ACM: SIDN misbruikt positie niet door lijst met .nl-domeinen exclusief te houden

De Stichting Internet Domeinregistratie Nederland hoeft geen lijst met alle Nederlandse .nl-domeinen af te geven aan een commercieel bedrijf. De ACM concludeert dat SIDN als enkele beheerder daarvan zijn dominante marktpositie niet direct misbruikt.

De Autoriteit Consument en Markt reageert met het handhavingsverzoek op een klacht van het commerciële bedrijf Dataprovider BV. Dat indexeert websites en biedt bijvoorbeeld databases aan met de prestaties of de impact van bepaalde websites. Daarnaast kunnen bedrijven via Dataprovider in de gaten houden of domeinnamen met hun bedrijfsnaam erin worden geregistreerd. Dataprovider wilde van SIDN een dns-zonefile hebben, een geactualiseerde lijst met alle domeinnamen en ip-adressen. Het moest gaan om een lijst van alle .nl-domeinen, die de SIDN als enige partij beheert.

SIDN wilde die lijst niet aan het bedrijf geven. Volgens de stichting levert het zonefiles alleen 'onder strikte geheimhoudingsvoorwaarden', omdat dat anders zou kunnen leiden tot misbruik zoals spam.

Dataprovider BV zegt dat SIDN daarmee zijn marktmacht misbruikt. De SIDN is een stichting, maar biedt ook commerciële diensten aan. Een daarvan is de dienst DBS, of Domeinbewakingsservice. Dat lijkt volgens Dataprovider BV op een dienst die het bedrijf zelf ook aanbiedt. Door de .nl-zonefile niet af te geven heeft SIDN dus een oneerlijke machtspositie, stelde het bedrijf.

De ACM ontkent dat laatste niet helemaal, maar wijst de claim van Dataprovider af. Het bedrijf zegt zelf dat toegang tot de .nl-zonefile 'niet noodzakelijk is' voor het voortbestaan van het bedrijf. Daarom sluit SIDN concurrentie niet genoeg uit om van machtsmisbruik te spreken, stelt de marktwaakhond. "Het feit dat SIDN exclusief beschikt over de .nl-zonefile, blijkt niet een dusdanig voordeel op te leveren dat dit het aanzienlijke aantal concurrerende aanbieders van SIDN ervan weerhoudt op deze markt actief te zijn", schrijft de ACM.

Het is niet voor het eerst dat SIDN wordt bekritiseerd vanwege zijn positie. Met name de commerciële diensten die de stichting levert zorgen voor een verstoorde markt, concluderen tegenstanders. Vorig jaar riep de Vereniging van Registrars nog op de stichting publiek domein te maken om oneerlijke concurrentie tegen te gaan.

Reacties (71)

[Luchtbakker]

Gezien Dataprovider BV alleen maar uit is om deze data te verkopen aan top-level-domainname verkopers heb ik hier eerlijk gezegd geen moeite mee.

Met zo'n lijst maak je helemaal geen kans meer een fatsoenlijke naam te registreren zonder voor honderden euro's bij een domein veilingsbedrijf te moeten aankloppen.

[bbob]

Waaruit blijkt dat ze die data wil verkopen aan domein verkopers.
Volgens mij als ik het goed lees gaat het om controle van registratie van nieuwe domeinen waarin jou naam kan voorkomen.

dus wil tweakers weten of bijv iemand tweaker-forum.nl heeft aangemeld of ander domein met tweakers er in krijgen ze een melding. Voor merknaamhouders is dat een goede toevoeging maar ook pinshing domeinnamen kun je zo snel aanpakken.

Als ik het goed lees is sidn als enige die dit nu door hun database kan leveren en andere bedrijven niet.

Lees je de uitspraak dan heeft dataprovider mede verloren omdat het ook niet hun voornaamste bron van inkomsten is.

