L'ICANN teste l'accès urgent aux données WHOIS privées
L’ICANN a commencé à tester des schémas d’authentification permettant aux forces de l’ordre de soumettre des demandes urgentes afin d’obtenir des informations WHOIS non publiques. C’est ce que rapporte The Register. Le mécanisme est prévu pour des situations exceptionnelles : prévenir les menaces pour la vie des personnes ou pour les infrastructures critiques, ainsi que mettre fin aux cas de maltraitance d’enfants.
Les bureaux d’enregistrement de noms de domaine collectent des informations sur leurs clients. Auparavant, ces données étaient publiques dans le système WHOIS ; aujourd’hui, les clients peuvent recourir à un service qui remplace leurs coordonnées afin de préserver leur confidentialité. Ces dernières années, notamment depuis l’entrée en vigueur du Règlement général sur la protection des données (RGPD) dans l’Union européenne, les bureaux d’enregistrement sont tenus de masquer les informations dans le WHOIS.
Les forces de l’ordre se heurtent de ce fait à des difficultés : elles ne peuvent pas joindre le titulaire d’un domaine, même lorsque l’adresse concernée sert à héberger ou à piloter des logiciels malveillants, ou à mener des attaques de hameçonnage. Pour y remédier, l’ICANN a constitué le Groupe sur les mécanismes d’authentification des forces de l’ordre. Lors de la conférence annuelle de l’organisation à Bali, en Indonésie, ses représentants ont présenté les progrès accomplis. Les travaux du groupe sont essentiellement techniques ; les règles d’utilisation admissible et les questions connexes seront définies ultérieurement par d’autres groupes de l’ICANN chargés d’élaborer les politiques.
À l’heure actuelle, l’approche privilégiée repose sur le protocole SAML (Security Assertion Markup Language). Les agents des forces de l’ordre ayant réussi l’authentification pourront se connecter au service RDRS (Registration Data Request Service) et déposer des demandes d’accès aux données WHOIS non publiques. Ce mécanisme est déjà testé avec le FBI et Interpol. D’autres méthodes d’authentification, qui ouvriraient l’accès à RDRS à d’autres organismes, ne sont pas exclues, et la mission du groupe de travail est de produire une spécification que ces organisations pourront appliquer.
L’ICANN transmettra les demandes reçues via RDRS aux bureaux d’enregistrement auprès desquels les domaines ont été achetés. Le bureau d’enregistrement disposera de 24 heures pour examiner la demande, voire de 72 heures dans les cas complexes. S’il estime que la demande ne répond pas aux critères d’urgence, il aura le droit de la rejeter.
Afin d’éviter une surcharge du système, l’ICANN prévoit d’obliger les forces de l’ordre à désigner des agents habilités à déposer de telles demandes. La vérification des pouvoirs reposera sur un jeton spécial transmis lors de l’authentification par le protocole SAML.
La protection de l’identité des agents qui envoient des demandes via RDRS est également en discussion : si leurs adresses e-mail figuraient dans les demandes, ils pourraient devenir la cible de persécutions. Auparavant, la Number Resource Organization, qui coordonne les registres Internet régionaux (RIR), avait annoncé son intention de revoir les critères de création de nouveaux RIR. Cette initiative vise à prévenir les abus et les manquements dans le système mondial d’adressage IP.