Un précédent article de blog, Six semaines au sein du département de la conformité contractuelle et de la protection des consommateurs., a informé la communauté de l'ICANN des trois initiatives du département de la conformité contractuelle. L'article de blog d'aujourd'hui est une mise à jour de deux de ces initiatives : accroître la transparence autour des activités de conformité et l'utilisation malveillante de l'infrastructure du DNS (système des noms de domaine).
Beaucoup d'entre vous ont peut-être déjà vu les récentes améliorations relatives à la transparence. Le tableau de bord mensuel du département de la conformité contractuelle inclut désormais davantage d'informations concernant la gestion de plaintes suite au signalement d'utilisations malveillantes du DNS en lien avec le bureau d'enregistrement, dont les rapports qui concernent spam, hameçonnage, devoiement, logiciel malveillant et réseau zombie. Il comporte également des informations sur la contrefaçon, les pratiques pharmaceutiques frauduleuses et trompeuses, l'atteinte aux droits d'auteur ou aux marques déposées et le point de contact du bureau d'enregistrement pour signaler des cas d'abus.
La seconde initiative, traiter les cas d'utilisation malveillante de l'infrastructure du DNS, a lieu alors qu'une grande partie de la communauté a fait part de ses inquiétudes concernant la prévalence de ces malveillances et qu'elle s'est interrogé sur la volonté et la capacité de l'organisation de l'ICANN et des parties contractantes à y répondre. Par exemple, le rapport final de l'équipe de révision de la concurrence, la confiance et le choix du consommateur comprend un long chapitre sur les cas d'utilisation malveillante de l'infrastructure du DNS et plusieurs recommandations connexes. Le Comité consultatif gouvernemental (GAC) a également fait part d'inquiétudes concernant l'utilisation malveillante de l'infrastructure du DNS dans le Communiqué de Copenhague, et ailleurs.
Au sein de la conformité contractuelle, nous menons des audits axés sur le thème de l'utilisation malveillante du DNS. Nous avons élargi la portée des questions et des tests au sein de nos audits des bureaux d'enregistrement et des registres, ciblant les processus, procédures et traitant la question de l'utilisation malveillante du DNS. La version révisée des tests d'audits est axée sur l'examen des signalements de menaces de la sécurité afin de vérifier la complétude et de les comparer aux rapports publics disponibles.
L'ICANN avait inclus la question élargie des audits à l'audit sur les registres de mars 2018 mené sur 20 domaines génériques de premier niveau (gTLD). Avec cet audit, nous avons identifié les mesures prises par les registres et bureaux d'enregistrement pour répondre au problème de l'utilisation malveillante du DNS. Il s'agit de mener régulièrement des analyses de la menace sur la sécurité et de conserver les rapports pour des besoins futurs. Ces rapports ont identifié des domaines victimes de malveillance qui avaient également été identifiés au sein de rapports publics disponibles (p.ex., MalwarePatrol, PhishTank, Spamhaus and SURBL) et qui comportaient des preuves des mesures prises contre les malveillances de noms de domaine. L'audit a également montré qu'il y avait des analyses ainsi que des rapports sur la sécurité incomplets pour 13 domaines de premier niveau (TLD), ainsi qu'un manque de procédures de gestion normalisées et documentées et aucune mesure prise contre les menaces identifiées. Ces 13 nouveaux gTLD seront à nouveau testés lors de la prochaine série.
Cette semaine, l'ICANN a lancé un audit sur les cas d'utilisation malveillante du DNS pour près de 1 200 gTLD, et a organisé deux séminaires Web avec les registres pour répondre aux questions et inquiétudes. Certaines de ces inquiétudes ont également été soulevées dans un récent e-mail du Groupe des représentants des opérateurs de registres (RySG) et traitées par le département de la conformité contractuelle. Pour la première fois, et pour aider à préparer le prochain audit, nous avons envoyé aux personnes auditées la liste complète des gTLD inclus dans l'audit, ainsi qu'une liste pro-forma de questions et demandes de données qui seront comprises dans la série d'audit des registres de novembre 2018. Autre première, l'ICANN rend ces informations publiques sur ICANN.org afin d'accroître la transparence.
L'objectif de l'ICANN est d'assurer la stabilité et la sécurité du DNS. Conformément à notre mission, le département de la conformité contractuelle de l'ICANN s'occupe désormais de la question de l'utilisation malveillante du DNS en menant des audits de registres et bureaux d'enregistrement. L'objectif de ces audits est de garantir que les parties contractantes respectent leurs obligations contractuelles en matière d'utilisation malveillante du DNS et de menaces sur la sécurité. Après la réalisation des audits, le département de la conformité contractuelle de l'ICANN publiera nos conclusions et observations, ainsi que des exemples de stratégies et processus visant à réduire les cas d'utilisation malveillante du DNS.
Si vous avez des questions en lien avec les audits, veuillez contacter le département de la conformité contractuelle de l'ICANN à complianceaudit@icann.org.