Het bedrijf zegt zelf dat toegang tot de .nl-zonefile 'niet noodzakelijk is' voor het voortbestaan van het bedrijf. Daarom sluit SIDN concurrentie niet genoeg uit om van machtsmisbruik te spreken, stelt de marktwaakhond.

Dat neemt niet weg dat wil jij nu zo een dienst aanbieden als nieuw bedrijf je dat niet kan en sidn als enige dat wel kan.
Daarnaast is het een commerciële taak en je leest ook al dat er commentaar is op dit soort diensten door sidn.

[tsjech@]

Ze zijn gewoon een datascraper met een goed algoritme voor hun data. Waarom zou je zo een partij toegang geven?

Ze zeggen zelf in een interview het volgende:

Al deze minutieus gestructureerde data verkoopt Dataprovider door aan grote bedrijven. Branbergen: 'We stillen de datahonger van veel bedrijven en daarvoor gebruiken we het internet als bron. Wij herkennen alle informatie. Onze systemen herkennen en downloaden vier miljoen websites.' Ook houden de ‘robots’ van Dataprovider al de verkregen data up-to-date. 'Ons systeem ververst alle informatie op zeer korte termijn.'

Ondernemingen en bedrijven kunnen een abonnement nemen om gebruik te maken van de zoekmachines van Dataprovider. 'We werken samen met zeer grote bedrijven als LinkedIn en Yellowpages. Zij kunnen op zoek naar gefilterde en specifieke data die ze nodig hebben voor hun bedrijfsvoering. Voor hen geldt: data en kennis is macht. En dat door simpelweg slim gebruik te maken van het internet!'

https://campus.groningen....onger-van-grote-bedrijven

[Bender]

Volgens mij als ik het goed lees gaat het om controle van registratie van nieuwe domeinen waarin jou naam kan voorkomen.

Dat zou dan ook geen reden te zijn om die zone file te overhandigen, want dit kunnen ze immers al met het whois systeem controleren.

Het publiekelijk belang om de lijst niet te overhandigen, is groter dan het belang van dit individueel bedrijf.

[Arnoud Engelfriet]

Niet helemaal. Zij willen een bewakingsdienst die ook signaleert dat gelijkende namen (zoals dat tweakers-forum.net van hierboven) zojuist geregistreerd is, of tweakershop.com. Jij kunt niet raden wat domeinkapers gaan verzinnen, dus dan is een lijst met wat er vandaag is geregistreerd veel handiger. Daar kun je in zoeken op de merknaam en afgeleide varianten.

Ik zie het publiek belang even niet? SIDN heeft het daar ook niet over gehad.

[Bender]

Ik geloof niet dat ze handmatig controles gaan uitvoeren, dus het zullen automatische controles zijn.
Dat wil zeggen dat je die controles ook prima kunt doen via de api, dus de whois.
Als je niet automatisch een woordenlijst kan genereren vraag ik me namelijk ook af of het nog wel gelijkwaardig te noemen is.

Mij lijkt het tegengaan van spam, datascrapers en andere zaken die je hier mee kunt doen wel redelijk publiek belang gezien alle data lekken.
(of gebruik ik de verkeerde bewoording?)

[Arnoud Engelfriet]

Nee, met de whois kom je er niet. Doe mij eens pseudocode voor een set whois-aanroepen van alle domeinnamen waarin 'tweak' opgenomen is?

Alle woorden genereren met die frase erin, inclusief l33t spelling, koppelstreepjes, Unicode varianten en weet ik veel? Dan kom je echt tegen een rate limiter aan.

[Bender]

Performance limiet is het probleem van de SIDN door de wijze waarop ze de dienst aanbieden lijkt mij.
Ik heb wel meer platforms draaien die op dagelijkse basis 10.000 requests doen, enkel voor het ophalen van voorraden bij een leverancier (wat per product moet).
Dat moet geen probleem zijn (niet dat het mijn voorkeur zou hebben want het is niet efficient, maar veel systemen werken zo)..

