ICANN prueba un sistema para que las fuerzas del orden soliciten datos privados de WHOIS en casos de amenazas graves. Este mecanismo busca equilibrar la privacidad del usuario con la seguridad pública mediante procesos técnicos y legales.

ICANN ha comenzado a probar esquemas de autenticación que permitirán a las agencias encargadas de hacer cumplir la ley realizar solicitudes urgentes de información WHOIS no pública, cuando sea necesario para abordar amenazas a la vida, infraestructuras críticas o explotación infantil.

Los registradores de dominios recopilan información sobre sus clientes y, en el pasado, esos datos estaban disponibles públicamente en los registros WHOIS. Algunos registradores ofrecen servicios que sustituyen sus propios datos de contacto para preservar la privacidad del cliente. En los últimos años, leyes como el RGPD implican que, en ocasiones, los registradores deben ocultar los datos de WHOIS.

Eso es comprensible, pero dificulta que las autoridades contacten con el titular de un dominio si sus recursos están siendo utilizados incorrectamente, ya sea intencionadamente o no, para fines como el alojamiento de malware, actuar como infraestructura de comando y control para malware o facilitar el phishing.


La definición de ICANN para el tipo de comportamiento que considera que justifica solicitudes urgentes de información WHOIS es "amenaza inminente para la vida, de lesiones corporales graves, para infraestructuras críticas o de explotación infantil".


La organización ha convocado a un Grupo de Aportaciones sobre Mecanismos de Autenticación de Agencias del Orden Público para estudiar el asunto, y dicho grupo explicó ayer sus avances durante la reunión anual de ICANN en Bali, Indonesia.

En este punto, es posible que los lectores se preocupen de que esta propuesta permita a las autoridades realizar solicitudes inapropiadas de información WHOIS.

Varios factores pueden mitigar tales preocupaciones.

Uno es que representantes de los registradores de dominios Namecheap y Verisign hablaron durante la sesión sobre la propuesta y ambos se mostraron favorables.

Otro es que el trabajo del Grupo de Aportaciones es mayoritariamente técnico. Una vez que diseñen un mecanismo para permitir las solicitudes, otros grupos dentro de ICANN dedicados a las políticas definirán el uso aceptable y otros asuntos relacionados.

¡Así es como se gestiona la gobernanza de internet! Los especialistas trabajan en sus propias partes de un problema y luego colaboran para crear un sistema robusto que funcione a nivel técnico, sea práctico y ejecutable en múltiples jurisdicciones.

Cómo lo harán

En este momento, el enfoque preferido de ICANN es utilizar el Lenguaje de Marcado de Aseveraciones de Seguridad (SAML) para que los usuarios autenticados de las agencias policiales puedan iniciar sesión en el Servicio de Solicitud de Datos de Registro (RDRS) de la organización de gobernanza y presentar solicitudes de acceso a información WHOIS no pública. ICANN ya está probando este enfoque con el FBI y Interpol, pero está abierta a otros mecanismos de autenticación para permitir que otras agencias accedan al RDRS. El objetivo del Grupo de Aportaciones es publicar una especificación a la que dichas agencias puedan ajustarse.



ICANN remitirá las solicitudes presentadas en el RDRS al registrador que haya vendido el dominio. El registrador dispondrá de 24 horas para considerar la solicitud, o hasta 72 horas para consultas complejas. Los registradores también podrán denegar las solicitudes si consideran que la consulta no alcanza el umbral de urgencia.

Los lectores podrían preocuparse de que una agencia colosal como el FBI pudiera inundar el RDRS con solicitudes de miles de agentes individuales, saturando los registros de dominios.

El plan de ICANN para evitar esto es exigir que las agencias policiales nombren a cierto personal autorizado para realizar solicitudes, y hacer cumplir ese permiso mediante un token compartido durante los intercambios SAML. El contenido de ese token es el tipo de cuestión política que el Grupo de Aportaciones espera que otros en ICANN finalicen más adelante.

Otro asunto bajo consideración es cómo proteger la identidad de los agentes de la ley que realizan solicitudes al RDRS, ya que ICANN considera que podrían convertirse en blanco de acoso (o algo peor) si sus solicitudes para ver datos de WHOIS incluyen direcciones de correo electrónico. ®

Fuente:
TheRegister