ICANN testa acesso urgente a dados WHOIS restritos
A ICANN começou a testar esquemas de autenticação que permitirão às autoridades policiais enviar pedidos urgentes para obter informações WHOIS restritas. A informação é do The Register. O mecanismo foi concebido para situações excecionais: evitar ameaças à vida de pessoas ou a infraestruturas críticas, bem como pôr fim a casos de maus-tratos a crianças.
Os registradores de nomes de domínio recolhem dados sobre os seus clientes. Anteriormente, essas informações eram públicas no sistema WHOIS; atualmente, os clientes podem recorrer a um serviço que substitui os dados de contacto para garantir a privacidade. Nos últimos anos, em particular após a entrada em vigor do Regulamento Geral sobre a Proteção de Dados (RGPD) na União Europeia, os registradores são obrigados a ocultar as informações no WHOIS.
Por causa disso, as autoridades policiais enfrentam dificuldades: não conseguem contactar o titular de um domínio, mesmo quando o endereço em causa é usado para alojar ou controlar software malicioso ou para realizar ataques de phishing. Para resolver o problema, a ICANN criou o Grupo de Mecanismos de Autenticação para as Autoridades Policiais. Na conferência anual da organização, realizada em Bali, na Indonésia, os seus representantes apresentaram os progressos alcançados. O trabalho do grupo tem carácter sobretudo técnico, e as regras de utilização admissível e as questões associadas serão definidas mais tarde por outros grupos da ICANN responsáveis pela formulação de políticas.
Neste momento, a abordagem preferida da ICANN prevê o uso do protocolo SAML (Security Assertion Markup Language). Os agentes das autoridades policiais que passarem pela autenticação poderão aceder ao serviço RDRS (Registration Data Request Service) e submeter pedidos de acesso a dados WHOIS não públicos. Este mecanismo já está a ser testado em conjunto com o FBI e a Interpol. Não se excluem outros métodos de autenticação que abram o acesso ao RDRS a outros organismos, e a tarefa do grupo de trabalho é criar uma especificação que essas organizações possam aplicar.
A ICANN encaminhará os pedidos recebidos através do RDRS aos registradores junto dos quais os domínios foram adquiridos. O registrador terá 24 horas para analisar o pedido, ou até 72 horas em casos complexos. Se considerar que o pedido não cumpre os critérios de urgência, poderá rejeitá-lo.
Para evitar a sobrecarga do sistema, a ICANN pretende obrigar as autoridades policiais a designar funcionários autorizados a submeter esses pedidos. A verificação dos poderes será feita por meio de um token especial transmitido durante a autenticação pelo protocolo SAML.
Discute-se também a proteção da identidade dos agentes que enviam pedidos através do RDRS: se os endereços de e-mail deles constarem nos pedidos, poderão tornar-se alvo de perseguição. Anteriormente, a Number Resource Organization, que coordena o trabalho dos registos regionais de Internet (RIR), anunciou a intenção de rever os critérios para a criação de novos RIR. A iniciativa visa prevenir abusos e infrações no sistema global de endereçamento IP.