ICANN test SAML-inlog waarmee opsporingsdiensten bij afgeschermde WHOIS-data komen

Op de jaarvergadering van ICANN, die deze week in Bali wordt gehouden, heeft een werkgroep maandag laten zien hoe opsporingsdiensten sneller bij afgeschermde registratiegegevens van domeinnamen moeten kunnen komen. De voorkeursoplossing: inloggen met SAML op een bestaande ICANN-dienst. The Register was bij de sessie en tekende de plannen op.

Waarom WHOIS dicht zit

Registrars leggen van iedere domeinnaam vast wie de houder is. Die gegevens stonden jarenlang gewoon in het openbare WHOIS-record. Dat is op twee manieren veranderd. Registrars verkopen privacydiensten die hun eigen contactgegevens in het record zetten in plaats van die van de klant, en privacywetgeving als de AVG verplicht registrars soms om de gegevens juist af te schermen.

Voor de houder is dat prettig. Voor een opsporingsdienst die moet achterhalen wie er achter een domein zit dat malware host, als command-and-controlserver dient of voor phishing wordt gebruikt, is het dat niet. Hoe de verdeling en administratie van internetadressen is georganiseerd, staat in Hoe IP-adressen worden verdeeld.

Een inlog op een dienst die al bestaat

ICANN bouwt daarvoor geen nieuw loket. De aanvragen moeten door de Registration Data Request Service (RDRS), die er al is: via rdrs.icann.org kan nu al iemand met een ICANN-account een verzoek indienen voor niet-openbare registratiegegevens van een gTLD-domein, waarna de registrar beslist of hij ze vrijgeeft.

Wat erbij komt, is een geauthenticeerde ingang voor diensten. ICANN wil daarvoor Security Assertion Markup Language gebruiken, zodat medewerkers van een opsporingsdienst met de inlog van hun eigen organisatie bij RDRS terechtkomen. Met de FBI en Interpol wordt die route al getest; ICANN zegt open te staan voor andere authenticatiemechanismen om ook andere diensten binnen te laten.

De afhandeling blijft bij de registrar liggen. ICANN stuurt een verzoek door naar de partij die het domein verkocht heeft, en die heeft 24 uur om erover te beslissen, bij ingewikkelde vragen maximaal 72 uur. De registrar mag een verzoek afwijzen als hij vindt dat het de urgentiedrempel niet haalt. Die drempel omschrijft ICANN als een "imminent threat to life, of serious bodily injury, to critical infrastructure, or of child exploitation".

Wat er nog niet geregeld is

Om te voorkomen dat een grote dienst het systeem met duizenden verzoeken van individuele agenten overspoelt, moeten diensten specifieke medewerkers aanwijzen die aanvragen mogen doen. Dat wordt afgedwongen met een token dat tijdens de SAML-handshake wordt meegegeven. Wat er precies in dat token komt te staan, is een beleidsvraag die de werkgroep uitdrukkelijk aan anderen binnen ICANN laat.

Dat geldt voor het grootste deel van de discussie: de Input Group on Law Enforcement Agency Authentication Mechanisms werkt aan de techniek, terwijl ICANN-onderdelen die over beleid gaan nog moeten vastleggen wat aanvaardbaar gebruik is. Een open punt is ook de bescherming van de aanvragers zelf, omdat in een verzoek het e-mailadres van de betrokken medewerker staat en ICANN vreest dat die daardoor doelwit kan worden.

Volgens The Register spraken tijdens de sessie vertegenwoordigers van de registrars Namecheap en Verisign zich uit voor het voorstel. ICANN87 loopt tot en met 22 oktober.