whois

次世代のWHOISが誕生

次世代のWHOISが誕生 Brian King MarkMonitor 2019年8月26日 今日、何十年にも渡り繰り広げられてきた、ドメイン名所有者情報の構造や処理方法を改善するための取り組みが、重要な節目を迎えました。今後、これまでの43番ポートを使用するWHOISプロトコルに代わる新たなドメイン名所有者情報表示メカニズムとして、RDAP(Registration Data Access Protocol)が使用されることになります。   RDAPの起源 一般的にWHOISと呼ばれるドメイン名登録者情報は、何十年にも渡り、さまざまな政策議題として、ICANNで議論されてきました。ICANNのワーキンググループは、ドメイン名登録者に義務付けるべき情報の種類や、ドメイン名登録者情報の非公開化に対する是非、またデータアクセス性に関わる政策の開発に注力しています。このような、時に政治色の濃い対立的な議論とは全く別に、広義のICANNコミュニティは、そうした政策議論の行く末に関わらず、少なくともドメイン名登録者情報の形式を統一させるべきという意見で以前から一致していました。   2002年には、このような議論が起こっていましたが、2019年8月26日をもって、ついに登録者情報出力プロトコルとしてRDAPを利用することがドメイン名のレジストリやレジストラに義務付けられました。   現状 現時点では、43番ポートを使用する既存のWHOISプロトコルを使って登録者情報を送信することが義務付けられています。ただし、ICANNと「契約者」(ドメイン名のレジストリやレジストラ)は、このプロトコルの廃止(早ければ2020年中)までの適切なタイムラインについて、すでに議論を進めています。   新プロトコルを使って送られるデータセット名からも、アクセスプロトコルとそのデータ自体の略記という2つの意味を持つ「WHOIS」(略語に見えるが、略語ではない)という言葉が消えます。WHOISに代わる次のプロトコルとしてRDAPが使用されることになりますが、このプロトコルを使って送信されるデータのためのキャッチーな略語は、まだ見つかっていません。ICANNコミュニティの多くの人々が、「登録者情報」という説明的な言葉を使用しており、驚くべきことに、ICANNですら、キャッチーな略語を定めることをあきらめたようです。代わりに、whois.icann.orgを新しい登録者情報検索サイト(https://lookup.icann.org)にリダイレクトしています。   メリット 今後、国名フィールドは、必ず「US」のように表示されます。43番ポートを利用したWHOISでは、任意のデータ形式が認められていたため、国名フィールドは、US、USA、United Statesと記入されるか、該当のレジストラ特有の記入方法に基づき埋められていました。主権の問題を難しくさせる地理的な要素を検討しなければならない可能性が輪をかけて、この問題を悪化させていました。   一方、RDAPは、ccTLDの割り当てにも活用されている、ISO 3166-1 alpha-2(2文字の国名コード)と同じ国名コードによる出力を義務付けています。国名やその他の登録者情報フィールドのデータ表記方法を統一させれば、ブランド所有者やサイバーセキュリティ専門家にとって、サイバースクワッティング、フィッシング、ボットネット、その他の攻撃者の検出や、最終的には、複数のドメイン名を1つのUDRP(統一ドメイン名紛争処理方針)手続きにまとめる作業が遥かに容易になります。   さらに技術的なメリットとして、レジストリからレジストラへの照会メカニズム(通称「ブートストラッピング」)が確立されました。つまり、レジストリへの問い合わせはレジストラに照会され、そのレジストラから信頼の置けるデータが戻されます。これは現在、登録者情報を保管していない「シン」レジストリに該当します。   また、RDAPには、国際化対応、安全なデータ送信、また、将来的な政策によって許可または義務付けられる場合に「アクセス権の分化」に対応するための技術的機能が加わるなど、ブランド所有者にとってうれしいメリットもあります。このアクセス権の分化は、EPDPフェーズ2ポリシー策定作業の結果次第で、将来的に登録者情報のSystem for Standardized Access/Disclosure(アクセス/開示標準化システムを意味し、Unified Access Model(アクセス統一モデル)、Standardized Access Model(アクセス標準化モデル)、またはAccreditation and Access Model(認証とアクセスモデル)ともいう)を実現するための技術基盤になる可能性があります。   ブランドオーナーがやるべきこと 43番ポートを使用したWHOISプロトコルの廃止後、現在WHOISデータを取り扱っている組織や個人は、RDAPクライアントを構築するか、既存のクライアントを使ってRDAPデータにアクセスする必要があります。一部のブラウザはすでに、RDAPの出力を人間に分かりやすい形式にパースしています。参考までに、Firefoxブラウザでhttps://rdap.markmonitor.com/rdap/domain/markmonitor.orgをご覧下さい。   RDAPコンプライアンスがレジストリやレジストラの責任となったため、ドメイン名登録者としてのブランド所有者が、自身の登録者情報に何らかの対応を行う必要はありません。ただし、IANAレジストラリストから、お使いのレジストラがRDAPサーバーアドレスを発行済みであるか検討し、契約義務を準拠の上、適切に新プロトコルに従っていることを確認することができます。   MarkMonitorのシニアドメインプロダクトマネージャーであるジャスティン・マック(Justin Mack)は、引き続きICANN RDAPパイロットグループに参加し、今回のドメイン名システムに関する重要な変更のために貢献しています。このワーキンググループは、コミュニティの利益のため、レジストリとレジストラがポリシーの実現に向けて協力している証といえるでしょう。   MarkMonitorのソリューションについてはこちら 英語原文はこちら