[Arnoud Engelfriet]

Het zal vast technisch in te regelen zijn, maar ik weet zeker dat SIDN niet wil dat je partial queries (*tw??k*.nl) op de .nl zone gaat doen via whois.

[Bender]

Ongetwijfeld niet de voorkeur.
Maar lijkt mij nog steeds een beter oplossing dan alles maar geven, toch?

[Verwijderd]

Dan kunnen ze net zo goed de certificate transparency van Let’s Encrypt monitoren want daar komen ze toch wel langs voor een certificaat.

[bbob]

Als Let's encrypt iedere dag lijst heeft zou dat kunne maar weet niet of dat zo is.

[Verwijderd]

Wordt live geüpdatet.

[em.jay]

Het idee achter certificate transparency (CT) is juist dat dit publiek en in real-time te volgen (auditen) is. Als je er iets meer over wilt lezen:

https://www.linkedin.com/...g-internals-andrei-hawke/
https://www.linkedin.com/...y-internals-andrei-hawke/

[em.jay]

Op zich goede opmerking, maar op dat moment is de domeinnaam natuurlijk al geclaimd dus defensieve registraties aanraden kan niet via dit pad. Als verdere aanvulling: het is (tegenwoordig) vereist dat een certificaat in een Google CT log is gepubliceerd, ongeacht door welke CA het certificaat is ondertekend. Je kan dus beter alle Google logs in de gaten houden.

[Cerberus_tm]

Dat is wat het bedrijf zegt dat het gaat doen. Maar wellicht zullen ze de gegevens toch doorverkopen. Er zijn vast wel andere belangen die geld kunnen verdienen met zo'n enorme databank van sites, zoals spammers, domain squatters, en hackers (sites met kwetsbaarheden zoeken).

[kodak]

Dat is onzinnig want dat zou betekenen dat je alle mogelijke combinaties moet proberen om dat zeker te weten, wat practisch onmogelijk is en ook onevenredig zware belasting van andermans voorzieningen. Daarom zit er oom een limiet op. Zelfs als ze het via dns proberen blijft het maar raden. Daarbij stelt de wetgever dat het publiek belang niet zomaar is wat ACM of ISDN zelf menen, ze zijn immers een zelfstandige stichting (met eigen commercieel belang) en uitvoerder van wetgeving die spam slechts onder voorwaarden ongewenst stelt. Ze lijken daar geheel aan voorbij te gaan bijnstellen van belangen.

[Reactie gewijzigd door kodak op 27 juli 2024 06:15]

[Bender]

Daar is niks onzinnigs aan, het is heel gebruikelijk controles via de API te doen.
Je kunt een verzoek doen tot opheffing van het limiet, dat hebben meer organisaties.

[kodak]

Dat je een verzoek kan doen wil niet zeggen dat je ook redelijk toegang krijgt, laat staan dat daarmee dus echt practisch inzicht valt te krijgen door te brute forcen op wat je zelf kan bedenken wat kan bestaan. Het doel is inzicht, niet raden om mogelijk voldoende inzicht te krijgen.

[McBacon]

Volgens mij als ik het goed lees gaat het om controle van registratie van nieuwe domeinen waarin jou naam kan voorkomen.

Er zit dan nog wel een aardig verschil tussen wat zij zeggen waar ze het voor nodig hebben, en waar ze het daadwerkelijk voor gaan gebruiken. Als we één ding hebben geleerd van dataverzamelende bedrijven dan is het wel dat we eigenlijk niks van ze kunnen geloven.

[Peterbaksteen]

Nu kan het nog makkelijk, registreer dagelijks nog pareltjes bij mijn eigen registrar voor een leuk bedrag

[JDx]

Ik heb altijd nog een domein van 3 letters, is dat tegenwoordig niet als bitcoin veel waard?

