ICANN testet Anmeldesystem für Strafverfolgungsbehörden zum Zugriff auf nicht öffentliche WHOIS-Daten
in einfachen worten
Zu Domainnamen gibt es Angaben zum Besitzer, die WHOIS-Daten. Viele davon sind aus Datenschutzgründen inzwischen verborgen. ICANN, die weltweit Domainnamen koordiniert, testet nun einen gesicherten Anmeldezugang, über den die Polizei in dringenden Fällen nach diesen verborgenen Angaben fragen kann. Die Behörden müssten einen echten Notfall nachweisen, um ihn zu nutzen.
Ausführliche Zusammenfassung
ICANN Internet Corporation for Assigned Names and Numbers Die gemeinnützige Organisation, die das weltweite DNS und die gTLD-Policy koordiniert. Vollständige Definition von ICANN testet Authentifizierungsverfahren, mit denen Strafverfolgungsbehörden dringende Anfragen nach nicht öffentlichen WHOIS-Informationen stellen könnten. Die Anfragen sind für Situationen gedacht, in denen eine unmittelbar drohende Gefahr für Leben, schwere Körperverletzung, kritische Infrastruktur oder die Ausbeutung von Kindern besteht. ICANN legt diese Definition in eigenen Worten fest.
Registrar Ein Unternehmen, das Domainnamen im Auftrag von Kunden bei der Registry registriert. Vollständige Definition von Registrar erheben Informationen über ihre Kunden, und diese Daten waren früher in WHOIS-Einträgen öffentlich einsehbar. Einige Registrare bieten Dienste an, bei denen sie ihre eigenen Kontaktdaten angeben, um die Privatsphäre ihrer Kunden zu schützen. Gesetze wie die DSGVO Datenschutz-Grundverordnung Die Datenschutzverordnung der Europäischen Union, die dazu führte, dass personenbezogene Daten im WHOIS verborgen werden. Vollständige Definition von DSGVO verpflichten Registrare zudem teilweise dazu, Registrierungsdaten Die Informationen, die über eine Domain und ihren Inhaber gespeichert werden. Vollständige Definition von Registrierungsdaten zu verbergen. Laut der Quelle erschwert dies den Strafverfolgungsbehörden den Kontakt zu einem Domaininhaber Die Person oder Organisation, auf die ein Domainname registriert ist. Vollständige Definition von Domaininhaber, wenn eine Domain für Malware Schädliche Software, die oft über Domainnamen verbreitet oder gesteuert wird. Vollständige Definition von Malware, Command-and-Control-Domain-Infrastruktur oder Phishing Das Vortäuschen einer vertrauenswürdigen Identität, um Daten zu stehlen, oft mit ähnlich aussehenden Domains. Vollständige Definition von Phishing missbraucht wird.
Die Input Group on Law Enforcement Agency Authentication Mechanisms von ICANN befasst sich mit dem Thema. Die Gruppe berichtete über ihren Fortschritt auf der Jahrestagung von ICANN in Bali, Indonesien. Vertreter der Registrare Namecheap und Verisign Unternehmen, das die Registrys von .com und .net betreibt. Vollständige Definition von Verisign unterstützten den Vorschlag während dieser Sitzung.
Die Arbeit der Input Group ist überwiegend technischer Natur. Sobald sie einen Mechanismus für Anfragen entwickelt hat, werden andere Richtliniengruppen von ICANN die zulässige Nutzung und damit zusammenhängende Fragen klären.
ICANN bevorzugt Security Assertion Markup Language (SAML). Authentifizierte Nutzer bei Strafverfolgungsbehörden würden sich bei der Registration Data Request Service (RDRS Registration Data Request Service Ein kostenloser Dienst der ICANN, um verborgene gTLD-Registrierungsdaten bei teilnehmenden Registraren anzufragen. Vollständige Definition von RDRS) von ICANN anmelden und Anfragen einreichen. ICANN testet dies bereits mit dem FBI und Interpol, ist aber offen für andere Authentifizierungsverfahren, die weiteren Behörden Zugang ermöglichen würden. Die Input Group strebt die Veröffentlichung einer Spezifikation an, an die sich diese Behörden halten können.
ICANN leitet in RDRS eingereichte Anfragen an den Registrar weiter, über den die Domain verkauft wurde. Der Registrar hätte 24 Stunden Zeit, eine Anfrage zu prüfen, bei komplexen Anfragen bis zu 72 Stunden. Registrare dürfen Anfragen ablehnen, die ihrer Ansicht nach die Schwelle der Dringlichkeit nicht erfüllen.
Manche Leser könnten befürchten, dass eine große Behörde RDRS mit Anfragen von Tausenden einzelnen Beamten überschwemmen könnte. ICANN plant, dies zu verhindern, indem Behörden verpflichtet werden, bestimmte Mitarbeiter zu benennen, die Anfragen stellen dürfen. Durchgesetzt werden soll dies mit einem Token, das während der SAML-Handshakes geteilt wird. Der Inhalt dieses Tokens ist eine politische Frage, die nach Erwartung der Input Group später andere Gremien bei ICANN festlegen werden.
Ein weiteres offenes Thema ist, wie die Identität von Beamten geschützt werden kann, die RDRS-Anfragen stellen. ICANN sieht sie einem Risiko von Belästigungen ausgesetzt, wenn ihre Anfragen E-Mail-Adressen enthalten.