Étiquette : RGPD

ICANN71 : Le GAC au centre des attentions

ICANN71 : Le GAC au centre des attentions - Nameshield
Source de l’image : Site Internet icann.org

Quelques 56 sessions étaient planifiées du 14 au 17 juin dans le cadre du 71ième sommet de l’ICANN prévu à La Haye. Tenu une nouvelle fois exclusivement en visio-conférences en raison du contexte sanitaire mondial, pas moins d’un quart de ces sessions étaient organisées par le GAC, le comité consultatif gouvernemental qui conseille l’ICANN sur des dossiers de politiques publiques en rapport avec les responsabilités de l’ICANN sur le système des noms de domaine. Le GAC très actif sur tous les sujets d’actualité des politiques ICANN s’est clairement démarqué.

Le GAC revendique actuellement 179 membres soit une majorité des pays du monde. Cela lui donne une bonne représentativité à l’échelle globale pour parler à une instance de gouvernance globale. Très organisé, le GAC fait précéder les rendez-vous ICANN de réunions préparatoires qui permettent de recueillir les avis à des échelles locales afin de les relayer ensuite au niveau de l’instance de gouvernance. Une nouvelle fois, ce sommet a mis en lumière le fait que l’actualité des politiques ICANN est fournie.

La lutte contre les pratiques malveillantes sur le DNS

Le sujet des abus est presque devenu un marronnier des sommets de l’ICANN car il est au centre des sujets de préoccupations depuis bientôt deux années. Si les registres et les bureaux d’enregistrement sont déjà soumis à une batterie d’obligations sur ce sujet, beaucoup de parties prenantes considèrent que celles-ci sont insuffisantes pour réellement adresser ce sujet. L’année 2020 a effectivement vu les atteintes de cybersécurité exploser, en se greffant notamment sur la pandémie mondiale qui a vu la consommation encore davantage se faire via le web, notamment en raison des confinements et où les modes de travail ont dû être réinventés pour privilégier le distanciel. Force est de constater qu’à l’heure actuelle peu de choses ont avancé.

Une initiative fouillée et riche de propositions a bien été formulée par le SSAC (Security and Stability Advisory Committee) qui, dans ses 24 recommandations transmises au Board ICANN, a émis l’idée d’engager un processus de développement de politique « expéditif » (ePDP) avec pour finalité de développer une anti-abuse policy. Leur rapport transmis au Board il y a trois mois, n’a pas eu de suites à ce jour. La seconde initiative plus récente, émane de l’arcane représentant les registres, le Registry Stakeholder Group (RySG). Elle a finalisé avec l’input du GAC un cadre visant en particulier les botnets, des attaques qui utilisent des formes de chevaux de Troie pour prendre le contrôle d’ordinateurs pour former des réseaux d’ordinateurs qui permettront de perpétrer d’autres attaques. Son principe est de permettre aux registres volontaires d’adhérer à un dispositif qui les oblige à bloquer préventivement des noms en masse générés via des DGA (Domain Generation Algorithms), des algorithmes utilisés pour générer périodiquement un grand nombre de noms de domaine pouvant être utilisés comme points de rendez-vous avec leurs serveurs de commande et de contrôle. Le grand nombre de points de rendez-vous potentiels fait qu’il est difficile pour les forces de l’ordre de contrer efficacement les botnets, puisque les ordinateurs infectés tenteront de contacter certains de ces noms de domaine chaque jour pour recevoir des mises à jour ou des commandes. Le principe est donc ici préventif. Les registres bénéficieraient en contrepartie d’incentives et ne seraient pas redevables de la taxe perçue par ICANN lors de la création d’un nom. Une initiative donc plutôt à saluer mais portée plus directement par le RySG et donc non consensuelle, d’où son caractère volontaire et donc une portée très limitée.

Si le sujet du DNS abuse patine autant c’est que ce sujet est confronté à d’autres processus de développements de politiques en cours et à venir et à des intérêts divergents entre instances, l’Intellectual Property Constituency (IPC) étant par exemple très concernée par l’accès aux données de contacts dans les annuaires de noms de domaine, le RySG par le lancement du prochain round de nouvelles extensions qu’ils veulent voir avancer.

L’impact du Règlement Général sur la Protection des Données (RGPD) sur les données d’enregistrement des noms de domaine

Rappelons que pour remplacer la Specification Temporaire, mise en place le 17 mai 2018 à quelques jours de l’application du RGPD, un processus ePDP a vu le jour. Ce processus qualifié d’expéditif a paru pourtant assez loin d’être finalisé lors de ce nouveau sommet ICANN, alors que trois années ont passé.