GDPRとWHOIS: ブランド保護への悪影響

GDPRとWHOIS: ブランド保護への悪影響 Statton Hammock Vice President, Global Policy & Industry Development, MarkMonitor   2018年10月22日 一般データ保護規制(GDPR)の施行から4カ月以上が経ち、多くのドメイン名レジストリとレジストラが公開されているWHOISレコードから登録者情報を改訂しました(ヨーロッパ経済圏外の法人や個人に関する情報も含む、GDPRのプライバシー規制範囲を超える改訂が実施されています)。   これまで、WHOISに含まれるドメイン名登録者情報は、サイバーセキュリティ専門家、ブランド保護サービスプロバイダー、捜査当局、知的財産所有者、児童保護支援団体が、模倣品や著作権を侵害している映画・テレビ番組・音楽、マルウェア、違法薬品、模倣品、児童ポルノ、その他の違法コンテンツを販売するウェブサイトを宣伝する個人を特定し、その人物に接触して、起訴するために使われてきました。インターネット監視団体は、WHOIS情報が改訂されることで、捜査当局や知的財産保護支援団体が刑法や民法に基づく法的措置を講じることが困難になると考えていました。   今までは実際の影響を証明するデータが不十分でしたが、2つのサイバーセキュリティ組織APWG(Anti-Phishing Working Group)とM3AAWG(The Messaging, Malware and Mobile Anti-Abuse Working Group)が、サイバー調査員を対象としたアンケートを行い、セキュリティ活動への影響に関する調査結果を発表しました。   また、5月25日にGDPRが施行されてから、WHOISの改訂が弊社の模倣品、著作権侵害対策、詐欺防止サービスに与える影響をMarkMonitorで追跡してきました。まだ完全なデータではありませんが、影響の概要が見えてきましたので、ご紹介したいと思います。   問題点 この5月25日に先立ち、MarkMonitorの法的措置チームは、侵害停止要請や削除通知書を送付するため、公開されているWHOISデータベースに、定期的に登録者名と連絡先の問い合わせを行いました。WHOISの連絡先情報が不正確であったり、プライバシーまたはプロキシーサービスによって隠されている場合は、そのレジストラや侵害サイトをホストしている企業の不正報告窓口に通告していました。しかし、GDPRの施行後、WHOISの公開されている登録者データが全て削除されていたり、ほとんどなくなってしまったため、非公開のWHOISデータをレジストラや登録者から直接、請求しなければならなくなりました。   以下の表から分かるように、残念ながら、登録者情報を適切に取得できたケースは、たった22%でした。   過去4カ月間で収集したデータから、完全公開されているWHOISレコードのうち、GDPR後も登録者情報が改訂されていないレコードは、たった9%でした。取得できた完全なWHOISレコードの大多数は、レジストリではなく、レジストラから提供されたものです。   しかし、大多数のレジストラは、登録者情報リクエストを拒否または無視しています。70以上のレジストラに対して行った350件以上のリクエストのうち、レジストラがWHOISデータを返したケースは、たった26%でした。74%のWHOISデータリクエストが、無視(リクエストに対する回答が確認されなかった)または拒否されました。無視または30日以上回答のないリクエストは、拒否されたものと見なしました。   ICANNのgTLD登録データ用の暫定仕様ポリシー(Temporary Specification for gTLD Registration Data)で義務付けられるとおり、一部のレジストラは、登録者の個人情報を開示することなく、第三者が登録者に通知を送れるよう、匿名のeメールアドレスやウェブフォームを用意しています。しかし、多くのレジストラは、このような仕組みを実装せず、登録者の連絡先情報も不十分であり(メッセージの送受信を確認できない)、登録者の身元確認もしていないため、法的措置を行うには信頼性の低い情報となっています。登録IDも、UDRPの下で知的財産権を行使し、反サイバースクワッティング消費者保護法(Anti-Cybersquatting Consumer Protection Act; ACPA)に基づき訴訟を起こす場合に有益な情報となります。   さらに、MarkMonitorは、GDPR施行前と比べ、侵害検知数がわずかに上昇していることを確認しました。これは、過去に確認された夏の季節性の減少予想とは逆の傾向です。この上昇傾向を具体的にGDPRやWHOISデータの改訂と結び付けることはできませんが、MarkMonitorは、上昇に繋がる要因の解明や把握をするために、この傾向に注目し、詳しい内部分析を行っています。   一般公開されているWHOIS内の登録者情報にアクセスすることは固く禁じられているため、MarkMonitorはGDPRに沿った法的措置戦略やプロセスを修正する必要がありました。現在MarkMonitorでは、ブランドの法的措置業務の効率性が19%下がったことが判明しています。ウェブサイト所有者の検知テクノロジーは大幅に強化されましたが、WHOISデータに確実なアクセスができないため、法的措置チームがウェブサイト所有者の信頼できる連絡先を見つけて、削除通知書を送付するまでの時間が増えました。   […]

