GDPR-reglerne er trådt i kraft, og det kommer til at have store konsekvenser for den frie adgang til WHOIS-opslag.
WHOIS-databaser er indtil nu blevet brugt af sikkerhedsfolk og politimyndigheder verden over til at finde ud af, hvem der står bag hvilke domæner, men det værktøj kan snart være sat ud af spillet.
Organisationen ICANN, der står for alle topdomænerne, frygter nemlig milliardstore bøder, hvis den fortsætter med at give fri adgang til de mange oplysninger om domæneindehavere fra hele verden.
»Vi står over for et kæmpe problem - man prøver at løse et privacy-problem, men skaber et nyt sikkerhedsproblem,« siger CTO i sikkerhedsfirmaet CSIS Jan Kaastrup.
Som privat sikkerhedsmand får han ikke længere fri adgang til opslag i de enorme internationale WHOIS-databaser.
»Det bliver for besværligt at bruge WHOIS-opslag, hvis der skal legitimation til for hvert opslag. Ofte er der jo tale om ekstremt mange domæner på én gang,« siger en frustreret Jan Kaastrup og fortsætter;
»Det gør det lige en tak nemmere at være kriminel på internettet.«
Fremover vil det, teoretisk set, kræve legitimation at få kontaktoplysninger på folk bag diverse internationale domæner. Præcis hvilken legitimation, der skal fremvises, er uvist, men der kan eksempelvis være tale om en dommerkendelse.
Og hvis det er sådan en, der kræves, bliver det helt umuligt for private firmaer at søge informationerne.
Langt de fleste aktører vil dog fortsat indsamle de mange data, skriver ZD-Net. Dette inkluderer registrantinformationer samt kontaktoplysninger på administrator og de teknisk ansvarlige.
Men det meste data vil ikke længere være offentligt tilgængeligt.
Kan føre til mindre opklaringsprocent
Jan Kaastrup fortæller også, at færre opslag vil betyde, at sikkerhedsfirmaer som CSIS vil anmelde færre kriminelle til politiet. Og det vil sænke opklaringsprocenten på cyberkriminalitet, vurderer Jan Kaastrup.
Den køber den operative chef for Nationalt Cybercrime Center, Niels Sørensen, ikke.
»Selvfølgelig får vi noget ind fra de private aktører og har et vis tsamarbejde, men jeg tror ikke, det vil påvirke vores opklaringsprocent mærkbart, hvis de private aktører ikke længere får adgang til denne form for opslag som hidtil,« siger Niels Sørensen.
Heller ikke Jan Kaastrups bekymring for, at der opstår en flaskehals hos politiet, nu da sikkerhedsfirmaer risikerer at trække sig ud af dele af efterforskningen, deler Niels Sørensen.
»Det er kritisk i forhold til, at det giver os mere arbejde. Men de præcise konsekvenser kender vi endnu ikke,« siger Niels Sørensen, der ser tiden an.
Kan afsløre kriminelle mønstre
Databaserne har allerede frem til GDPR haft udtalte svagheder. Eksempelvis kan man opgive forkerte kontaktoplysninger eller slet og ret oprette domæner anonymt via diverse tjenester.
Men gør man det, er man indtil nu automatisk blevet mistænkeliggjort af sikkerhedsfirmaerne, fortæller Jan Kaastrup og uddyber;
»På den måde har det ikke kun været et værn mod det onde, men også et værktøj for folk med legitime domæner, som ønskede at demonstrere deres legitimitet ved at indtaste de nødvendige kontaktoplysninger i WHOIS-registre.«
Derudover kan WHOIS bruges til at kortlægge kriminelle mønstre.
»Når man finder et ondsindet domæne, er noget af det første, man gør, at undersøge, hvilke domæner der ellers administreres af den samme gruppe,« siger Jan Kaastrup.
På den måde kan ét broddent kar afsløre mange flere, og det hjælper sikkerhedsfolkene til at gennemskue, hvor det næste angreb eller scam kommer til at udfolde sig.
Nye regler gælder ikke danske domæner
Mens de nye regler slår ned på frit tilgængelige persondata på internettet, hvilket WHOIS-databaserne netop består af, slipper den danske WHOIS-database for regulering.
Også selvom den principielt gør sig skyldig i de samme overtrædelser af GDPR.
Det gør den, fordi national lovgivning kan gå ind og blokere for GDPR-reglerne. Og det er netop tilfældet i Danmark.
»Selvom vi fortsat kan søge i danske registre og de fleste registreringer frem til nu, vil databaserne over tid blive mere og mere hullede,« forklarer Jan Kaastrup.
Europol arbejder på løsning
Selvom det danske politi og NC3 slår koldt vand i blodet, er WHOIS-diskussionen nået til toppen af de europæiske politiorganisationer.
Niels Sørensen fortæller, at man i Europol sidder med hovederne i blød for at sikre, at adgangen til diverse WHOIS-registre opretholdes, samtidig med at der tages hensyn til GDPR.
»Man sidder lige nu og prøver at gennemgå lovgivningen, for at se om man kan få de to parter (GDPR og interessen i at kunne slå op i et fuldstændigt register, red.) til at spille sammen, eller om den ene skal flytte sig,« siger Niels Sørensen.
Derudover er flere EU-lande ifølge Jan Kaastrup i gang med at overveje, om man skal have den samme lovgivning som i Danmark, så opslagene på lokale domæner fortsat er lovlige dér.
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