[Henk Poley]

Yup, bij hacks kan je meestal maar een beperkt aantal tekens 'injecteren'. Dus van die korte domein namen zullen vast veel geld opbrengen op de zwarte markt. Zo van http//a.nl/b.js

[Peterbaksteen]

1 letter bestaat niet

[Zyppora]

Ik krijg anders genoeg spam van het 's.id' domein in mijn mailbox hoor.

Edit omdat ik er per ongeluk een linkje van gemaakt heb en dat lijkt me niet de bedoeling

[Reactie gewijzigd door Zyppora op 27 juli 2024 06:15]

[tom.cx]

SIDN staat domeinen van een letter/cijfer niet toe. Sommige staan het wel toe als je een mooi bedrag per jaar kan betalen. Zoals Twitter doet met t.co

[Peterbaksteen]

Je mag hem wel delen, ik kan je wel een ruwe schatting geven van de waarde

[TheSiemNL]

ik heb een drieletter met zowel een .nl als een .be. Is er dan nog bonuswaarde? Heb zelfs de handelsnaam die er bij hoort.
Zoek iets gemakkelijks om met pensioen te gaan.

[Bender]

Dat kan extra waarde hebben, maar hoeft zeker niet. Het is maar net wat de combinatie is, is het Nederlands en Uitspreekbaar dan heeft het waarde, zijn het willekeurige letters is het wat de gek er voor geeft vanaf 100 euro.

[Peterbaksteen]

Of niet eens 50€

[Peterbaksteen]

Welke gaat het om?

[TheSiemNL]

heb je een pb gestuurd.

[Bender]

Een .nl 3 letter kan wat waard zijn, maar zeker niet per definitie. Ik heb bijvoorbeeld tny.nl als verkortingsdienst, maar die gaat me geen 50K opleveren

Er komen er regelmatig te koop voor rond de 100 euro.

[Reactie gewijzigd door Bender op 27 juli 2024 06:15]

[JDx]

Oh ik had de mijne een keer een bod van een DJ met dezelfde nick van 500 ofzo, maar daar heb ik hem niet voor weg gedaan. Maar hoef dus niet te rekenen op 1000en euro's

Wil hem wel ruilen tegen een RTX3090 ofzo

[Bender]

Je naam is niet heel veel waard, de X is doorgaans niet populair maar dan wel weer goed dat da X aan het einde staat.

JDX is niks uitspreekbaars dus iemand met dan maar net Jeroen de Xavier of iets dergelijks heten en zijn bedrijfsnaam dan persee JDX willen gaan noemen.. maar ja dan is Jexa net zo voor de hand liggend en is nog vrij te registreren.

[JDx]

Die gast heet volgens mij Jermaine Decaux ofzo.

Ik heet JorDi, die x is idd zo van, kan alles zijn, kan ermee doen wat ik wil en lekker kort mailadres.

Wie heeft trouwens het recht om 2 letter domeinen uit te geven, zoals NS.nl?

[Reactie gewijzigd door JDx op 27 juli 2024 06:15]

[Bender]

SIDN geeft alle .nl domeinnamen uit.

Alle 2 letters, en waarschijnlijk ook 3 letters, zijn al geregistreerd. Er waren al legio bedrijven die een naam hadden met 2 letters dus die zijn direct geclaimed.
(En anders later nog wel vanwege de waarde)

[Peterbaksteen]

2 letters zijn goddelijk

[Peterbaksteen]

Sidn.nl geeft iedere .nl uit, en feitelijk huurt ns.nl deze ook van sidn.nl

[dec0de]

Ik heb ook een 3 letterig domain


Van .dev.....

[Peterbaksteen]

Haha die brengen niet veel op

[dec0de]

kost gewoon 100e per jaar...

