт от 9 октября. В нём указано, что рабочая группа ещё не приняла изменений по итогам комментариев и планирует начать их рассмотрение на ICANN87 в Бали. Затем группе предстоит подготовить итоговый доклад для Совета GNSO; если Совет одобрит рекомендации, Совет директоров ICANN рассмотрит возможность принять их в качестве консенсусной политики. Описание процесса разработки политики показывает, что это отдельные этапы.

Связь — гипотеза, которую нужно проверить

В проекте нет единого теста на тождество владельца. Среди возможных индикаторов названы сведения о владельце домена или аккаунте, технические и координированные действия, шаблоны регистрации, серверы имён и информация, разумно доступная регистратору. Доклад признаёт, что подходящие признаки зависят от обстоятельств и что ни один отдельный показатель не доказывает связь во всех случаях. Масштаб расследования должен быть практичным и соразмерным доказательствам и предполагаемому масштабу злоупотребления.

Такая гибкость отражает операционную проблему. Некоторые кампании скоординированы и используют много доменов; независимые клиенты тоже могут пользоваться общим хостингом, сервисом конфиденциальности, реселлером или инфраструктурой. Общий признак может помочь начать поиск, но он же может быть обычным для добросовестных пользователей. Совпадение аккаунта при регистрации двух доменов само по себе не показывает, что оба используются во вредоносных целях.

Для начала проверки нужно больше, чем обвинение. Предварительная рекомендация 1 опирается на достаточные доказательства из действующего соглашения и исключает скомпрометированные домены из числа триггеров ADC. Доклад различает имя, зарегистрированное для злоупотребления, и домен, изначально использовавшийся законно, но позднее захваченный или эксплуатируемый без ведома либо согласия владельца. Руководство допускает текущие, недавние, периодические или повторяющиеся доказательства; если активность наблюдается не постоянно, сообщение должно подтверждать описываемую закономерность.

Цель — не пропускать убедительные кампании и не запускать широкое расследование из-за спекулятивного сигнала.

Рекомендации 2–4 оставляют следующий шаг именно расследованием. Регистратор проверяет сведения, разумно доступные ему в обычной работе: договорную информацию, технические системы и сообщения об abuse. Он не обязан в каждом случае изучать все категории данных или создавать сведения, которыми обычно не располагает. Разумная проверка также не означает рутинного просмотра всего портфеля. Более широкий поиск может быть оправдан, если признаки указывают на крупную кампанию, но объём проверки должен следовать за доказательствами.

Последовательность важна, потому что связь и злоупотребление — разные выводы. Совпадение аккаунта может стать основанием выяснить, контролирует ли одно лицо оба домена. Оно не доказывает, что второй домен используется для фишинга, вредоносного ПО, фарминга, ботнета или рассылки спама. Проверка имеет смысл только тогда, когда каждый связанный домен отдельно оценивается по определению злоупотребления, а не только по наличию общего поля.

Регистратор сохраняет ответственность в цепочке реселлеров

Проект возлагает обязанность на портфель доменов, спонсируемых регистратором. Он может поручить реселлеру часть проверки с использованием информации, доступной реселлеру, но сам остаётся ответственным за договорные обязательства. Так сохраняется понятная точка ответственности перед ICANN, хотя работа может выполняться там, где находятся нужные сведения о клиенте.

Комментарий Registrar Stakeholder Group в целом поддерживает проект, но предлагает уточнить формулировки. Группа считает, что результат нужно оценивать по изменениям ландшафта угроз DNS-злоупотреблений, а не по числу проверок, приостановленных доменов или дел о соблюдении правил. Это важное различие: активность процесса не равна его эффекту.

Комментарий Openprovider поддерживает единый минимум на основе доказательств, но указывает на операционное несоответствие. В оптовых моделях регистратор может хранить регистрационные и технические данные, а реселлер — вести отношения с конечным клиентом и структуру аккаунта. В результате регистратор отвечает за процесс, хотя полезные сведения могут находиться у другой компании. Openprovider также спрашивает, как долго актуальны исторические доказательства и кто должен решать, был ли домен скомпрометирован или изначально зарегистрирован для злоупотребления. Общий процент поддержки не отвечает на эти вопросы.

Правило ответственности работает, только если полномочия совпадают с возможностями. Регистратор не сможет подтвердить соразмерность проверки, если от него молча ожидают доступа к данным, которые он не может получить по закону или договору. Но передача работы реселлеру также не освобождает его от ответственности. Итоговое правило должно определить минимальный объём данных, который регистратор может разумно получить, допустимые функции реселлера и случаи, когда отсутствие данных ограничивает расследование, но не доказывает вину.

