ICANN testa un sistema di accesso per le forze dell'ordine ai dati WHOIS non pubblici
in parole semplici
I nomi a dominio hanno schede dei proprietari chiamate dati WHOIS, e oggi molte sono nascoste per tutelare la privacy. ICANN, l'ente che coordina i nomi a dominio nel mondo, sta provando un accesso sicuro che permette alla polizia di chiedere questi dati nascosti nei casi urgenti. Le agenzie dovrebbero dimostrare una vera emergenza per usarlo.
Sintesi completa
L'ICANN Internet Corporation for Assigned Names and Numbers Organizzazione senza scopo di lucro che coordina il DNS mondiale e le policy dei gTLD. Definizione completa del termine ICANN sta testando sistemi di autenticazione che permetterebbero alle forze dell'ordine di inviare richiesta urgente Una richiesta d'emergenza di dati di registrazione nascosti, con un termine di risposta di 24 ore non ancora in vigore. Definizione completa del termine richiesta urgente per ottenere informazioni WHOIS Il vecchio servizio di consultazione dei dati di registrazione dei domini, sostituito da RDAP per i gTLD. Definizione completa del termine WHOIS non pubbliche. Le richieste sono pensate per situazioni che comportano una minaccia imminente per la vita, gravi lesioni fisiche, infrastrutture critiche o sfruttamento sessuale di minori. La definizione è quella stessa usata dall'ICANN.
I registrar Un'azienda che registra nomi a dominio presso il registro per conto dei clienti. Definizione completa del termine registrar raccolgono informazioni sui propri clienti, e questi dati un tempo erano pubblicamente disponibili nei record WHOIS. Alcuni registrar offrono servizi che sostituiscono i loro recapiti a quelli dell'assegnatario La persona o l'organizzazione che detiene la registrazione di un nome a dominio. Definizione completa del termine assegnatario, per proteggere la privacy dei clienti, e leggi come il GDPR Regolamento generale sulla protezione dei dati La legge dell'Unione europea sulla protezione dei dati che ha portato a nascondere i dati personali nel WHOIS. Definizione completa del termine GDPR fanno sì che i registrar siano talvolta obbligati a nascondere i dati di registrazione Le informazioni conservate su un dominio e sul suo titolare. Definizione completa del termine dati di registrazione. Secondo la fonte, questo rende più difficile per le forze dell'ordine contattare il titolare del dominio quando un nome a dominio Nome leggibile di internet, formato da etichette separate da punti. Definizione completa del termine nome a dominio viene usato in modo improprio per diffondere malware Software dannoso, spesso diffuso o controllato tramite nomi a dominio. Definizione completa del termine malware, per infrastrutture di dominio di comando e controllo Un dominio che i dispositivi infetti contattano per ricevere ordini dagli attaccanti. Definizione completa del termine dominio di comando e controllo o per phishing Fingersi un soggetto affidabile per rubare dati, spesso con domini simili a quelli autentici. Definizione completa del termine phishing.
Il gruppo di lavoro Una squadra di volontari incaricata, con un mandato, di studiare una questione di policy e formulare raccomandazioni. Definizione completa del termine gruppo di lavoro ICANN Input Group on Law Enforcement Agency Authentication Mechanisms sta esaminando la questione. Il gruppo ha presentato i propri progressi durante l'incontro annuale dell'ICANN a Bali, in Indonesia. Durante quella sessione, rappresentanti dei registrar Namecheap Grande registrar retail statunitense, noto anche per aver contestato decisioni dell'ICANN sui prezzi. Definizione completa del termine Namecheap e Verisign L'azienda che gestisce i registri di .com e .net. Definizione completa del termine Verisign hanno espresso sostegno alla proposta.
Il lavoro del gruppo è in gran parte tecnico. Una volta messo a punto un meccanismo per le richieste, altri gruppi di lavoro di policy dell'ICANN stabiliranno l'uso accettabile e le questioni collegate.
L'approccio preferito dall'ICANN è il Security Assertion Markup Language (SAML). Gli utenti autenticati delle forze dell'ordine accederebbero al Registration Data Request Service (RDRS Registration Data Request Service Il servizio gratuito dell'ICANN per chiedere ai registrar partecipanti i dati di registrazione gTLD oscurati. Definizione completa del termine RDRS) dell'ICANN e presenterebbero le richieste. L'ICANN sta già testando il sistema con l'FBI e con Interpol, ma è aperta ad altri meccanismi di autenticazione che consentano l'accesso ad altre agenzie. Il gruppo mira a pubblicare una specifica a cui tali agenzie possano conformarsi.
L'ICANN inoltrerà al registrar che ha venduto il dominio le richieste presentate tramite RDRS. Il registrar avrà 24 ore per esaminare una richiesta, oppure fino a 72 ore per quesiti complessi. I registrar potranno respingere le richieste che ritengono non soddisfino la soglia di urgenza.
Alcuni lettori potrebbero temere che una grande agenzia possa inondare RDRS di richieste provenienti da migliaia di singoli agenti. L'ICANN intende impedirlo obbligando le agenzie a indicare personale specifico autorizzato a presentare richieste, con un token condiviso durante gli scambi SAML. Il contenuto di quel token è una questione di policy che il gruppo di lavoro prevede venga definita in seguito da altri ufficiali dell'ICANN.
Un altro nodo aperto riguarda come proteggere l'identità dei funzionari delle forze dell'ordine che presentano richieste tramite RDRS. L'ICANN li considera esposti al rischio di molestie se le richieste includono indirizzi email.