GDPR施行後に知っておくべき6つの事実

GDPR施行後に知っておくべき6つの事実 Statton Hammock Vice President, Global Policy & Industry Development, MarkMonitor   2018年6月26日 GDPRの施行で、ブランド保護の世界がより複雑になったと、誰もが認識していることと思います。なかでも、WHOISへの影響についてはよくご存知でしょう。レジストラの多くは、EU圏外の居住者や個人でない登録者の情報も改訂したため、実質的にWHOISから登録者情報が消えてしまったと言えるでしょう。このように先行きが不安定な中、現状に光明を見出すため、6つの疑問への回答していきましょう。   なぜ、レジストラは登録者情報を非公開にしているのですか? 5月末に、ICANN(Internet Corporation for Assigned Names and Numbers)がWHOISのデータ表示に関する暫定仕様を承認しました。レジストリやレジストラはこの仕様に従うことが義務付けられています。登録者がヨーロッパ経済圏内の居住者であるかどうかに関わらず、レジストラやレジストリにあらゆる登録者のデータを非公開とすることを認めています。   レジストリやレジストラの中には、登録者データの一部を表示しているようです。 そういったこともできるのでしょうか? ccTLDを販売・提供するレジストリ/レジストラなど、一部のレジストリ/レジストラはICANNの契約やポリシーの対象外とされています。また、一部のレジストリ/レジストラは、現地法に基づき、GDPRに違反することなく、登録者のeメールアドレスなど一部のWHOIS情報を公開できるとしています。レジストラは、法律の専門家の助言に従うようにしてください。   WHOISが変わったことで、MarkMonitorによる知的財産権の行使はどのように影響を受けますか? WHOISから登録者情報を取得できなければ、逆引きDNSルックアップや匿名ドメイン名を取得する作業に影響が出ます。ウェブサイトへの法的措置には問題がありませんが、侵害しているウェブサイトの確かな登録者連絡先情報を探す段階が複雑になります。その他のサービスで影響はありません。   法的措置を講じるにあたり、WHOISの影響を軽減する取り組みは行われていますか? GDPRがMarkMonitorのサービスに与える影響を確認した結果、3つの解決策で問題に対応することにしています。1つ目は、ブランドアナリストを追加採用し、ウェブサイトで登録者情報を検索する際のマニュアル作業負担を軽減しています。2つ目は、登録者のIDとなるような他のデータを見つける技術を導入しています。最後に、MarkMonitorをサポートする第三者と協力し、知的財産権の侵害を特定することです。   WHOISの情報が改訂される状況は、いつまで続きますか? これは誰にも分りません。少なくとも、数カ月は続くでしょう。関係者に非公開となっている全てのWHOISデータ閲覧に対する認証評価やアクセスモデルの開発に時間がかかっています。MarkMonitorのGRMチームメンバーは、出来るだけ早くアクセスモデルが設計、開発、導入されるように、他の企業、協会、非営利団体と共に、ICANNのサポート活動に積極的に参加しています。