ICANN thử nghiệm cơ chế giúp cơ quan thực thi pháp luật yêu cầu dữ liệu WHOIS khẩn cấp

ICANN, tổ chức điều phối hệ thống tên miền Internet, đang thử nghiệm cơ chế xác thực để các cơ quan thực thi pháp luật gửi yêu cầu khẩn cấp về thông tin WHOIS không công khai. Mục tiêu là hỗ trợ xử lý những mối đe dọa cận kề đối với tính mạng, nguy cơ gây thương tích nghiêm trọng, hạ tầng trọng yếu hoặc các trường hợp bóc lột trẻ em.

Tiến độ được trình bày tại hội nghị ICANN 87 ở Bali, Indonesia. Điểm quan trọng là cơ chế này không cho phép cơ quan chức năng tự do tra cứu toàn bộ dữ liệu bị ẩn: yêu cầu vẫn phải chuyển đến nhà đăng ký tên miền để xem xét.

WHOIS là hệ thống tra cứu thông tin đăng ký tên miền, trong đó có thể chứa dữ liệu liên hệ của người đăng ký. Trước đây, nhiều thông tin này được công khai. Một số nhà đăng ký cũng cung cấp dịch vụ dùng thông tin liên hệ của họ thay cho khách hàng nhằm bảo vệ quyền riêng tư.

Những quy định như GDPR — Quy định chung về bảo vệ dữ liệu của Liên minh châu Âu — khiến một phần dữ liệu WHOIS phải được che đi. Điều này bảo vệ người đăng ký tên miền, nhưng cũng có thể khiến cơ quan chức năng khó liên hệ với chủ tên miền khi tài nguyên của họ bị lợi dụng, dù cố ý hay không.

Các tình huống đó có thể bao gồm phát tán mã độc, lừa đảo trực tuyến nhằm đánh cắp thông tin, hoặc vận hành hạ tầng chỉ huy và điều khiển — hệ thống máy chủ dùng để gửi lệnh cho mã độc. Tuy nhiên, việc xuất hiện hoạt động đáng ngờ không đồng nghĩa mọi yêu cầu đều đáp ứng tiêu chí khẩn cấp mà ICANN đặt ra.

Phương án ICANN đang ưu tiên sử dụng SAML, một tiêu chuẩn trao đổi thông tin xác thực giữa các hệ thống. Công nghệ này hỗ trợ đăng nhập một lần: người dùng được cơ quan của mình xác thực có thể dùng danh tính đó để truy cập dịch vụ khác mà không cần một tài khoản đăng nhập riêng biệt.

Theo hướng tiếp cận này, nhân sự được cấp quyền tại cơ quan thực thi pháp luật sẽ đăng nhập vào RDRS, dịch vụ tiếp nhận và chuyển yêu cầu cung cấp dữ liệu đăng ký tên miền của ICANN, rồi gửi đề nghị tiếp cận thông tin WHOIS không công khai. ICANN đang thử nghiệm với FBI và Interpol, đồng thời vẫn để ngỏ các phương thức xác thực khác nhằm đáp ứng nhu cầu của những cơ quan khác.

Nhóm chuyên trách về cơ chế xác thực cho cơ quan thực thi pháp luật đặt mục tiêu công bố một đặc tả kỹ thuật để các cơ quan có thể triển khai tương thích.

Theo phương án đang được xây dựng, RDRS sẽ chuyển yêu cầu đến nhà đăng ký đã cung cấp tên miền liên quan. Đơn vị này có 24 giờ để xem xét, hoặc tối đa 72 giờ đối với yêu cầu phức tạp. Đây là thời gian xem xét, không phải cam kết dữ liệu chắc chắn được cung cấp.

Nhà đăng ký có thể từ chối nếu cho rằng yêu cầu không đạt ngưỡng khẩn cấp. Tại phiên thảo luận, đại diện Namecheap và Verisign bày tỏ sự ủng hộ đối với đề xuất.

Một biện pháp khác nhằm tránh hệ thống bị quá tải là chỉ cho phép những nhân sự do từng cơ quan chỉ định gửi yêu cầu. Quyền này dự kiến được kiểm tra thông qua mã xác nhận quyền, thường gọi là token, trao đổi trong quá trình xác thực SAML. Cách làm đó nhằm hạn chế tình huống hàng nghìn nhân viên của một cơ quan lớn đồng loạt gửi yêu cầu đến các nhà đăng ký.

Công việc hiện nay của nhóm chuyên trách chủ yếu nằm ở tầng kỹ thuật: xác minh người gửi là ai và họ có được phép gửi yêu cầu hay không. Những vấn đề như điều kiện sử dụng được chấp nhận và nội dung cụ thể của mã xác nhận quyền sẽ cần các nhóm phụ trách chính sách trong ICANN hoàn thiện sau.

ICANN cũng đang cân nhắc cách bảo vệ danh tính nhân sự thực thi pháp luật gửi yêu cầu. Nếu địa chỉ thư điện tử của họ xuất hiện trong hồ sơ, những người này có thể trở thành mục tiêu quấy rối hoặc chịu các rủi ro nghiêm trọng hơn.

Vì vậy, thử nghiệm không chỉ là câu chuyện rút ngắn đường tiếp cận dữ liệu. Thách thức còn nằm ở việc tạo ra một quy trình đủ nhanh cho tình huống nguy cấp, nhưng vẫn có kiểm soát, bảo vệ quyền riêng tư và có thể vận hành trong nhiều hệ thống pháp luật.