Sikkerhedsfolk slår alarm: GDPR-nedlukning vil fjerne nøglekilde til efterforskning
De offentlige WHOIS-registre, der lister personer bag domæner, er på direkte kollisionskurs med EU's databeskyttelsesforordning, GDPR. Hvis parterne ikke bliver enige om en løsning, vil sikkerhedsfolk miste en central datakilde.
»Jeg synes, det er en helt forkert retning,« siger Jan Kaastrup, der er CTO og partner i sikkerhedsfirmaet CCIS.
»Det her er en nøglekilde til efterforskning i mange brancher og i sikkerhedsprodukter, og det fjerner man, hvis WHOIS ikke længere er offentligt tilgængeligt,« fastslår han.
Det er den internationale internetkustode ICANN, der kræver, at domæne-data offentliggøres i WHOIS-registre. Men i en afgørelse fra Hollands datatilsyn – og i en juridisk vejledning, ICANN har bestilt – fremgår det, at et offentligt WHOIS-register ikke kan eksistere under GDPR.
ICANN arbejder derfor på en ny model for adgang til WHOIS-data. Men modellen er ikke blevet godkendt af EU-Kommissionen, der i flere år har haft problemer med WHOIS-systemets manglende privacy.
Danmarks WHOIS-register går fri
Alt imens er deadlinen for GDPR – 25. maj – kun kommet nærmere. Og ICANN har da også meddelt, at man ikke vil sende jurister efter internet-registranter, der lukker ned for WHOIS-data, for at leve op til EU-reglerne.
Men det har altså konsekvenser for sikkerhedsfolk, der beskæftiger sig med it-kriminalitet.
»Vi bruger det ikke bare til at fange kriminelle, men lige så meget til at verificere legitime oplysninger. Og det ville være en katastrofe, hvis man gjorde de informationer utilgængelige,« siger Jan Kaastrup.
»Tag danskebank.it som eksempel. En af de måder, hvorpå vi rent faktisk kan finde ud af, om det er et legitimt site, eller om det et phishing-site, er ved at slå WHOIS-informationer op.«
Ifølge et blogindlæg fra DK-Hostmaster kommer GDPR ikke til at ændre WHOIS-praksis hos den danske domæne-administrator. I Danmark kræver Lov om internetdomæner særskilt, at informationen er offentlig – og den bestemmelse trumfer altså GDPR.
Spam og phishing vil stige
CCIS’ Jan Kastrup er ikke ene om at se problemer i at miste WHOIS som informationskilde.
Den prominente sikkerhedsblogger Brian Krebs opfordrede for nylig i en række tweets sikkerhedsfolk til at protestere mod ændringerne.
»Om få måneder vil volumen af spam, phishing og stort set enhver form for cyberkriminalitet være steget betydeligt. Nye privacy-regler fra EU kommer til at fjerne det absolut mest brugbare værktøj, som sikkerhedseksperter og -forskere har til rådighed: WHOIS,« skriver han på Twitter.
En af løsningerne, som ICANN har foreslået – og som har fået opbakning fra Electronic Frontier Foundation – er, at adgang til WHOIS kun skal ske med retskendelse.
På den måde kan politimyndigheder stadig få adgang til data. Men løsningen overser, at ordensmagten får mange sager serveret af private sikkerhedsselskaber, pointerer Brian Krebs.
»Når det ikke længere er muligt, gæt hvad der så sker,« skriver han.
I'm pretty much done arguing about the utility of whois for stopping cybercrime. Many who want WHOIS to just die already are understandably upset over how broken it is, but most of those same folks have zero idea how much it actually works to keep bad things/bad people in check
Falske oplysninger er oplysende
Flere pointerer over for Brian Krebs, at kriminelle ikke skriver korrekt information i registrene. Men det betyder ikke, at data ikke kan bruges, bemærker sikkerhedsbloggeren.
Det samme fortæller Jan Kaastrup:
»De kriminelle bruger meget ofte anonymiseringstjenester til at oprette domæner, og så er WHOIS-oplysningerne falske. Men det kan så rejse et rødt flag på et givent domæne, som dem, der ønsker et højt niveau af tillid, kan bruge som datapunkt,« siger han og tilføjer:
»WHOIS er heldigvis ikke den eneste kilde, vi har, men det er trods alt en vigtig informationskilde.«
...men det er dyrt at lave god journalistik. Derfor beder vi dig overveje at tegne abonnement på Version2.
Digitaliseringen buldrer derudaf, og it-folkene tegner fremtidens Danmark. Derfor er det vigtigere end nogensinde med et kvalificeret bud på, hvordan it bedst kan være med til at udvikle det danske samfund og erhvervsliv.
Og der har aldrig været mere akut brug for en kritisk vagthund, der råber op, når der tages forkerte it-beslutninger.
Den rolle har Version2 indtaget siden 2006 - og det bliver vi ved med.
