ICANN testet Eilzugriff auf geschützte WHOIS-Daten
Die ICANN hat mit Tests von Authentifizierungsverfahren begonnen, mit denen Strafverfolgungsbehörden dringende Anfragen zu geschützten WHOIS-Informationen stellen können. Das berichtet The Register. Der Mechanismus ist für Ausnahmefälle gedacht: zur Abwehr von Gefahren für das Leben von Menschen oder für kritische Infrastrukturen sowie zur Unterbindung von Kindesmissbrauch.
Domain-Registrare erfassen Daten über ihre Kunden. Früher waren diese Angaben im WHOIS-System öffentlich zugänglich, heute steht Kunden ein Dienst zur Verfügung, der die Kontaktdaten zum Schutz der Privatsphäre ersetzt. In den vergangenen Jahren, vor allem seit Inkrafttreten der Datenschutz-Grundverordnung (DSGVO) in der Europäischen Union, sind Registrare verpflichtet, die Angaben im WHOIS zu verbergen.
Dadurch geraten Strafverfolgungsbehörden in Schwierigkeiten: Sie können den Inhaber einer Domain nicht kontaktieren, selbst wenn unter der betreffenden Adresse Schadsoftware gehostet oder gesteuert wird oder Phishing-Angriffe durchgeführt werden. Um das Problem anzugehen, hat die ICANN die Gruppe für Authentifizierungsmechanismen für Strafverfolgungsbehörden eingerichtet. Auf der Jahreskonferenz der Organisation auf der indonesischen Insel Bali berichteten ihre Vertreter über den erreichten Fortschritt. Die Arbeit der Gruppe ist überwiegend technischer Natur, die Regeln für die zulässige Nutzung und damit verbundene Fragen werden später von anderen, für die Politikgestaltung zuständigen ICANN-Gruppen festgelegt.
Derzeit sieht der bevorzugte Ansatz das Protokoll SAML (Security Assertion Markup Language) vor. Authentifizierte Mitarbeiter der Strafverfolgungsbehörden sollen sich im Dienst RDRS (Registration Data Request Service) anmelden und Anträge auf Zugang zu nicht öffentlichen WHOIS-Daten stellen können. Dieses Verfahren wird bereits gemeinsam mit dem FBI und Interpol erprobt. Auch andere Authentifizierungswege, die weiteren Behörden den Zugang zu RDRS eröffnen würden, werden nicht ausgeschlossen. Aufgabe der Arbeitsgruppe ist es, eine Spezifikation zu erstellen, die all diese Organisationen nutzen können.
Die über RDRS eingehenden Anfragen leitet die ICANN an die jeweiligen Registrare weiter, bei denen die Domains erworben wurden. Für die Prüfung eines Antrags stehen dem Registrar 24 Stunden zur Verfügung, in komplexen Fällen bis zu 72 Stunden. Hält der Registrar die Dringlichkeitskriterien für nicht erfüllt, darf er die Anfrage ablehnen.
Um eine Überlastung des Systems zu vermeiden, plant die ICANN, die Strafverfolgungsbehörden zur Benennung befugter Mitarbeiter für solche Anfragen zu verpflichten. Die Berechtigung soll über ein spezielles Token überprüft werden, das bei der Authentifizierung per SAML übermittelt wird.
Ebenfalls diskutiert wird der Schutz der Identität der Beamten, die Anfragen über RDRS senden: Würden deren E-Mail-Adressen in den Anfragen auftauchen, könnten sie zur Zielscheibe von Verfolgung werden. Zuvor hatte die Number Resource Organization, die die Arbeit der regionalen Internet-Registries (RIR) koordiniert, angekündigt, die Kriterien für die Gründung neuer RIR zu überarbeiten. Die Initiative soll Missbrauch und Verstöße im globalen IP-Adressierungssystem verhindern.