ICANN testa un accesso rapido della polizia ai dati nascosti dei titolari di domini

ICANN, l'organizzazione no profit statunitense che gestisce il sistema globale dei nomi di dominio, sta sperimentando un sistema che permetterebbe alla polizia di accedere direttamente al suo servizio di richieste e chiedere ai registrar i dati nascosti dei titolari dei domini. La sperimentazione si svolge insieme all'FBI e all'Interpol: lo ha annunciato ICANN durante il suo incontro annuale, ICANN 87 a Bali, come riportato da The Register il 20 ottobre. Riguarda soltanto i casi urgenti: una minaccia imminente alla vita, il rischio di gravi lesioni fisiche, minacce alle infrastrutture critiche o lo sfruttamento di minori.

Quali dati sono nascosti e chi può richiederli

Da quando nel 2018 è entrato in vigore il GDPR dell'Unione europea, la maggior parte dei registrar non mostra più nei record WHOIS pubblici il nome, l'indirizzo, l'email o il numero di telefono del titolare. Il registrar però conserva questi dati, e chiunque abbia un motivo legittimo può chiederli. Da novembre 2023 ICANN gestisce a questo scopo il Registration Data Request Service (RDRS). Chi presenta la richiesta compila un modulo standard e ICANN la inoltra al registrar che ha venduto il dominio. È il registrar a decidere se comunicare i dati.

Il servizio non è riservato alla polizia: possono usarlo anche avvocati, titolari di marchi, ricercatori di sicurezza e dipendenti pubblici. Nei primi due anni, fino al 30 novembre 2025, ha gestito oltre 3.700 richieste relative a 40.400 domini. Il 26% è stato accolto, il 55% respinto, mentre le restanti sono state accolte in parte o riguardavano dati già pubblici. Le forze dell'ordine hanno presentato il 16% delle richieste. I registrar aderiscono su base volontaria: alla fine della fase pilota partecipavano 80 registrar, che coprivano il 46% dei domini. Concluso il pilota, il consiglio di amministrazione di ICANN ha prorogato il servizio per un massimo di due anni.

Come funzionerebbe l'accesso per la polizia

Oggi per usare RDRS basta un account ICANN, e il comitato di ICANN che ha esaminato il pilota ha indicato la verifica dell'identità dei richiedenti tra le lezioni apprese. Secondo le regole di ICANN, i registrar devono gestire le richieste urgenti entro 24 ore, e la comunità ha indicato nel controllo di chi sta davvero facendo la richiesta uno dei principali ostacoli al rispetto di questa scadenza. Il nuovo schema affida questa verifica alle stesse agenzie. ICANN preferisce SAML, uno standard diffuso di single sign-on: l'agente accede tramite il sistema della propria agenzia e RDRS riceve la conferma che la richiesta proviene da un vero agente di polizia.

Secondo The Register, le agenzie indicherebbero i singoli dipendenti autorizzati a presentare richieste, e un token scambiato al momento dell'accesso farebbe rispettare questa regola. L'obiettivo è anche impedire che una grande agenzia come l'FBI sommerga il servizio con le richieste di molti singoli agenti. ICANN si dice aperta ad altri metodi di accesso per le agenzie che non usano SAML e vuole pubblicare una specifica che qualsiasi forza di polizia possa seguire.

Il gruppo di lavoro è stato costituito a giugno. Il suo calendario prevede l'avvio dei test a dicembre 2026 e la pubblicazione dei risultati a marzo 2027.

Le questioni ancora aperte

Il gruppo si occupa soltanto della parte tecnica. Non scrive le policy e non modifica le regole esistenti sui dati. Che cosa conterrà il token, le regole sull'uso consentito e che fine faranno le richieste che non raggiungono la soglia di urgenza saranno decisi da altri gruppi di ICANN. I registrar potranno comunque rifiutare una richiesta che non ritengono urgente e, per i casi complessi, avranno fino a 72 ore. I rappresentanti di Namecheap e Verisign si sono espressi a favore dello schema. Resta irrisolta la tutela degli stessi agenti: i loro indirizzi email nelle richieste potrebbero esporli a molestie.

Perché è importante

Per la polizia è una questione di rapidità: i domini usati per phishing, malware o estorsioni spesso restano attivi finché non si riesce a identificare il titolare. Per i proprietari dei siti significa che un record WHOIS nascosto li protegge dal pubblico, non dalle autorità. Il registrar conosce i dati forniti al momento della registrazione e, nei casi urgenti, la polizia potrà richiederli attraverso un canale verificato. Non si sa ancora con quanto rigore i registrar valuteranno l'urgenza.