ICANN thử nghiệm công nghệ cho phép cơ quan thực thi pháp luật truy cập thông tin WHOIS không công khai

ICANN đã bắt đầu thử nghiệm các cơ chế xác thực nhằm cho phép cơ quan thực thi pháp luật gửi yêu cầu khẩn cấp về thông tin WHOIS không công khai, trong những trường hợp cần xử lý các mối đe dọa đến tính mạng, cơ sở hạ tầng trọng yếu hoặc nạn bóc lột trẻ em.

Các nhà đăng ký tên miền thu thập dữ liệu về khách hàng và trước đây những dữ liệu này từng được công khai trong bản ghi WHOIS. Một số nhà đăng ký còn cung cấp dịch vụ thay thế bằng thông tin liên hệ của chính họ để bảo vệ quyền riêng tư của khách hàng.

Vì sao WHOIS ngày càng khó truy cập?

Trong những năm gần đây, các quy định như GDPR buộc nhà đăng ký phải ẩn dữ liệu WHOIS trong nhiều trường hợp. Điều này hoàn toàn hợp lý, nhưng lại gây khó khăn cho cơ quan thực thi pháp luật khi cần liên hệ với chủ sở hữu tên miền nếu tài nguyên của họ bị lợi dụng, dù vô tình hay cố ý, cho các mục đích như lưu trữ mã độc, làm hạ tầng điều khiển và chỉ huy (C2) của mã độc, hoặc hỗ trợ lừa đảo trực tuyến.

ICANN định nghĩa các hành vi đủ nghiêm trọng để biện minh cho yêu cầu khẩn cấp thông tin WHOIS là "mối đe dọa sắp xảy ra đối với tính mạng, thương tích nghiêm trọng về thể chất, cơ sở hạ tầng trọng yếu, hoặc nạn bóc lột trẻ em".

Tổ chức này đã thành lập Nhóm Đầu vào về Cơ chế Xác thực cho Cơ quan Thực thi Pháp luật để xem xét vấn đề, và nhóm đã trình bày tiến độ tại hội nghị thường niên của ICANN ở Bali, Indonesia.

Những lo ngại và cách trấn an

Ở thời điểm này, người dùng có thể lo ngại đề xuất này sẽ tạo điều kiện cho cơ quan thực thi pháp luật đưa ra những yêu cầu không phù hợp về thông tin WHOIS. Tuy nhiên, một số yếu tố có thể xoa dịu lo ngại đó.

Thứ nhất, đại diện của hai nhà đăng ký tên miền là Namecheap và Verisign đã phát biểu tại phiên họp về đề xuất này và cả hai đều ủng hộ. Thứ hai, công việc của Nhóm Đầu vào chủ yếu mang tính kỹ thuật. Sau khi nhóm thiết kế được cơ chế cho phép gửi yêu cầu, các nhóm khác trong ICANN phụ trách chính sách sẽ xây dựng quy định về mục đích sử dụng hợp lệ và các vấn đề liên quan.

Đây chính là cách quản trị internet vận hành: các chuyên gia xử lý từng phần riêng của vấn đề, sau đó phối hợp để tạo ra một hệ thống vững chắc, hoạt động được ở cấp kỹ thuật, thực tế và có thể thực thi ở nhiều khu vực pháp lý.

Cơ chế hoạt động ra sao?

Hiện tại, phương án được ICANN ưu tiên là sử dụng Security Assertion Markup Language (SAML), để người dùng đã được xác thực tại cơ quan thực thi pháp luật có thể đăng nhập vào Dịch vụ Yêu cầu Dữ liệu Đăng ký (RDRS) của tổ chức quản trị này và gửi yêu cầu truy cập thông tin WHOIS không công khai.

ICANN đang thử nghiệm phương án này với FBI và Interpol, đồng thời để ngỏ khả năng áp dụng các cơ chế xác thực khác cho các cơ quan khác truy cập RDRS. Mục tiêu của Nhóm Đầu vào là công bố một đặc tả kỹ thuật để các cơ quan có thể tuân theo.

• ICANN sẽ chuyển các yêu cầu gửi qua RDRS đến nhà đăng ký đã bán tên miền đó.
• Nhà đăng ký có 24 giờ để xem xét yêu cầu, hoặc tối đa 72 giờ với các truy vấn phức tạp.
• Nhà đăng ký cũng có thể từ chối yêu cầu nếu cho rằng truy vấn không đáp ứng ngưỡng khẩn cấp.

Độc giả có thể lo ngại rằng một cơ quan khổng lồ như FBI có thể dồn hàng nghìn yêu cầu từ các nhân viên khác nhau vào RDRS, làm quá tải các nhà đăng ký tên miền. Kế hoạch của ICANN là tránh tình trạng này bằng cách yêu cầu cơ quan thực thi pháp luật chỉ định cụ thể những nhân sự được phép gửi yêu cầu, và thực thi quyền hạn đó bằng một token chia sẻ trong quá trình bắt tay SAML.

Nội dung của token này chính là dạng câu hỏi chính sách mà Nhóm Đầu vào kỳ vọng các bộ phận khác trong ICANN sẽ hoàn thiện sau.

Bảo vệ danh tính nhân viên thực thi pháp luật

Một vấn đề khác đang được cân nhắc là cách bảo vệ danh tính của nhân viên thực thi pháp luật khi họ gửi yêu cầu qua RDRS. ICANN lo ngại những người này có thể trở thành mục tiêu quấy rối, hoặc tệ hơn, nếu yêu cầu xem dữ liệu WHOIS của họ chứa địa chỉ email.

Đối với độc giả Việt Nam, câu chuyện này đáng chú ý bởi nhiều tên miền và dịch vụ trực tuyến tại nước ta cũng phụ thuộc vào các nhà đăng ký quốc tế. Việc cân bằng giữa quyền riêng tư của người sở hữu tên miền và nhu cầu điều tra của cơ quan chức năng là bài toán mà các quốc gia, trong đó có Việt Nam, đều đang quan tâm trong bối cảnh tội phạm mạng ngày càng phức tạp.