Защитные меры должны выдержать исполнение

Проект включает ряд ограничений: соблюдение применимого права и договоров, пропорциональность и минимизацию данных, осторожность в отношении ложных связей из-за сервисов конфиденциальности, реселлеров или общей инфраструктуры, а также учёт возможного воздействия на владельца домена. Через два года предлагается проверить, создала ли политика единый минимум, можно ли оценить соблюдение требований и помогают ли проверки выявлять и нарушать кампании.

Предусмотрены и обычные рабочие записи: что послужило триггером, когда началась проверка, какие сведения рассматривались, сколько связанных доменов обнаружено, какие действия последовали и почему объём был соразмерным. Единого формата записей или крупной новой системы данных проект не требует. Регистратор должен хранить описание внутренней процедуры и предоставлять его ICANN по запросу. Такие записи дают основу для аудита лишь в том случае, если отделяют индикатор связи от вывода о злоупотреблении.

На кону реальные услуги. Домен может обслуживать почту, аккаунты клиентов, публичную информацию или иную легитимную деятельность, даже если его часть скомпрометирована или используется во вред. Уведомление ICANN 2024 года предупреждает, что блокировка домена способна нарушить работу законного контента и связанных сервисов. Предлагаемая ADC добавляет обязанность расследовать, но не заменяет действующее требование выбирать меру для конкретного домена с учётом возможного побочного ущерба.

Если совпадение в портфеле считать достаточным основанием для блокировки, ограниченная проверка превратится в более широкую санкцию, которой доклад не предлагает.

Оценка результатов остаётся нерешённым вопросом. Проект предусматривает обзор через два года и допускает агрегированные данные от отдела контрактного соответствия ICANN, технического офиса и регистраторов. В нём также признаётся, что злоупотребления меняются, а общую динамику сложно приписать одной политике. Число проверок или уведомлений покажет, что процедура применялась; оно не докажет, что кампании были остановлены, законные владельцы не пострадали или злоумышленники не сменили регистратора и тактику.

Что означает 85 процентов — и чего это не решает

В сводном отчёте ICANN указаны 42 публичных комментария. 41 из них содержал классифицированные ответы по восьми предварительным рекомендациям и пяти инструкциям — всего 533 ответа. Около 85% поддерживали текст или его намерение с изменениями формулировок; 3% требовали существенной переработки; ни один ответ не выбрал вариант «не поддерживаю / удалить»; 12% попали в категорию «прочее». Поддержка отдельных положений составляла примерно 78–90%.

Эти цифры важны: они показывают широкую поддержку среди участников и дают рабочей группе содержательную запись для рассмотрения. Однако 533 — это число ответов на отдельные положения, а не 533 разных человека; сам отчёт говорит, что категории не отражают всего содержания. Двадцать шесть участников добавили замечания вне структурированной формы, а сторонники предложили изменения по охвату, гарантиям, роли реселлеров, документации и оценке. Комментарии влияют на решение, но не заменяют его.

Это институциональное различие не обесценивает участие. Рабочая группа GNSO вправе выработать рекомендацию в пределах своего мандата. Участники комментариев могут проверять предпосылки, показывать неучтённые последствия и предлагать формулировки. Совет GNSO и Совет директоров принимают решения на следующих этапах опубликованной процедуры. Разделение участия и утверждения назначает каждой стадии свою функцию, а не делает общественные отзывы бесполезными. В данном случае отчёт прямо указывает, что на момент публикации никаких изменений по комментариям ещё не приняли.

Следующая версия должна ответить на поднятые вопросы. Основана ли связь на значимых для кампании признаках или на удобном для поиска совпадении? Проверяется ли каждый исследуемый домен на предмет злоупотребления отдельно? Может ли регистратор объяснить, что он изучал и почему объём проверки был соразмерным? Сохраняет ли передача части работы реселлеру и доступ к сведениям, и понятную ответственность? Позволит ли последующая оценка различить эффективное пресечение, количество процедур и побочный вред?

Сильная сторона предложения — не идея «проверять все имена, связанные с доменом из жалобы». Это ограниченное усиление проверки: доказательства злоупотребления одной спонсируемой доменой могут оправдать соразмерное изучение других имён, связанных с той же активностью, однако каждый последующий вывод всё равно требует отдельной опоры. Если итоговая политика сохранит эту границу, она позволит бороться с портфельными кампаниями, не превращая слабую связь в наследуемую вину. Если нет, гибкость, призванная находить кампании, затруднит ответ на вопрос, когда зацепка стала приговором.