ICANN testa l’accesso urgente ai dati WHOIS riservati
L’ICANN ha avviato i test di schemi di autenticazione che consentiranno alle forze dell’ordine di presentare richieste urgenti per ottenere informazioni WHOIS riservate. Lo ha riferito The Register. Il meccanismo è pensato per situazioni eccezionali: prevenire minacce alla vita delle persone e alle infrastrutture critiche, nonché contrastare i casi di abuso sui minori.
I registrar di nomi di dominio raccolgono i dati dei propri clienti. In precedenza queste informazioni erano pubbliche nel sistema WHOIS, mentre oggi i clienti possono usufruire di un servizio che sostituisce i dati di contatto per tutelarne la riservatezza. Negli ultimi anni, soprattutto dopo l’entrata in vigore del Regolamento generale sulla protezione dei dati (GDPR) nell’Unione Europea, i registrar sono tenuti a nascondere le informazioni nel WHOIS.
Ciò crea difficoltà alle forze dell’ordine, che non riescono a contattare il titolare di un dominio, anche quando all’indirizzo corrispondente viene ospitato o gestito software dannoso oppure vengono condotti attacchi di phishing. Per affrontare il problema l’ICANN ha costituito il Gruppo per i meccanismi di autenticazione delle forze dell’ordine. Alla conferenza annuale dell’organizzazione, svoltasi a Bali, in Indonesia, i suoi rappresentanti hanno illustrato i progressi compiuti. Il lavoro del gruppo ha carattere prevalentemente tecnico, mentre le regole di utilizzo ammissibile e le questioni correlate saranno definite in seguito da altri gruppi dell’ICANN responsabili delle politiche.
Attualmente l’approccio preferito prevede il protocollo SAML (Security Assertion Markup Language). Gli agenti delle forze dell’ordine che superano l’autenticazione potranno accedere al servizio RDRS (Registration Data Request Service) e inoltrare richieste di accesso ai dati WHOIS non pubblici. Questo schema è già in fase di prova con la collaborazione dell’FBI e dell’Interpol. Si valutano anche altri metodi di autenticazione che permetterebbero di collegare altri enti a RDRS, e il compito del gruppo di lavoro è preparare una specifica applicabile a tutte queste organizzazioni.
L’ICANN inoltrerà le richieste ricevute tramite RDRS ai registrar presso cui sono stati acquistati i domini. Per esaminare la richiesta saranno disponibili 24 ore, che nei casi complessi arrivano a 72. Se il registrar ritiene che la richiesta non soddisfi i criteri di urgenza, potrà respingerla.
Per evitare il sovraccarico del sistema, l’ICANN intende imporre alle forze dell’ordine di designare i dipendenti autorizzati a presentare tali richieste. La verifica dei poteri avverrà tramite uno speciale token trasmesso durante l’autenticazione con il protocollo SAML.
Si discute inoltre della tutela dell’identità degli agenti che inviano richieste tramite RDRS: se le richieste riportassero i loro indirizzi e-mail, essi potrebbero diventare bersaglio di persecuzioni. In precedenza la Number Resource Organization, che coordina i registri Internet regionali (RIR), aveva annunciato l’intenzione di rivedere i criteri per la creazione di nuovi RIR. L’iniziativa mira a prevenire abusi e violazioni nel sistema globale di indirizzamento IP.