Icann-regels vereisen e-mail- en mobiele verificatie bij domeinaanvraag

Icann heeft aan registrars nieuwe regels voorgesteld waarin elke aanvrager van een domeinnaam zijn e-mailadres en telefoonnummer binnen vijftien dagen moet verifiëren. Zo zou Whois-informatie vaker correct moeten zijn en misbruik voorkomen worden.

De regels zijn opgesteld in de Registrar Accreditation Agreement en moeten ingaan zodra de registrars, die zijn verenigd in de Registrar Stakeholders Group, hun handtekening onder de voorstellen zetten. Volgens de voorstellen van Icann moet de aanvrager zijn e-mailadres en telefoonnummer binnen vijftien dagen bevestigen via een verificatiesysteem. Als een aanvrager dit niet doet, dient het betreffende domein te worden opgeschort. Icann zegt met deze maatregel de accuraatheid van Whois-informatie te willen verbeteren. Daarnaast moet de verificatie-eis misbruik tegengaan, bijvoorbeeld door identiteitsdiefstal.

Icann wil met de nieuwe regels registrars verplichten om persoonlijke gegevens van domeinhouders, zoals creditcardgegevens, te bewaren. Als een domein wordt opgeheven, moet deze data nog minimaal twee jaar bewaard blijven. Verder moet het ip-adres van een aanvrager worden opgeslagen en op verzoek aan Icann worden verstrekt. Deze termijn bedraagt 180 dagen. Tenslotte krijgen domeinnaameigenaren maximaal een week de tijd om hun gegevens aan te passen bij wijzigingen.

Het aanscherpen van de regels voor registrars en eigenaren van een domein zijn volgens de Icann ook nodig in aanloop naar het vrijgeven van nieuwe gtld's. De organisatie verwacht in het vierde kwartaal dit jaar de eerste generic top-level domains uit te zullen geven. Welke gtld-voorstellen door de keuringsprocedure heen zullen komen, is nog onduidelijk.

Reacties (43)

[cctld]

Het artikel is niet helemaal volledig.

Een Registrar die het nieuwe contract tekent verplicht zich om een verificatie te doen via telefoon/sms of email. Welk type verificatie is aan de Registrar. Als een Registrar alle methodes wil ondersteunen dan is deze daar vrij in maar niet verplicht.

Het nieuwe contract (RAA 2013) zal gelden voor alle ICANN accredited Registrars.
De voorstellen, zijn geen voorstellen meer sinds afgelopen vrijdag, de voorstellen zijn omgezet naar een contract.

De Registries voor .biz/.org/.info gaan binnenkort een nieuwe contract tekenen met ICANN waarin een bepaling staat, dat deze Registries alleen nog maar zaken kunnen doen met Registrars die de RAA 2013 hebben getekend. Dit houdt ook in dat Registrars die binnenkort de nieuwe TLDs willen gaan aanbieden verplicht zijn om de nieuwe RAA 2013 te tekenen.

De adoptie zal dus zeer snel gaan en de meeste Registrars zullen gaan tekenen.

Registrars die dit jaar tekenen krijgen tot 01-01-2014 de tijd om deze maatregelen in te voeren.
De Registrar Stakeholder Group zet wel grote vraagtekens of dit allemaal gaat lukken voor alle Registrars.

[pim]

Wesbite ideeen worden regelmatig gekopieerd door concurrentie.

Ik gebruik om die reden valse whois informatie voor verschillende domeinen, zodat concurrentie geen inzicht heeft in mijn netwerk, en dus waar ik mee bezig ben.

[WhatsappHack]

Veel registrars bieden private registration.. kan je whois gegevens verbergen. Met nep info heb je geen rechten.

[RoestVrijStaal]

Gezien de ICANN een Amerikaanse instantie is, kun je er niet van op kijken.

Ik vraag me af of dit nou enkel voor de 'Amerikaanse' tld's (.edu, .gov, .mil, .us, .as, .gu, .mp, .pr, .vi ( die laatste zijn van Amerikaanse kolonies overzeese territoria) en voor de generieke tld's die in 'Amerikaanse handen' zijn (.com, .net, .org, .biz, .name, .coop, etc etc) geldt. Of voor alle tld's.