[Peterbaksteen]

.security 3500€ per jaar, maakt het ook geen 3500€
Waard als jij waardeloos.security koopt

[dec0de]

was meer als sad bedoeld

[Peterbaksteen]

Weet ik ook deels wel, maar blijft bij elke net wat een gek ervoor geeft

[kodak]

Het argument dat het tot spam kan leiden kan bij alle adresseerbare gegevens wel genoemd worden en is dus niet uniek of daarmee perse belangrijker. Daarbij stelt de wetgever niet zomaar dat ongevraagd bedrijven mailen toegestaan is en bij particulieren onder voorwaarden verboden. Dat SIDN nobel spam wil voorkomen is niet hun taak en ook niet wat de wet stelt dat nodig is. Ongeacht wat SIDN of de ACM zelf graag zien wat nog niet in de wet staat. Voorkomen is dus maar beperkt gewenst zolang de wet niet is aangepast, waar je als bedrijven ook je volksvertegenwoordigers voor kiest. De ACM is er om de wet te handhaven, niet om selectief een deel van de wet belangrijker te vinden en een ander deel wat ze mogelijk zelf niet uit komt niet.

De vraag is dus wat daar tegenover staat door het niet vrij te geven. SIDN gebruikt zelf vaak het argument dat de domeinen belangrijk zijn voor Nederlandse handel en de economie, maar als het ze uit komt dus voor maar een selecte groep terwijl de economie en handel veel breder is dan dat. Terwijl bij economie en handel het publiek kunnen controleren juist ook belangrijk is, wat met krampachtig vast houden nauwelijks mogelijkheid krijgt.

Het had me redelijker geleken om gewoon eerlijk te zijn over de wetgeving rond spam en dat de wetgever (die namens het volk de keuzes maakt wat wel of niet acceptabel is) dat niet zomaar als ongewenst stelt. Dan was ook naar de ondernemers duidelijk dat als ze graag geen ongevraagde mail ontvangen daar dus ook zelf verantwoordelijkheid in moeten nemen. Dat is niet de taak van de ACM.

Er was waarschijnlijk een tussenweg mogelijk als dat spam voor particulieren wettelijk zelfs een probleem is. Alleen domeinen vrijgeven die van bedrijven zijn. Dat is namelijk de handel die belangrijk is om te kunnen controleren en maakt meteen duidelijk dat de bedrijven dan maar beter de wet kunnen laten veranderen dan afhankelijk te zijn van anderen die ze niet geheel onpartijdig gaat verdedigen omdat het ze zelf uit lijkt te komen.

[Cerberus_tm]

Ik lees hier eigenlijk een soort betoog vóór spam. Want dat is denk ik waar de grootste waarde van zo'n databank in ligt voor geïnteresseerde partijen.

Dan zijn er nog kwetsbaarheden: met zo'n databank kun je wellicht veel makkelijk een heleboel websites tegelijk testen en aanvallen.

Ten laatste kan zo'n databank misbruikt worden door zgn. domain squatters.

Kortom, het lijkt mij niet in het belang van het Nederlandsche volk noch zijn organisaties (verenigingen, overheidsagentschappen, bedrijven, gemeentes, scholen, zorginstellingen, enz.) die de domeinen in gebruik hebben: zoiets kan beter niet vrijgegeven worden voor het commercieel belang van een of ander bedrijf.

Wel ben ik het ermee eens dat de SIDN een semi-overheidsinstelling is en geen commerciële activiteiten zou mogen ontplooien.

[kodak]

Dat je meent dat in spam de grootste waarde zou zitten lijkt me geen redelijk argument om iemand die wijst wat de wet stelt dus maar voor spam zou zijn.

Daarbij stel ik ook dat als ondernemers geen ongewenste mail willen ze beter de wet kunnen laten wijzigen. Dat lijkt me de enige redelijke weg om iets wat opzettelijk toegestaan is maar bij meerderheid ongewenst voor iedereen te laten gelden.

