ICANN בודקת כניסה בודדת לבקשות נתוני WHOIS של כוחות אכיפת החוק

כוחות אכיפת החוק ונתוני WHOIS מוסתרים

רשמי דומיינים אוספים מידע על הלקוחות שלהם, ובעבר המידע הזה היה זמין לציבור ברשומות WHOIS. חלק מרשמי הדומיינים מציעים שירותים שמחליפים את פרטי הקשר שלהם, כדי לשמור על פרטיות הלקוחות. בשנים האחרונות, חוקים כמו GDPR אומרים שרשמים נדרשים לפעמים להסתיר נתוני WHOIS.

זה מקשה על כוחות אכיפת החוק ליצור קשר עם בעל דומיין אם המשאבים שלהם נמסרים לשימוש לרעה, בכוונה או בדרך אחרת, למטרות כמו אירוח תוכנות זדוניות, פעילות כתשתית פיקוד ושליטה לתוכנות זדוניות, או הקלה על פישינג. ההגדרה של ICANN לסוג ההתנהגות שלדעתו מצדיקה בקשות דחופות למידע WHOIS היא איום קרוב על חיים, פציעה גופנית חמורה, תשתית קריטית, או ניצול ילדים. הארגון כינס Input Group למנגנוני אימות של סוכנויות אכיפת חוק כדי לשקול את הסוגיה, והקבוצה הסבירה את ההתקדמות שלה במהלך הכנס השנתי של ICANN בבאלי, אינדונזיה.

כניסה בודדת דרך RDRS

הגישה המועדפת על ICANN היא להשתמש ב-Security Assertion Markup Language (SAML) כדי שמשתמשים מאומתים בסוכנויות אכיפת חוק יוכלו להיכנס לשירות Registration Data Request Service (RDRS) של ארגון הניהול ולהגיש בקשות לגישה למידע WHOIS לא ציבורי. ICANN כבר בודקת את הגישה הזו עם ה-FBI ואינטרפול, אך פתוחה למנגנוני אימות אחרים כדי לאפשר לסוכנויות אחרות גישה ל-RDRS. מטרת Input Group היא לפרסם מפרט שסוכנויות אלה יוכלו להתאים את עצמן אליו.

ICANN תעביר בקשות שהוגשו ב-RDRS לרשם שמכר את הדומיין. לרשם יהיו 24 שעות לשקול את הבקשה, או עד 72 שעות לשאילתות מורכבות. רשמים יוכלו גם לדחות בקשות אם הם מרגישים שהשאילתה אינה עונה על סף החירום.

שמירה וצעדים הבאים

דאגה אחת היא שסוכנות ענקית יכולה להציף את RDRS בבקשות מאלפי סוכנים בודדים, ולהציף את רשומות הדומיינים. התוכנית של ICANN היא להימנע מכך על ידי דרישה מכוחות אכיפת החוק למנות איש ספציפי שמורשה להגיש בקשות, ולאכוף את ההרשאה הזו באמצעות אסימון שמשותף במהלך חילופי SAML. תוכן האסימון הזה הוא סוג של שאלת מדיניות ש-Input Group מצפה שאחרים ב-ICANN יסיימו אותה בהמשך.

סוגיה נוספת שנמצאת על שולחן הדיונים היא כיצד להגן על זהות עובדי כוחות אכיפת החוק שמגישים בקשות ב-RDRS, כי ICANN מרגישה שהם יכולים להיות מטרות להטרדה, או גרוע יותר, אם הבקשות שלהם לראות נתוני WHOIS כוללות כתובות דואר אלקטרוני. נציגי רשמי הדומיינים Namecheap ו-Verisign דיברו במהלך המפגש על ההצעה, ושניהם תמכו בה. העבודה של Input Group היא ברובה טכנית. ברגע שהיא תפתח מנגנון שיאפשר בקשות, קבוצות אחרות ב-ICANN המוקדשות למדיניות יפתרו שימוש מקובל וסוגיות קשורות.

מקורות: The Register