Ik weet niet of alle webhosters er zo blij mee zijn. Zo'n verificatie systeem via SMS is niet goedkoop. En hoeveel is hun 'WHOIS-privacy service' die ze aanbieden, waarvoor doorgaans extra betaald moet worden, nog waard?

Ook is de vraag WAAROM al die gevoelige informatie opvragen en 2 jaar bewaren niet beantwoord. En als houder van een aantal domeinen, zou ik ook Heel Graag weten HOE mijn gegevens worden verwerkt en opgeslagen.

Het donkerbruin vermoeden dat deze actie tot stand is gekomen door veel gelobby en druk van Washington en Hollywood druipt er vanaf.

[WhatsappHack]

Het verificatie systeem zal door ICANN betaald moeten worden *ALS* het verplicht wordt, dat gaan hosters echt niet betalen.
Als ze zelf mogen bepalen hoe en wat dan zal het allemaal wel meevallen en krijg je waarschijnlijk geen SMS verificatie, hehe!

De WHOIS privacy service is nog altijd evenveel waard. Dat systeem gaat er immers om dat mensen publiek jou WHOIS gegevens niet kunnen opvragen...
Als je denkt dat privacy service er voor zorgt dat mensen het totaal niet meer kunnen opvragen of dat de overheid het niet kan opvragen, dan heb je het mis.
Particulieren kunnen een court order krijgen om de whois info te krijgen als er bijvoorbeeld smaad/laster wordt geschreven, en de overheid kan te allen tijden een dwangbevel krijgen om het bedrijf achter de privacy service de echte whois informatie te laten verstrekken.

Dus; het ligt er maar aan welke waarde je er zelf aan hecht; maar over het algemeen is de waarde dat niet iedereen zomaar jou WHOIS kan inzien. En die waarde blijft gewoon bestaan, ongeacht verificatiemethoden...

En ja, als je het niet wilt kan je natuurlijk ook gewoon een domein nemen met een extensie die niet bij de ICANN gedropped is.

[Reactie gewijzigd door WhatsappHack op 23 juli 2024 00:01]

[Verwijderd]

Ik weet niet of alle webhosters er zo blij mee zijn. Zo'n verificatie systeem via SMS is niet goedkoop. En hoeveel is hun 'WHOIS-privacy service' die ze aanbieden, waarvoor doorgaans extra betaald moet worden, nog waard?

Daar wilde ik net elders antwoord op geven MAAR;

Er is een verschil in het verbergen van informatie.

1) Jij verstrekt de juiste informatie, maar neemt tegen meerprijs een whois privacy protect dienst af. Als justitie of welke opsporingsinstantie ook jou, gegevens opvragen en de registrar deze verstrekken.

2) Jij verstrekt onjuiste informatie, neemt geen whois privacy service maar loopt het riscio dat het domeinnaam buiten gebruik wordt gesteld.


De whois privacy protect verstrekkers zullen zeer zeker legaal bezig zijn wanneer de privé details maar opvraagbaar zijn en blijven. Als je zelf onjuiste informatie gaat verstrekken ben je gewoon in strijd met de regels en voorwaarden.

Maar ik blijf erbij, met verificaties werken heeft geen zin.

[AntonNus]

Het is wel duidelijk waar dit voor is:

http://www.icann.org/en/n...oposed-raa-21jun13-en.pdf

The highlights of this proposed 2013 RAA include:
• The 12 Law Enforcement Recommendations that served as the impetus for these negotiations are all
addressed in this proposed draft. The attached Law Enforcement Summary Chart identifies the section
or specification of the 2013 RAA that addressed each recommendation. Some of the highlights include
the creation of an abuse point of contact at each registrar, Whois verification and validation
requirements at the registrant and the account holder levels, stronger language on registrar
obligations for resellers, and new data retention obligations.


ICANN doet er in ieder geval niet geheimzinnig over, ze moeten ook wat meer te dataminen hebben nu mensen misschien Google,Microsoft of Apple niet meer gaan gebruiken ivm privacy.

[Vlad86]

de tijd van anoniem op internet is zo een beetje helemaal aan het wegvagen. beetje bij beetje word alles van alle kanten dichtgemetseld richting een totalitair systeem. internet is aan het stikken. wat een zonde...

