ICANN, kolluk kuvvetlerinin WHOIS veri talepleri için tek oturum açmayı test ediyor

Kolluk kuvvetleri ve gizli WHOIS verileri

Alan adı kayıt şirketleri müşterileri hakkında bilgi toplar ve geçmişte bu veriler WHOIS kayıtlarında herkese açık olarak bulunuyordu. Bazı alan adı kayıt şirketleri, müşteri gizliliğini korumak için kendi iletişim bilgilerini müşterilerinin bilgileri yerine koyan hizmetler sunar. Son yıllarda GDPR gibi yasalar, kayıt şirketlerinin bazen WHOIS verilerini gizlemesini gerektirmektedir.

Bu durum, kaynakların kasıtlı olarak veya kazara kötüye kullanılması gibi durumlarda, örneğin kötü amaçlı yazılım barındırma, kötü amaçlı yazılımlar için komuta ve kontrol altyapısı görevi görme veya kimlik avını kolaylaştırma amaçlarıyla, kolluk kuvvetlerinin bir alan adı sahibiyle iletişim kurmasını zorlaştırır. ICANN'ın acil WHOIS bilgisi taleplerini meşru gördüğü davranış türü tanımı, hayata yönelik yakın tehdit, ciddi bedensel yaralanma, kritik altyapı veya çocuk istismarıdır. Kuruluş, konuyu görüşmek için Kolluk Kuvvetleri Ajansı Kimlik Doğrulama Mekanizmaları Girişim Grubu'nu topladı ve bu grup ilerlemesini Endonezya'nın Bali kentinde düzenlenen ICANN yıllık toplantısında açıkladı.

RDRS üzerinden tek oturum açma

ICANN'ın tercih ettiği yaklaşım, Security Assertion Markup Language (SAML) kullanarak, kolluk kuvvetleri ajanslarında kimliği doğrulanmış kullanıcıların yönetişim kuruluşunun Registration Data Request Service (RDRS) hizmetine giriş yapıp herkese açık olmayan WHOIS bilgilerine erişim talebi oluşturmasını sağlamaktır. ICANN bu yaklaşımı zaten FBI ve Interpol ile test ediyor, ancak diğer ajansların da RDRS'e erişmesine olanak tanımak için başka kimlik doğrulama mekanizmalarına açıktır. Girişim Grubu'nun amacı, söz konusu ajansların uyum sağlayabileceği bir spesifikasyon yayınlamaktır.

ICANN, RDRS üzerine iletilen talepleri alan adını satan kayıt şirketine iletecektir. Kayıt şirketi talebi değerlendirmek için 24 saate sahiptir ve karmaşık sorgularda bu süre 72 saate kadar çıkabilir. Kayıt şirketleri, sorgunun aciliyet eşiğini karşılamadığını düşünürse talepleri reddedebilir.

Korumalar ve sonraki adımlar

Endişelerden biri, çok büyük bir ajansın binlerce bireysel temsilciden gelen taleplerle RDRS'i boğarak alan adı kayıt sistemlerini bunaltmasıdır. ICANN'ın planı, kolluk kuvvetleri ajanslarını, talepte bulunma izni verilen belirli personeli belirlemeye zorlamak ve bu izni SAML el sıkışmaları sırasında paylaşılan bir jetonla uygulamaktır. Bu jetonun içeriği, Girişim Grubu'nun ICANN'taki diğer birimlerce daha sonra nihai hale getirilmesini beklediği bir politika sorusudur.

Üzerinde düşünülen bir diğer konu, RDRS talepleri oluşturan kolluk kuvvetleri çalışanlarının kimliklerinin nasıl korunacağıdır; çünkü ICANN, WHOIS verilerini görme taleplerinde e-posta adresleri bulunursa bu kişilerin taciz hedefi, daha da kötüsü olabileceğini düşünüyor. Alan adı kayıt şirketleri Namecheap ve Verisign'ın temsilcileri oturum sırasında öneri hakkında konuştu ve ikisi de bunu destekledi. Girişim Grubu'nun çalışması büyük ölçüde teknik niteliktedir. Talep oluşturulmasına olanak tanıyan bir mekanizma geliştirildiğinde, ICANN içinde politikayla ilgilenen diğer gruplar kabul edilebilir kullanım ve ilgili konuları belirleyecektir.

Kaynaklar: The Register