Of iets van belang is blijkt voor handhaving uit wetgeving, niet uit zelf iets vinden voor de rest. Daarbij tonen zowel SIDN als ACM als wat jij stelt naar mijn mening niet aan dat ongewenste mail het grootste probleem is. Je kan namelijk, zoals ik ook aangeef, beperkingen opleggen aan meer open maken. We hebben niet voor niets regels, die kan je niet zomaar selectief gaan negeren.

[Pinkys Brain]

Ik lees hier een betoog voor hoge salarissen voor de SIDN raad van bestuur die met een monopolie positie voor zichzelf zitten te cashen

Elke niet democratische vereniging met een monopolie of grote pot geld word automatisch corrupt.

[GertMenkel]

Die vereniging van registrars is ook een mooie, die willen lekker gaan cashen op het verkopen van data en het verhogen van de domeinprijzen natuurlijk.

Die Dataprovider BV is volgens mij ook een clubje aso's, een beetje proberen de rechtbank te misbruiken om iemand van iemand anders hun inkomstenbron te maken. Lijkt me weer een van die vele etterige Big Databedrijven die weinig toevoegen aan de wereld behalve datalekken.

Het SIDN doet het wat mij betreft prima, laat ze maar lekker hun gang gaan. Hun onderzoek helpt een hele hoop en partijen als het SIDN zijn de reden dat we in Nederland onze DNSSEC zo goed voor elkaar hebben met onze domeinen.

[batjes]

Nederlands bedrijf met een .com adres, niet eens .nl. Maar de website geeft mij ook sterk de indruk dat ze eigenlijk niet zo veel te bieden hebben. Blijkbaar indexeren ze het web voor Google

SIDN heeft veel maatschappelijke kudo's bij elkaar verzameld. Ze hebben veel vertrouwen opgebouwd, ik ga er bij voorbaat van uit dat Dataprovider niet meer dan een stel geldwolven zijn.

[bbob]

Blijkbaar indexeren ze het web voor Google

Wist niet dat google indexering uitbesteed

[Gropah]

Doen ze ook niet. Als ik het mij goed herinner is dataprovider een bedrijf dat websites zelf indexeert en probeert het makkelijker doorzoekbaar te maken voor bedrijven. Een voorbeeld zou een query zijn zoals "contactgegevens voor iedereen die inkoop regelt in de horeca" zodat je met je nieuwe frisdrank makkelijk afspraken kunt maken met de verantwoordelijke van inkoop om je product te promoten.

[chrisros]

Nou, het verhaal van de vereniging van registrars was juist dat ze nu de prijzen moeten laten stijgen, omdat SIDN de prijzen omhoog gooit zonder transparant te zijn waar deze prijsstijging voor benodigd was. Vlak na dat er enkele projecten afgestoten/mislukt waren van SIDN die niet zo veel met het beheer van het NL domein te maken hadden.

[GertMenkel]

Registrars hebben te maken met een prijsverhouding van twee procent terwijl ze zelf enorme marges op hun domeinnamen verdienen.

Een domeinnaam kost €3,48 per jaar bij het SIDN, dat is 8 cent duurder dan voor de stijgingen. Een hele 2% over drie jaar. Een domein kopen kost tegenwoordig maar iets van een euro, maar verlengen zit al snel op 12 euro per jaar als je goedkoop zit. Na twee jaar heb je dus op drie keer de SIDN-prijs betaald voor je naampje, en al na drie jaar zijn domeinen een regelrechte melkkoe. Een portal waar je GLUE records kunt instellen hoeft echt niks te kosten. Dat providers daar een eigen DNS portal bij hosten en daar niet apart kosten voor in rekening brengen is hun keuze, maar daar kun je de SIDN de schuld niet van geven.

Registrars hebben echt niks te klagen, je mag het oneens zijn met de neventaken van het SIDN maar dat ze gedwongen worden de prijs te verhogen slaat echt helemaal nergens op.