Segmenté en trois phases, la phase 1 vise à fournir une policy pérenne qui doit cadrer la gestion des données personnelles des noms de domaine pour remplacer la Specification temporaire qui a notamment expurgé les données personnelles des annuaires de noms de domaine (via les protocoles Whois et RDAP). Sa rédaction avance mais aucune date n’est connue quant à sa finalisation et donc possible implémentation. Le délai est en partie lié à la difficulté de transcription de certaines recommandations dont l’une était notamment en conflit avec une politique en place, la Thick Whois Transition Policy qui prévoit un transfert systématique des données de contacts détaillées des bureaux d’enregistrement vers les registres. Autre écueil : la politique recoupe comme on le voit, d’autres politiques en place qui nécessitent donc des adaptations également en cours.

La phase 2 concerne la mise en place d’un système harmonisé d’accès aux données expurgées des annuaires de noms pour les intérêts « légitimes ». Ce système est aujourd’hui connu sous l’appellation Système Standardisé d’Accès aux Données (SSAD). Premier écueil : le Generic Names Supporting Organization (GNSO), l’entité qui élabore les politiques applicables aux noms génériques, avait à la surprise générale approuvé toutes les recommandations du rapport final, même celles qui n’avaient pas obtenu de consensus. Les recommandations pour créer ce dispositif ont donc toutes été transmises au Board ICANN qui plutôt que de se prononcer et de voter sur l’application de celles-ci, a décidé d’initier d’abord une Operational Design Phase (ODP). Initiée fin mars par le Board, elle doit durer six mois et vise à identifier les étapes, les risques, les coûts et ressources à allouer avec une consultation de la communauté après franchissement d’un jalon. C’est donc une forme de cadrage de projet. La publication d’une Request for Information, est prévue en juin pour une première consultation de la communauté.

Une phase 2a, strate additionnelle du PDP, vise à évaluer la piste d’une dissociation des données de contacts de personnes morales publiables et de personnes physiques non publiables. Initiée en décembre 2020, elle a abouti à cinq recommandations dans un rapport initial ouvert à commentaires jusqu’au 19 juillet 2021. La première recommandation très commentée lors de l’ICANN71, préconise finalement de ne rien changer en permettant aux acteurs qui le veulent de faire cette différenciation. Ce processus va poursuivre son chemin avec un rapport final de recommandations qui va arriver au second semestre.

Point commun entre les deux sujets précités, le GAC considère que des améliorations sont nécessaires. Sur le SSAD, il considère notamment que le système ne va pas assez loin pour protéger les consommateurs et augmenter leur confiance. Il regrette aussi que l’évolution du dispositif dans le temps n’ait pas été cadrée et craint que le coût, l’accès se faisant avec un dispositif d’accréditation, ne soit dissuasif notamment pour ceux engagés dans la lutte contre les atteintes à la sécurité qui ont besoin d’accéder aux données d’enregistrement des noms. Sur le DNS abuse, le GAC réitère le besoin d’adresser ce sujet. Il a déjà fait plusieurs propositions lors de précédents sommets.

Et le prochain round dans tout ça ?

Sujet qui intéresse beaucoup de monde, le prochain round n’a toujours pas de date. Tout juste a-t-on appris que le Board ICANN qui vient de récupérer les derniers inputs sur les recommandations en vue d’un prochain cycle de nouvelles extensions, a confirmé engager une Operational Design Phase (ODP) pour estimer les étapes, risques et ressources nécessaires pour mettre en œuvre ces recommandations. Pas encore planifiée, le Board a indiqué avoir demandé à ICANN org de préparer un document pour cadrer l’ODP qui permettra d’élaborer la résolution qui doit l’officialiser. Cette résolution fixera un délai pour réaliser cette ODP, possiblement six mois comme pour celui visant le SSAD. 

Le GAC a pour sa part rappelé les sujets qui préoccupent plus spécifiquement ses membres. Parmi celles-ci : la prévisibilité, les engagements volontaires et obligatoires des registres (Registry Voluntary Commitments, Public Interest Commitments) avec notamment la façon d’adresser le DNS abuse, son souhait de voir le support aux nouveaux candidats mieux adapté notamment pour les zones moins favorisées, son opposition aux extensions génériques fermées, la consolidation de sa faculté à évaluer toutes les candidatures pour émettre des avis et warnings, son opposition aux enchères privées pour départager des candidats à une même extension. Il souhaite également un soutien aux applications communautaires à but non lucratif.