[Reactie gewijzigd door Vlad86 op 23 juli 2024 00:01]

[Verwijderd]

Goeie actie van de ICANN. Echter denk ik dat er alsnog misbruik gemaakt kan worden. Je kan altijd een gratis emailadres bij een dienst maken en fake informatie opgeven plus een simkaart kost een paar euro. Of de misbruik van domeinen hierdoor minder zal worden. Ik vraag het me af.

[Verwijderd]

Goede actie? Haha echt niet, dit betekend dat er geen anonieme domeinen meer geregistreerd mogen kunnen worden. Wat betekend dat bedrijven als BREIN makkelijk achter iemands persoons gegevens kan komen.

[Verwijderd]

Personen die zich willen verbergen van bijv. BREIN zal dat altijd lukken. Het nemen van een niet .nl domeinnaam is al een start. Daarnaast zijn er zat gratis domeinen op het internet die ja anoniem kan registeren. Als je maar goed zoekt

[Verwijderd]

Zelfs met een nl-domeinnaam is het een koud kunstje kan ik je vertellen. Als ik wil kan ik zo een willekeurig adres gebruiken zelfs al zou dat adres met verificatie via de post werken.

Men zoekt een willekeurige adres op in de telefoongids. Men verzoekt PostNL verhuisservice de post 'tijdelijk' (bijv. 1 maand) door te sturen naar je eigen adres. Alle post t.a.v. die persoon wordt doorgestuurd naar jou nieuwe adres maar je kunt ook een fake naam gebruiken en door laten sturen.

Dus zelfs deze verificatie is niet na te gaan.

Het kan ook anders, in de US (maar ook diverse andere landen) kun je adressen en z.g.n. P.O. boxen huren zodat non US residents toch nog producten bij bijvoorbeeld eBay sellers kunnen kopen. Registreer domeinnamen op dat adres, en voila.

Let wel; dit is in geval van adres verificatie. Voor email gebruik je natuurlijk al gmail of outlook (live/msn/hotmail) en voor je ip-adres heb je altijd nog TOR proxy servers. Voor telefonie gebruik je XoIP (084 / 087) of een prepaid simkaart van iedere willekeurige mobiele telefoon provider en anders gebruik je iets in de trant van budgetphone, cheapconnect etc.

Al met al; verificaties zijn nutteloos zelfs als je persoonlijke gegevens als een bankafschrift, kopie identiteitsbewijs etc. moet verstrekken leuk dat sommige bedrijven op internet hierom verzoeken maar ze zien uiteindelijk niet of jij echt de geen bent op die pasfoto.

[To_Tall]

Ik weet het niet hoor..

Maar 1 je moet je domein naam vaak betalen Dus je betaal gegevens moeten bekend zijn.. Je kan niet bij een bank aankloppen dat je even een fake rekening wil hebben.

Daarnaast zal je niet zomaar verhuisservice kunnen gebruiken. Dan nog al zou het je lukken. Kan een wilekeurige rechter PostNL verplichten om de gevens van de verhuis service op te geven. Dus ja de gevens van Jan Anoniem op de gansstraat 10 te breda, wordt de post door gestuurt naar piet hein, op de beatrixlaan 15 te rotterdam.

Gmail en Outlook.com kunnen ook op een gerechtelijk bevel toegang geven tot jouw account, TOR Proxy is leuk, maar ziten ook haken en ogen aan. ICANN zal dan een IP krijgen uit Brazil, maar post versturen naar Breda.. Hoe ga je dat verklaren? En ook Prepaid kaartjes zijn te volgen.. Elke provider houd gegevens bij van elke nummer.. Dat is bij wet verplicht. In die gegevens staan zelfs op welke torens je geweest bent. en zo ben je dus ook te volgen..

Dus ja wat zij aangeeft klinkt leuk, maar compleet nutteloos. Zelfs die jongen die in leiden een school bedreigde hebben ze kunnen oppakken en achter halen achter welke pc hij heeft gezeten. Dus als ik jou was zou ik toch iets voorzichter zijn met zulke uitspraken en denken dat je dan veilig zit.. want je laat altijd een spoor achter.

[lezzmeister]

Gewoon een katvanger gebruiken en klaar.