[chrisros]

Een domein kopen kost tegenwoordig maar iets van een euro, maar verlengen zit al snel op 12 euro per jaar als je goedkoop zit. Na twee jaar heb je dus op drie keer de SIDN-prijs betaald voor je naampje, en al na drie jaar zijn domeinen een regelrechte melkkoe.

Eens, maar dan moet je ook niet bij die partijen kopen, ik kan je zo enkele partijen noemen waar je voor minder dan 8 euro / jaar een domein kan registreren met fatsoenlijke DNS en webmail.

En daar zit het probleem, zoals je zelf aangeeft hoeft "Een portal waar je GLUE records kunt instellen hoeft echt niks te kosten" en SIDN doet niet veel meer (of zou niet veel meer hoeven doen). Clock cycles / hardware / bitjes worden steeds goedkoper, en toch stijgen zogenaamd de kosten van SIDN. De klacht van de VvR was dat SIDN hier hun machtspositie misbruikt zonder transparantie, niet omdat ze die 8ct zo graag willen hebben.

[Reactie gewijzigd door chrisros op 27 juli 2024 06:15]

[batjes]

De prijzen voor een NL domein zijn 12 jaar gelijk gebleven en de komende jaren verhogen ze het met 2% p/j tot en met 2023.

Dat is geen geldwolverij. De actie van Dataprovider daarentegen, puur op geld belust.

[bbob]

Exact sidn heb je aan jaarcijfers kunnen zien had veel geld op de bank, jaren dik verdienen tot men geen spelen en geld naar andere projectjes die alleen maar geld gekost hebben. Van winst naar verlies dat werd aangevuld met vele geld dat ze in kas hadden.

Waren ze gewoon niet gaan spelen met allerlei zaken zouden de prijzen zelf naar beneden kunnen.

[WhatsappHack]

Blij toe, dan word je helemaal doodgegooid met spam door dat soort smerige bedrijven.

[Peterbaksteen]

Eens, maar die weten je echt wel te vinden als het moet hoor

[WhatsappHack]

Geen reden om het ze makkelijker te maken. Zelfde als met de KVK, daar is t intussen ook moeilijker om bepaalde gegevens te krijgen (afhankelijk van je instellingen.). Scheelt een hoop.

[Peterbaksteen]

Jup

[Hestronic BV]

Die DBS die ze aanbieden, dat werkt toch enkel bij domeinnamen die via SIDN worden ingeschreven?
Omdat wij vaak de welbekende spam-mail krijgen vanuit China dat er een domeinnaam geregistreerd gaat worden op .CN domein. En ja, dan moet je 'betalen' om het tegen te houden.

Die liet me laatst nadenken of er iets globaals tegen gedaan kan worden naast ze in een blacklist te gooien zodat medewerkers van klanten niet gevist kunnen worden.

[orbit_ph]

Die DBS die ze aanbieden, dat werkt toch enkel bij domeinnamen die via SIDN worden ingeschreven?

DBS werkt real-time op de .nl zone-file, andere TLD's hebben ze afspraken mee en dat is gemiddeld ~24 uur na registratie van een domeinnaam. DBS werkt op basis van zoek criteria in de domeinnamen (bijv. ING Bank of SIDN), daarmee presenteren ze een overzicht van domeinen die geregistreerd zijn.

Daarop kun je als organisatie dus actie ondernemen, het zou een alternatief moeten zijn voor het preventief registeren van domeinen (daar zitten immers kosten aan verbonden). Door te zien welke domeinen geregistreerd worden zou je dan een notice & takedown in gang kunnen zetten als er reden toe is.

Diverse financiële dienstverleners (banken/creditcard maatschappijen) en overheid maken gebruik van DBS.