しかし、モデルが承認されても、施行されるには約9~12カ月を要する可能性があります。   クライアントからGDPRや、知的財産権の行使に与える影響について質問があった場合、どのようなリソースを紹介できますか? MarkMonitorのグローバルポリシー担当バイスプレジデントであるスタットン・ハモック(Statton Hammock)がブログで、役立つ情報や見解を共有しています。また法的処置は各国によって異なります。専門家に是非ご相談ください。   MarkMonitorのソリューションについてはこちら 英語原文はこちら

GDPR後もWHOISは変わらないのか?

GDPR後もWHOISは変わらないのか? Statton Hammock Vice President, Global Policy & Industry Development, MarkMonitor   2018年6月19日   一般データ保護規制(GDPR)が施行され、ブランド保護の担当者は、GDPRがオンラインブランド保護に与える影響を把握する必要が出てきました。中でも重要な問題の1つが、DNSルックアップサービス「WHOIS」の将来です。   WHOISは、消費者やブランドを保護するうえで、極めて重要なツールでした。しかし、5月25日にGDPRが施行され、重要な登録者情報をWHOISから取得することができなくなりました。以前のWHOISはGDPRに準拠しておらず、名前、eメール、住所などの個人を特定するデータを表示していました。5月末に、ICANN(Internet Corporation for Assigned Names and Numbers)がWHOISのデータ表示に関する暫定仕様を承認しました。レジストリやレジストラはこの仕様に従うことが義務付けられており、登録者がヨーロッパ経済圏内の居住者であるかに関わらず、レジストラやレジストリにあらゆる登録者のデータをマスキングすることを認めています。   対処の方法 認証評価やアクセスモデル、つまり、関係者やブランド保護組織に、非表示のデータにアクセスする権利を付与するメカニズムが確立されるまで、ブランド保護担当者はレジストラのドメイン不正利用報告受付窓口にクレームを申し立てるか、マスキングされたWHOISデータへのアクセスを求める訴訟を起こさなければなりません。または、単純に一切WHOISに頼らない別の方法が見つかるかもしれません。いずれ、他のウェブサイトから情報を取得する新テクノロジーが登場し、ブランドオーナーの保護活動を支援することとなるでしょう。十分に精巧なテクノロジーであれば、WHOISに依存する必要はなくなります。   結論 現在の不安定なWHOISの状況には多くの方が不安を感じているかもしれません。しかしブランドオーナーは可能な限り最善の方法でブランドを保護し続けるしかありません。GDPRがWHOISに与える長期的な影響を予想することはできませんが、将来は、現在よりも遥かに幅広いツールやソリューションが開発されブランドが保護されていくことでしょう。   MarkMonitorのソリューションについてはこちら 英語原文はこちら