[TheUninvited]

Ik zie het probleem niet, weet niet wat voor illegale activiteiten jullie allemaal met je domeinnaam van plan waren maar ik in ieder geval niets. Dus wat moet je vrezen? Je geeft toch ook je gegevens als je een product via V&A verhandelt, in een webshop besteld, een hypotheek aanvraagt etc. er is altijd wel iets in je leven waarbij je je gegevens afgeeft.

Wat betreft de torrentsites en nieuwgroepen, die hebben connecties genoeg om via via er wel een omzeiling te creëren. Dit is mijn ei weer geweest vandaag

[johnkeates]

Ja, maar dat mocht toch sowieso al niet? Volgens mij is er nog nooit een situatie geweest in het domeinnamensysteem waarbij het de bedoeling was dat mensen anoniem een domein konden registreren. Dat mensen om regels heen gingen, informatie gingen vervalsen of via proxy's registreren betekent nog niet dat dat ook echt de bedoeling van het systeem is/was.

Daarnaast is het probleem met bijv. BREIN niet dat ze je kunnen vinden via je domein, maar dat ze een domeinhouder aansprakelijk mogen stellen voor de inhoud van een website.

[TD-er]

Ja, maar dat mocht toch sowieso al niet? Volgens mij is er nog nooit een situatie geweest in het domeinnamensysteem waarbij het de bedoeling was dat mensen anoniem een domein konden registreren. Dat mensen om regels heen gingen, informatie gingen vervalsen of via proxy's registreren betekent nog niet dat dat ook echt de bedoeling van het systeem is/was.

Daarnaast is het probleem met bijv. BREIN niet dat ze je kunnen vinden via je domein, maar dat ze een domeinhouder aansprakelijk mogen stellen voor de inhoud van een website.

Als dit niet de bedoeling was geweest, dan had je voor .com en nog een aantal TLD's niet domeinen op proef moeten kunnen registreren.
_dat_ is het grootste probleem van al die spam-domeinen.

Als ze dat goed hadden geregeld, hadden ze nu niet zo'n makkelijke reden gehad om dit soort maatregelen te verkopen.
Dit is gewoon weer een volgende stap in de totale controle over alles op het internet.

[Stoney3K]

Goede actie? Haha echt niet, dit betekend dat er geen anonieme domeinen meer geregistreerd mogen kunnen worden. Wat betekend dat bedrijven als BREIN makkelijk achter iemands persoons gegevens kan komen.

Wat het wel als resultaat heeft is dat er niet zo maar meer op grote schaal geautomatiseerd domeinen kunnen worden geregistreerd. Daardoor kunnen ze wel de wildgroei aan domeinsquatters een stuk terugdringen.

[]Byte[]

@ DutchMen

Wat een ...... argument!
Ik zal je balonnetje even lek prikken.

Als BREIN achter jou aankomt zullen ze daar vast een goede reden voor hebben.
'anonieme domeinen' gaat je alleen lukken als het gaat om subdomeinen.
Die hoef je nl. alleen nog maar in DNS te registreren en niet via ICANN in de whois.
Als ik een domeinaanvraag indien (ongeacht via welke provider) moet ik ook mijn contactgegevens opgeven.
Die provider wil, al is het vaak niet veel, ook geld zien voor de registratie ervan.
De provider gaat jou hiervoor een rekening sturen naar het door jouwzelf opgegeven adres of e-mailadres. (provider / mail-ardes / ip is dus bekend)
e-mainadres.... JA, dat kan je nog wel gratis opduiken. Maar ook daarvoor moet je vaak een bevestigingsmailadres opgeven.
Die rekening ga jij vervolgens netjes ieder jaar naar hun overboeken. (oeps... je bankrekeningnummer is dus ook bekend...)

Ergo:
Hoe je het ook wend of keert, er is altijd wel een papertrail!
Tenzij jij je kosten jaarlijks kontant betaald aan de provider en uitsluitend via Tor het internet op gaat...

Gaat ICANN zelf die controleslag uitvoeren?
Ik denk het niet!
Zullen er providers zijn die zich niet aan de regels gaan houden? (in het kader van de "privacy van de klant"), waarschijnlijk wel.
Die lopen vervolgens de kans hun licentie kwijt te raken en kunnen ze geen domeinnamen meer registreren.

Als je je met illegale praktijken wil bezighouden, zijn er genoeg andere alternatieven dan alleen je eigen domein te registreren.

