Introductie

Een recente studie van Interisle[1],[2] heeft de prevalentie van het ontbreken van identificerende contactinformatie in de registratiegegevens van gTLD-domeinnamen benadrukt, met de bewering dat bijna 90% van de records dergelijke informatie ontbeert[3]. Deze trend is bekend sinds de invoering van de Algemene Verordening Gegevensbescherming (AVG/GDPR) in 2018, als reactie waarop veel beschikbare contactinformatie werd afgeschermd, maar is mogelijk ook slechts een voortzetting van een patroon dat sowieso al steeds vaker voorkwam. Het gebruik van privacy- en proxyservices is aantrekkelijk voor veel registranten die online anonimiteit wensen en kan in het bijzonder aantrekkelijk zijn voor inbreukmakers.

De studie van Interisle bekijkt een set van 3.000 domeinnamen en richt zich daarnaast op pogingen om contactgegevens te identificeren op eventueel gekoppelde websites. In dit artikel beschouwen wij een analyse van een bredere dataset van gTLD-namen, maar richten wij ons uitsluitend op de informatie in de whois-records zelf (die expliciet vallen onder een ICANN-regelgeving die het verstrekken van correcte contactinformatie aan de registrar vereist[4], zelfs als de registrar deze informatie vervolgens publiekelijk ‘afschermt’), met als doel de omvang en implicaties van ‘donkere’ whois-records binnen het domeinlandschap te beoordelen.

Methodologie en overzicht

De analyse bekijkt een steekproef van 500 domeinnamen[5] uit elk van de 100 grootste gTLD-zonefiles, wat resulteert in een totale dataset van 50.000 domeinen. Daarbij worden uitsluitend whois-records meegenomen die beschikbaar zijn via een geautomatiseerde opvraging, met specifieke focus op de velden voor registrantnaam of -organisatie en het e-mailadres zoals vermeld in het record.

In de studie wordt gekeken naar de prevalentie van een reeks whois-recordcategorieën die overeenkomen met de mate van privacybescherming of afscherming die wordt toegepast, en die de definities van ICANN volgen[6].

Gebruik van een proxyservice

Hierbij wordt geen expliciete informatie over de ‘echte’ registrant vermeld in het naam- of e-mailadresveld van het record. Proxyserviceproviders gebruiken hun eigen contactgegevens in het whois-record en zijn technisch gezien in elk geval de juridische geregistreerde eigenaar van het domein, waarbij zij optreden als licentiegever van de naam aan de eindklant.

Gebruik van een privacyservice

In dit geval is de klant de geregistreerde eigenaar van het domein en wordt deze vermeld in het registrantnaamveld van het whois-record, hoewel andere contactgegevens kunnen ontbreken, vaak vervangen door doorgestuurde e-mailadressen die door de dienstverlener worden geleverd.

Afscherming

Deze definitie wordt gehanteerd wanneer de term “redacted” expliciet in het whois-record verschijnt ter vervanging van een van de andere normaal aanwezige velden. In deze studie worden afgeschermde records onderverdeeld in records waarbij een specifieke identificeerbare registrant wordt genoemd en records waarbij dit niet het geval is. Deze categorie omvat ook gevallen waarin een expliciet contact-e-mailadres wordt vermeld, wat volgens sommige definities als ‘open’ records zou kunnen worden beschouwd.

Open

Dit zijn gevallen waarin zowel een expliciete eigenaarsnaam als een contact-e-mailadres wordt vermeld. Dit is een relatief strikte definitie en sluit gevallen uit waarin het e-mailadres dat van de onderliggende registrar of een andere dienstverlener is, die in deze analyse worden beschouwd als privacybeschermde records.

Het ontbreken van persoonlijk identificeerbare informatie in een domein-whois-record maakt het voor merkeigenaren fundamenteel moeilijker om handhavingsacties tegen inbreukmakers te starten, met name wanneer escalatie buiten de online omgeving nodig is. Dit kan een situatie creëren die gunstig is voor kwaadwillende partijen. Hoewel het in sommige gevallen mogelijk is om een verzoek in te dienen bij een registrar om de onderliggende contactinformatie vrij te geven, en aantoonbaar onjuiste informatie aanleiding kan zijn voor opschorting van een domein, verschillen nalevingsniveaus en documentatievereisten per registrar sterk.