D’autres sujets portés par le GAC décidément très engagé

D’autres processus de développement de politiques sont en cours, comme celui concernant les Identifiants d’Organisations Gouvernementales et Non gouvernementales (IGO, INGO), un processus sur les mécanismes de protection des droits ou en phase initiale un PDP sur les transferts de noms et sur la rampe de lancement un PDP sur les IDNs. Le GAC n’a pas manqué de rappeler le sujet central de l’exactitude des données d’enregistrement jugé insuffisamment adressé par les obligations actuelles. Ce sujet va en effet s’avérer central dans la perspective des futures directives NIS2 et du Digital Services Act en cours d’élaboration au niveau européen. Le GNSO interpelé par le GAC sur l’examen de ce sujet, qui n’a en vrai pas réellement démarré, en est venu à s’excuser d’avoir trop de sujets en cours. Des tensions que le GNSO a cherché à apaiser en consacrant du temps pour examiner sa liaison avec le GAC pour l’améliorer, un GAC décidément offensif et actif.

Quid des prochains sommets

Les sommets ICANN se terminent généralement par un forum public où le public peut interpeler directement le Board. Signe d’une amélioration (temporaire ?) de l’état sanitaire sur le covid, le traditionnel forum a été consacré aux futurs sommets ICANN pour savoir s’ils doivent repasser en présentiel. De cette session, il est ressorti que la réponse n’est pas évidente. En cause, la différence des niveaux de vaccination et d’accès aux vaccins selon les pays, les conditions d’entrée aux USA actuellement restreintes, ICANN72 se tenant à Seattle et l’évolution de la pandémie qui reste incertaine. Ce forum a permis de commenter une récente enquête conduite par ICANN qui montre que la majorité des personnes intéressées par les événements ICANN ont considéré qu’il faudrait refaire des meetings en présentiel (54%). A la fin de cette session, ICANN s’est engagé à arbitrer courant juillet. Le format de l’ICANN72 pourrait être hybride, à savoir une représentation limitée sur place et le maintien du dispositif en distanciel.

Fait notable de ce sommet, beaucoup de sujets en cours et une impression que les choses avancent difficilement. Cela s’est traduit par de notables crispations entre instances et des mécontentements exprimés par exemple par le groupe des représentants d’extensions géographiques, les geoTLDs. Si pour certains, le retour en présentiel semble être la solution pour améliorer les choses, par notre présence dans certaines instances et notre participation à des groupes de travail, nous  pensons que c’est plutôt un problème de visibilité dû à un trop grand nombre de sujets lancés en parallèle dont certains se chevauchent via des processus lourds avec un manque clair de priorisation. L’ODP, ce nouvel outil qui vise à cadrer la mise en place d’un système harmonisé d’accès aux données d’enregistrement et désormais appliqué au prochain round, va peut-être améliorer en partie ces perceptions. Autre aspect à considérer, des intérêts divergents entre instances. Là les échanges facilités peuvent peut-être améliorer les choses.

ICANN66 Montréal – Un sommet contrasté

Lors de la première quinzaine de novembre s’est tenu à Montréal au Canada, le 66ième sommet de l’ICANN. Ce troisième et dernier sommet annuel consacré aux policies applicables au nommage internet était très attendu tant les sujets en débats sont nombreux. A sa clôture, il a pourtant laissé bon nombre de participants sur leur faim.

Un avant-goût des sujets et des postures lors du week-end précédant le lancement officiel du Sommet

Le week-end qui précède l’ouverture officielle du Sommet est généralement l’occasion d’avoir un aperçu des sujets et postures en présence. Sans surprise, le processus expéditif (ePDP) qui vise à développer une règle consensuelle pour préciser les conditions d’accès futures aux données personnelles qui ne sont plus publiées dans le WHOIS, l’annuaire de recherches des noms de domaine, pour cause de RGPD, est l’un des sujets majeurs.

Parmi les autres sujets connexes le remplacement de ce même WHOIS par le protocole RDAP (Registration Data Access Protocol) sans doute l’année prochaine pour les noms de domaine génériques. Ce remplacement n’est pas anodin quand on sait que le WHOIS est en usage depuis près de 35 ans.

L’instance représentant les gouvernements, le GAC, a quant à lui mis dans la balance le sujet des usages malveillants de noms de domaine qui ont pris un essor considérable sur les nouvelles extensions internet lancées en 2012. Quand on connait l’essor de pratiques internet visant à peser les élections de certains pays et l’impact économique des attaques et piratages informatiques, on comprend que ce sujet soit poussé par le GAC. Si l’un des sujets de l’ICANN est de clarifier dans leurs textes la notion d’usages malveillants, cette expression fait référence aux domaines enregistrés pour le phishing, les logiciels malveillants, les botnets et le spam, l’autre volet concerne les moyens de les endiguer. L’existence de ces domaines abusifs menace en effet l’infrastructure DNS, impacte la sécurité des consommateurs et constitue une menace pour les actifs critiques des entités publiques et commerciales. Enfin et ce n’est pas une surprise, le sujet d’un prochain round de nouvelles extensions a lui aussi été sur bien des lèvres.

