Registry lock vraagt om standaardisatie
CENTR-whitepaper over meer gestandaardiseerde en gestroomlijnde registry locks voor domeinnaamregistraties
Eind 2018 vonden er enkele incidenten [1, 2] plaats waarbij grote infrastructurele domeinnamen waren betrokken. Deze situaties hadden voorkomen kunnen worden door de toepassing DNSSEC en een zogenaamd registry lock. Registry locks bestaan al lange tijd, maar zijn onbekend en ondergewaardeerd. Lang niet alle registry’s bieden de dienst aan en de registry’s die het wel doen, doen het allemaal op hun eigen manier. Van standaardisatie is geen sprake, maar de markt vraagt hier wel om. Dit wordt nu in CENTR-verband opgepakt en SIDN draagt hier actief aan bij. Ook ons eigen registry lock, .nl Control, nemen we op de schop.
Op de agenda van CENTR
Na de incidenten in 2018, kwam het registry lock weer op de agenda te staan bij veel registry’s en ook bij CENTR, het samenwerkingsverband van Europese registry’s. Tijdens de jaarlijkse CENTR Jamboree in 2019 spraken de leden over de vraag waarom domeinnaamhouders niet vaker kiezen voor deze vorm van domeinnaambescherming.
Wat is een registry lock?
Een registry lock voorkomt dat er zonder medeweten van de domeinnaamhouder een belangrijke verandering voor de domeinnaam doorgevoerd kan worden. Iedere opdracht tot een wijziging wordt door de registry (bijvoorbeeld SIDN voor .nl) eerst zorgvuldig geverifieerd bij de domeinnaamhouder.
Grote diversiteit
Een van de mogelijke redenen voor de lage acceptatiegraad, die tijdens de bijeenkomst werd vastgesteld, was het gebrek aan bewustzijn. Domeinnaamhouders zijn zich vaak nauwelijks bewust van de waarde van hun domeinnaam en daarnaast van het bestaan van registry locks. De belangrijkste onderliggende oorzaak werd gezocht in de vele verschillende manieren waarop registry’s het lock implementeren. Dit maakt niet alleen de technische integratie door registrars en resellers moeilijk, maar het maakt het ook lastig om de waarde van een registry lock uit te leggen.
Onderzoek onder CENTR-leden
Er werd een werkgroep geformeerd door een aantal CENTR-leden, die werd belast met de vraag hoe het registry lock gestandaardiseerd kon worden. SIDN maakte ook deel uit van de werkgroep. Uit onderzoek van de werkgroep onder de CENTR-leden bleek dat van de 27 deelnemende ccTLD-registry's er 14 een registry lock-functie bieden en 8 dat van plan zijn. De groep analyseerde de huidige en geplande registry lock-services en groepeerde ze in 2 verschillende modellen, elk met 2 varianten. Deze modellen zijn ontworpen om registry’s te helpen hun registry lock-dienst hierop af te stemmen, om de diversiteit terug te dringen. De technische implementaties van deze modellen kunnen worden gestandaardiseerd, om de integratie met registrars en resellers te vergemakkelijken. Hopelijk moedigt deze taxonomie een geleidelijke overgang naar een meer gestandaardiseerde aanpak aan, waardoor de interactie tussen registry en registrar voorspelbaarder wordt.
Whitepaper
De CENTR-werkgroep beschreef de modellen in een whitepaper dat beschikbaar is op de CENTR-website. We hopen dat dit document registry’s helpt bij het ontwerpen van hun activiteiten, en ook stof tot nadenken biedt aan registrars en andere geïnteresseerde partijen om meer gestandaardiseerde registry lock-services te creëren. Bovenal hopen we dat het leidt tot meer domeinnamen die door een registry lock beschermd worden, in welke vorm dan ook. Uiteindelijk draagt dit bij aan veiliger en betrouwbaarder internet voor iedereen.
.nl Control is complex en tijdrovend
SIDN biedt al meer dan 10 jaar een registry lock aan, genaamd .nl Contol. Tegelijkertijd met het onderzoek van de CENTR-werkgroep bespraken wij met registrars hoe wij .nl Control breder kunnen inzetten om de veiligheid van het .nl-domein te vergroten. Daarbij liepen wij tegen vrijwel dezelfde uitdagingen aan als geconstateerd door CENTR: gebrek aan bewustzijn onder domeinnaamhouders en de technische integratie. Bovendien is het proces achter .nl Control complex en tijdrovend door veel handmatige acties en controles. .nl Control wordt vooral gebruikt door grote merken die het zien als onderdeel van het beschermen van hun merknaam. Met de toename van de online aanwezigheid van ondernemers lijkt de tijd rijp voor een gezamenlijke bewustzijnscampagne met onze registrars gericht op ondernemers.
Verantwoordelijkheid verleggen
In de classificatie van CENTR valt .nl Control onder Model 1B: registry focused (registrar sale), out-of-band authentication. Wat zoveel betekent als: verkoop door registrars en handmatige validatie door SIDN. Onze aanname was dat we het proces zouden kunnen verbeteren door te kijken naar automatisering en de verantwoordelijkheid voor authenticatie. De authenticatie voor .nl Control gebeurt door SIDN (de registry), maar het is ook mogelijk om dit bij de verkopende partij (registrar) te beleggen. De registrar draagt dan zorg voor de authenticatie van de domeinnaamhouder bij het aanbrengen van het lock of het doorvoeren van wijzigingen. Door de registrar bijvoorbeeld via 2-factor authenticatie in te laten loggen in het domeinnaamregistratiesysteem voordat hij deze handelingen uit kan voeren, bouw je ook een bepaalde mate van zekerheid in dat de degene die inlogt ook écht de registrar is.
eID’s bieden uitkomst
Dat zou wel betekenen dat .nl Control registrar-focused zou worden en we een unique selling point van .nl Control negeren, namelijk: een onafhankelijke partij en beheerder van het .nl-domein draagt zorg voor de authenticatie van de domeinnaamhouder bij het aanvragen van een lock en het doorvoeren van mutaties. Dat verdient dus niet de voorkeur. Om het huidige proces veiliger en efficiënter te maken zou automatisering een uitkomst kunnen bieden. Door de recente ontwikkelingen op het gebied van eID’s wordt het mogelijk om online en op een eenvoudige manier de identiteit van de domeinnaamhouder vast te stellen. Door de domeinnaamhouder bij de aanvraag van .nl Control in te laten loggen in een omgeving van SIDN met een eID, zoals eHerkenning of IRMA, maken wij het uitwisselen van uittreksels en identiteitsbewijzen overbodig. Door eenzelfde systematiek te hanteren voor het accorderen van wijzigingen kan dit zelfs ingebouwd worden in bestaande (EPP)-processen. In de komende periode werken we dit samen met de .nl-registrars en met CENTR verder uit, in een poging om de adoptie van .nl Control te vergroten en het .nl-domein nog veiliger te maken.