[Reactie gewijzigd door ]Byte[ op 23 juli 2024 00:01]

[Bastien]

Zo lekker dan. Wat is de toegevoegde waarde van 'Icann wil met de nieuwe regels registrars verplichten om persoonlijke gegevens van domeinhouders, zoals creditcardgegevens, te bewaren. Als een domein wordt opgeheven, moet deze data nog minimaal twee jaar bewaard blijven. Verder moet het ip-adres van een aanvrager worden opgeslagen en op verzoek aan Icann worden verstrekt.'?

Zelfs zonder bevel van de rechter eisen dat de gewenste info opvraagbaar is? Het begint steeds zieker te worden met al die controlfreaks en controlorganisaties. Delen van de wereld beginnen zo onderhand echt door te slaan.

[dieselb0y]

IP-adres is een gegeven wat terug kan leiden naar een persoon en dus een persoonsgegeven, dit mag niet zomaar opgevraagd worden toch? (althans dat dacht ik..)

[TD-er]

In NL gelden daar inderdaad bepaalde regels voor, maar daar hebben ze in de VS al wel vaker laten zien niet echt van onder de indruk te zijn.

[skatebiker]

IP adres ? VPN eroverheen en klaar is Clara.

[GlowMouse]

Voor dat e-mailadres kun je je nieuwe domeinnaam gebruiken, dat voegt dus weinig toe. Wel zal de WHOIS-contactinformatie beter worden.

Jammer voor de privacy dat je telefoonnummer nu verplicht in de WHOIS moet en kloppend moet zijn. Het TLD .eu doet dat beter, daar is zelfs je naam niet eenvoudig opvraagbaar.

[Verwijderd]

Jammer voor de privacy dat je telefoonnummer nu verplicht in de WHOIS moet en kloppend moet zijn.

SIDN eist dat ook voor .nl domeinen. Gelukkig houden ze het onzichtbaar, maar bijvoorbeeld de politie kan het (met de juiste papieren) wel opvragen.

[Tozz]

De SIDN houdt het niet onzichtbaar. Alle SIDN registrars hebben een ontheffing en kunnen alle informatie opvragen. Daar zijn geen "juiste papieren" voor nodig. Volgens mij kun je alle details ook via de web-whois opvragen op sidn.nl (die achter een captcha zit)

Dat de reguliere WHOIS nu is afgeschermd was volgens mij vooral om spam misbruik te voorkomen.

[MPAnnihilator]

Ik snap dat ze iets willen doen , maar de whois gaat hier niet veel beter van worden.

Wat houd je tegen om een tijdelijk email adres of telefoonnummer te gebruiken enkel bij registratie ? Bovendien zou het mij niet verwonderen dat registrars een dergelijke functie zullen aanbieden aan hun klanten. ( zoals nu al het geval is bij TLD's waar een point of presence nodig is of een BTW nummer )

Ze kunnen het dan beter jaarlijks verplicht maken...

Misschien dat het helpt tegen tijdelijke domeinen die gescript in bulk geregistreerd worden ?

[SinergyX]

Buiten dat het twijfelachtig is wat er precies 'anti-misbruik' is mbt telefoon en emailnummer, maar creditcard gegevens 2 jaar opslaan van domeinhouders? Zet dan gewoon een grote vlag op je dak 'hack mij, ik heb data!'.

Mijn whois, van de non-proxied, werd enkel gebruikt om spam naar mij te sturen of ik ook geintesseert was in andere domeinen en andere vage phisingcrap.

[To_Tall]

CC gegevens mogen alleen opgeslagen worden als een bedrijf aan bepaalde criteria voldoen. Zo moet je nummer gehased zijn, waarbij de sleutel niet op dezelfde server mag verblijven.
De code achterop je CC mag nooit opgeslagen zijn. Alleen eenmalig gebruikt worden voor verificatie bij de CC maatschappij.

het e-mail adress die er wordt vermeld is idd spam gevoelig.. Ik gebruik daar zelf ook alleen maar een bepaald e-mail adress voor. Die strak door een spamfilter laat lopen en alleen whitlist senders kunnen daar wat naar mij toesturen. Dus echt een admin adress. alle andere mailtje krijgen een bounce