Daarnaast bemoeilijkt een donker whois-landschap het prioriteren en clusteren van domeinen op basis van gedeelde kenmerken binnen merkbeschermingsinitiatieven, waardoor efficiënte bulk-takedowns complexer worden en het moeilijker wordt om kwade trouw bij seriële inbreukmakers aan te tonen.

Bevindingen

Van de 50.000 domeinen in de dataset hebben slechts 14.908 domeinen (29,8%) whois-records die beschikbaar zijn via geautomatiseerde opvraging. Daarbij wordt opgemerkt dat 51 van de 100 gTLD’s geen informatie teruggeven bij geautomatiseerde queries. Deze 14.908 domeinen vormen de basis voor de rest van de analyse. Zesendertig van de 100 gTLD’s leveren whois-records voor ten minste de helft van de opgevraagde domeinen.

In totaal werden slechts 110 domeinen (0,74%) geclassificeerd als domeinen met ‘open’ whois-records. Deze domeinen zijn verspreid over vijftien verschillende TLD’s: .africa, .agency, .art, .best, .bond, .cam, .christmas, .com, .company, .fun, .icu, .net, .pics, .tech en .website.

Tabel 1: Aantallen domeinen per categorie whois-record

Het gebruik van proxyservices is opvallend en omvat bijna twee derde van de domeinen in de dataset, met aanzienlijke verschillen tussen TLD’s. Acht TLD’s laten een gebruik van proxyservices zien van meer dan 80%, waaronder .today, .shop, .christmas, .one, .cam, .zone, .media en .art.

Tabel 2: Meest voorkomende registrantorganisaties bij proxyservices

Tabel 3: Meest voorkomende contact-e-mailadressen in privacybeschermde records

Discussie

Het beperkte aantal ‘echte’ contactgegevens in domein-whois-records is deels het gevolg van een omgeving waarin anonimiteit zeer aantrekkelijk is. Dit creëert een online ecosysteem dat gunstig is voor inbreukmakers en steeds problematischer wordt voor merkeigenaren. Tegelijkertijd bestaan er wel degelijk handhavingsmogelijkheden, zoals verzoeken tot het vrijgeven van registrantgegevens, meldingen bij hostingproviders of registrars en formele domeingeschilprocedures.

Daarnaast kunnen OSINT-onderzoeksmethoden, gebaseerd op website-inhoud of historische whois-gegevens, helpen bij het in kaart brengen van activiteiten van inbreukmakers. Initiatieven zoals de Registration Data Request Service (RDRS) van ICANN[8] en de geplande overgang van whois naar RDAP in 2025 kunnen bijdragen aan meer gestandaardiseerde toegang tot registratiegegevens.

Op langere termijn kan regelgeving zoals de NIS2-richtlijn, die registries en registrars verplicht tot het verzamelen en beschikbaar stellen van gedetailleerde registratiegegevens[9], leiden tot een hernieuwd evenwicht tussen privacy en verantwoordelijkheid binnen het domeinlandschap.
 

[1] https://dnib.com/articles/interisle-report-examines-domain-name-contact-data-availability

[2] https://circleid.com/posts/new-data-on-domain-name-contact-availability-and-privacy

[3] Strikt genomen heeft de studie betrekking op de Registration Data Directory Services (RDDS)-systemen die door registries en registrars worden aangeboden voor het beschikbaar stellen van toegang tot registratiegegevens, waarvan de bekende whois-dienst een onderdeel is – zie https://www.icann.org/resources/pages/whois-rdds-2023-11-02-en

[4] https://www.icann.org/resources/pages/wdrp-2012-02-25-en

[5] De steekproef bestaat uit elk 25e domein in de volgorde waarin zij in het zonebestand voorkomen (meestal alfabetisch), totdat er 500 zijn geselecteerd – deze waarde is gekozen omdat alle 100 geanalyseerde zonebestanden ten minste 12.500 domeinnamen bevatten

[6] https://www.icann.org/resources/pages/pp-services-2017-08-31-en

[7] Let op dat dit in werkelijkheid het misbruikcontact-e-mailadres van de registrar kan zijn; dit kan in veel gevallen het enige expliciete e-mailadres zijn dat in het whois-record wordt vermeld

[8] https://www.linkedin.com/posts/stobbs_rdrs-activity-7212106221485531136-Rr7B

[9] https://www.uschamber.com/technology/domain-name-data-why-its-disappearing-and-why-you-should-care