ICANN, 비공개 WHOIS 정보 긴급 접근 방식 시험

ICANN이 법 집행 기관이 비공개 WHOIS 정보를 긴급히 요청할 수 있도록 하는 인증 방식의 시험을 시작했습니다. The Register가 보도했습니다. 이 체계는 예외적인 상황을 위한 것으로, 사람의 생명이나 핵심 기반 시설에 대한 위협을 막고 아동 학대를 중단시키는 것을 목표로 합니다.

도메인 이름 등록 대행사는 고객 정보를 수집합니다. 이전에는 이 데이터가 WHOIS 시스템에서 공개되었지만, 현재는 고객이 연락처 정보를 대체해 개인정보를 보호하는 서비스를 이용할 수 있습니다. 최근 몇 년간, 특히 EU에서 일반 개인정보 보호법(GDPR)이 시행된 이후 등록 대행사는 WHOIS의 정보를 숨겨야 합니다.

이 때문에 법 집행 기관은 어려움을 겪습니다. 예를 들어 해당 주소에서 악성 소프트웨어를 호스팅하거나 제어하거나 피싱 공격을 수행하더라도 도메인 소유자와 연락할 수 없습니다. 이 문제를 해결하기 위해 ICANN은 법 집행 기관 인증 체계 작업반을 구성했습니다. 인도네시아 발리에서 열린 ICANN 연례 회의에서 작업반 대표들은 그동안의 진행 상황을 설명했습니다. 작업반의 업무는 주로 기술적인 성격이며, 요청 체계가 마련되면 정책 수립을 담당하는 ICANN의 다른 그룹이 허용되는 사용 규범과 관련 사항을 정하게 됩니다.

현재 ICANN이 선호하는 방식은 SAML(Security Assertion Markup Language) 프로토콜을 사용하는 것입니다. 인증 절차를 통과한 법 집행 기관 직원은 RDRS(Registration Data Request Service)에 로그인하여 비공개 WHOIS 정보 접근 신청서를 제출할 수 있게 됩니다. 이 체계는 이미 FBI 및 인터폴과 함께 시험 중입니다. 다른 기관에도 RDRS 접근을 열어 주는 별도의 인증 방법도 배제되지 않았으며, 작업반의 과제는 이러한 기관들이 적용할 수 있는 명세를 만드는 것입니다.

ICANN은 RDRS를 통해 접수된 요청을 해당 도메인을 구매한 등록 대행사에 전달합니다. 등록 대행사에는 신청서를 검토할 24시간이 주어지며, 복잡한 경우에는 최대 72시간까지 가능합니다. 요청이 긴급성 기준에 맞지 않는다고 판단하면 등록 대행사는 이를 거부할 수 있습니다.

시스템 과부하를 막기 위해 ICANN은 법 집행 기관이 이러한 요청을 제출할 권한이 있는 직원을 지정하도록 의무화할 계획입니다. 권한 확인에는 SAML 프로토콜 인증 과정에서 전달되는 전용 토큰이 사용됩니다.

RDRS를 통해 요청을 보내는 법 집행 기관 직원의 신원 보호도 논의되고 있습니다. 요청서에 직원의 이메일 주소가 나타나면 이들이 괴롭힘의 대상이 될 수 있기 때문입니다. 앞서 지역 인터넷 레지스트리(RIR)의 활동을 조율하는 Number Resource Organization은 새로운 RIR 설립 기준을 재검토하겠다는 의사를 밝혔습니다. 이 구상은 글로벌 IP 주소 체계에서 발생하는 남용과 위반을 막기 위한 것입니다.