A Corporação da Internet para Atribuição de Nomes e Números (ICANN) iniciou testes em mecanismos de autenticação que permitirão às agências de aplicação da lei fazerem pedidos urgentes de informações WHOIS não públicas. O objetivo é agilizar o acesso a dados de registro de domínios em situações críticas, como ameaças iminentes à vida, à infraestrutura essencial ou casos de exploração infantil.
Tradicionalmente, os registrars de domínio coletam informações sobre seus clientes, que antes eram publicamente acessíveis através de registros WHOIS. Contudo, com a crescente preocupação com a privacidade, especialmente após a implementação de leis como a GDPR, muitos registrars passaram a ocultar esses dados, substituindo as informações do cliente por detalhes próprios. Embora essa medida seja crucial para proteger a privacidade, ela dificulta o contato com o titular de um domínio quando seus recursos são indevidamente utilizados para hospedar malware, atuar como infraestrutura de comando e controle ou facilitar ataques de phishing.
O Mecanismo de Acesso Urgente
A ICANN definiu o escopo de comportamentos que justificariam esses pedidos urgentes de informações WHOIS: “ameaça iminente à vida, de lesão corporal grave, à infraestrutura crítica ou de exploração infantil”. Para discutir a implementação, a organização formou um Grupo de Entrada sobre Mecanismos de Autenticação para Agências de Aplicação da Lei, que apresentou seu progresso em uma reunião anual em Bali, Indonésia. A preocupação com o uso indevido por parte das autoridades é mitigada por alguns fatores. Representantes de registrars como Namecheap e Verisign expressaram apoio à proposta. Além disso, o trabalho do grupo é predominantemente técnico, com a expectativa de que grupos de políticas da ICANN definam as regras de uso aceitável e outras questões relacionadas posteriormente.
Como Funcionará o Sistema
A abordagem preferencial da ICANN envolve o uso de Security Assertion Markup Language (SAML). Esse protocolo permitiria que usuários autenticados em agências de aplicação da lei fizessem login no Serviço de Solicitação de Dados de Registro (RDRS) da ICANN e apresentassem seus pedidos de acesso a dados WHOIS não públicos. A ICANN já está conduzindo testes com o FBI e a Interpol, mas está aberta a outros mecanismos de autenticação para integrar outras agências. O objetivo do grupo é publicar uma especificação que essas agências possam seguir. As solicitações feitas via RDRS serão encaminhadas ao registrar responsável pelo domínio em questão. O registrar terá um prazo de 24 horas para analisar o pedido, podendo estender para até 72 horas em casos complexos. Registrars também terão a prerrogativa de negar pedidos que não atendam ao limiar de urgência estabelecido.
Implicações e Segurança
Uma preocupação levantada é a possibilidade de grandes agências como o FBI inundarem o RDRS com pedidos de milhares de agentes individuais, sobrecarregando os registros de domínio. Para evitar isso, a ICANN planeja exigir que as agências de aplicação da lei nomeiem pessoal específico autorizado a fazer tais solicitações. Essa permissão seria reforçada por um token compartilhado durante o handshake SAML. A definição do conteúdo desse token e outras políticas de uso aceitável são questões que o grupo espera que outros órgãos da ICANN finalizem. Outro ponto em consideração é a proteção da identidade dos agentes que realizam essas solicitações, pois a ICANN reconhece que eles podem se tornar alvos de assédio se seus e-mails estiverem diretamente associados aos pedidos de dados WHOIS.
Perguntas em Aberto
Embora a iniciativa da ICANN busque um equilíbrio necessário entre segurança e privacidade, várias questões permanecem em aberto. A natureza exata das políticas de uso aceitável e os critérios para definir uma "ameaça iminente" ainda precisam ser detalhados por grupos de políticas. A eficácia dos mecanismos de autenticação e a capacidade dos registrars de discernir pedidos legítimos de abusivos serão cruciais para o sucesso do programa. A forma como a ICANN garantirá que o sistema não seja explorado por agentes mal-intencionados, sejam eles externos ou internos às agências, é um desafio contínuo.
A ICANN dá mais um passo na complexa governança da internet, buscando soluções técnicas para problemas sociais urgentes. A implementação bem-sucedida dependerá da colaboração contínua entre órgãos técnicos e de políticas, e da confiança das partes interessadas no processo.
Com reportagem de Brazil Valley
Source · The Register