[densoN]

Ik vind het maar bizar dat ondernemers grof geld moeten betalen voor deze dienst (DBS). Stel je bent een Zalando en wilt je onderneming en klanten beschermen tegen cyberaanvallen. Dan mag je dus 10.000 euro per jaar betalen om een enkele domein (zalando.nl) te monitoren. Wanneer je een eigen regex tegen de zone file aan gooit heb je hetzelfde resultaat. De kosten voor de dienst staan dus totaal niet in verhouding met de lasten. En wanneer het geld wat SIDN binnen harkt vervolgens wordt gebruikt om allerlei projecten die niets met domeinbeheer te maken hebben te funden is mij het spoor helemaal bijster.

Wij zouden onze klanten hier graag beter tegen willen beschermen, maar veel klanten kiezen voor andere security oplossingen wanneer ze de kosten tegen de baten afzetten.

Nu hebben we maar zelf een tool gebouwd waarbij kwaadwillenden dus altijd een voorsprong hebben van 24 uur. Dit is iets wat best wel killing is, als je te maken hebt met gerichte phishing campagnes.

[Reactie gewijzigd door densoN op 27 juli 2024 06:15]

[Sorcerer8472]

Als houder van meerdere .nl-domeinnamen vind ik het op zich prima dat er niet zomaar een hele lijst wordt verstrekt. Anders dan het private belang van één bedrijf en de klanten van dat ene bedrijf zie ik geen echte publieke belangen gediend worden met het vrijgeven van een volledige lijst met alle .nl-domeinen.

[aBotheredMind]

"We share our knowledge and develop new services for cyber security and online identity for instance. And we support initiatives aimed at making the internet better." - https://www.sidn.nl/en/theme/about-sidn

Yeah right.......

[em.jay]

Dat klopt. Als je doorklikt op de pagina die je zelf hebt gelinkt, dan kan je o.a. over enkele projecten lezen die (via SIDN fonds) worden gesteund en wat het maatschappelijk belang daarvan is. Tevens heeft SIDN een onderzoeksafdeling (SIDN labs) en werkt ze veel samen met technische universiteiten om het internet alsmede de Nederlandse kritische infrastructuur veiliger te maken.

[Peterbaksteen]

Dataprovider, de naam zit al in het beestje, alle data wordt doorverkocht

[unfold]

Ik heb het hier in het verleden toevallig ook informeel met SIDN contact over gehad.

Mijn idee was om een stukje software te maken dat op je eigen laptop DNS lookups doet voor .nl domeinnamen. Die hele dataset, zo vertelde ze me, wat iets van 6 gigabyte. Dus je zou die lookup met hedendaagse hardware prima lokaal kunnen doen.

Het "telefoonboek" op je eigen hardeschijf zetten heeft een flink aantal voordelen:

- Snelheid. Geen round-trip naar je DNS provider nodig.
- Veiligheid. Je verwijderd grotendeels je afhankelijkheid van DNS servers, dus MITM misbruik wordt getemd. En DNS loopups zijn vooralsnog zelden encrypted, dus ook dat issue omzeil je.

En zo komen we op waar het mij voornamelijk om ging:

- Privacy. Op dit moment zijn je DNS lookups "out in the open", en daarmee een privacy risico. Je internet provider kan ook precies bijhouden welke website je allemaal bezoekt. In het VK is dat bijvoorbeeld ook echt een issue nu. En in de VS verkopen providers dit soort logs zelfs.

In dit systeem zou je continu in grote chunks je lokale DNS server up-to-date houden. Dat is verrassend eenvoudig, want in de praktijk veranderen servers eigenlijk bijna nooit van IP adres. Dit alles zou via een torrent achtig systeem verspreid en up-to-date gehouden kunnen worden.

Bij de zeldzame cache-miss zou je dan een knop in je browser kunnen gebruiken om alsnog live even de juiste data op te vragen bij je internet provider. En dan meteen 9 extra random domeinen, zodat je provider nog steeds niet wijzer is.

Lijkt me nog steeds interessant om zoiets in Pi Hole in te bouwen. Maar ik heb het al druk genoeg :-)

[JJ93]

Via het SIDN fonds ondersteunen ze zulke projecten!