ICANN66 Montréal
Cherine Chalaby à la tribune de l’ICANN Summit de Montréal

« Le meilleur sommet ICANN », vraiment ?

Lors de la traditionnelle cérémonie d’ouverture qui voit converger une heure durant tous les convives (2500 selon les propos de Goran Marby le CEO de l’ICANN) dans une immense salle pour écouter divers orateurs dont Martin Aubé du Ministère de l’Économie et de l’Innovation du Gouvernement du Québec, Cherine Chalaby, l’un des membres du Board ICANN dont le mandat se termine en cette fin d’année, indiquait à son auditoire que l’ICANN66 allait être le « meilleur sommet ICANN ». Il faut dire pourtant qu’à la fin de la semaine de débats et de réunions qui se sont enchaînés à un rythme effréné, alors que les sujets en débats sont nombreux, le sentiment concernant cette assertion était plus que mitigé pour beaucoup de participants.

D’abord, le processus expéditif pour l’accès aux données non publiques du WHOIS avance avec un cadre contraint par l’ICANN et les Autorités de Protection des Données Personnelles. L’aboutissement de ce processus est envisagé entre avril et juin 2020 et c’est actuellement un modèle centralisé où ICANN autoriserait la levée future d’anonymat des données qui sont désormais masquées pour cause de RGPD qui tient la corde.

Ensuite, le sujet qui a sans doute le plus souvent été cité lors de cette nouvelle semaine de sommet, a concerné les usages abusifs avec les noms de domaine. Pour ICANN, le sujet est central car il est directement corrélé à leur totem : la stabilité de l’Internet dont ils sont les garants. Depuis février 2019, ICANN publie certaines métriques sur les pratiques malveillantes identifiées au travers du DAAR, Domain Abuse Activity Reporting.

Leur dernier rapport présenté à Montréal montre que 364 extensions (principalement des nouvelles extensions issues du round de 2012) ont révélé au moins une menace portée par l’un des noms de domaine activés sur ces extensions. Plus préoccupant, les nouvelles extensions génériques concentreraient près de 40% des usages malveillants, contre 60% pour les extensions génériques historiques. Ce chiffre est en effet à mettre en relief avec la volumétrie de ces deux catégories d’extensions. En effet sur un peu plus de 200 millions de noms génériques, les nouvelles extensions génériques ne représentent que 15% du total des noms enregistrés. ICANN souhaite donc que ce sujet soit pris à bras le corps par la communauté.

Des propositions ont été faites par les diverses instances présentes, certaines allant jusqu’à demander un processus de développement de nouvelles policies (PDP). Cette dernière proposition si elle devait obtenir l’aval de l’ICANN aurait pour fâcheuse conséquence de reporter l’hypothétique calendrier d’un prochain round de nouvelles extensions, sujet qui intéressait pourtant beaucoup de convives présents à Montréal. En effet pour ICANN le problème de la concentration des pratiques malveillantes dans les nouvelles extensions génériques doit être solutionné avant tout futur round, ceci faisant que le PDP toujours en cours sur la revue du dernier round de 2012 est presque passé inaperçu. 

Si les règles tardent à évoluer sur les usages malveillants, votre consultant Nameshield peut vous apporter dès à présent des solutions adaptées à vos besoins.

Le RGPD nuit-il aux efforts de répression ?

Le RGPD nuit-il aux efforts de répression ?
Source de l’image : mohamed_hassan via Pixabay

Le règlement général sur la protection des données (RPGD) a sans conteste un impact négatif sur les efforts de répression, selon les intervenants à la réunion annuelle 2019 de l’INTA (International Trademark Association) à Boston.

Margaret Lia Milam, responsable de la stratégie des noms de domaine et de la gestion des noms de domaine chez Facebook, a averti que l’échelle de la plateforme en faisait une « cible énorme pour les mauvais acteurs ».

Milam a déclaré que, le site fonctionnant à une telle échelle, il ne peut pas s’adresser à des avocats pour « des milliers » de demandes qu’il reçoit.

Statton Hammock de MarkMonitor a déclaré que MarkMonitor avait subi une perte d’efficacité de 12% à cause du RGPD. Son équipe a « historiquement utilisé le WHOIS pour protéger les droits de propriété intellectuelle », mais à cause du RGPD, toutes les données mises en cache « deviennent de moins en moins utiles au fil des jours ».

Alex Deacon, fondateur de Cole Valley Consulting, a fait écho aux commentaires de Milam et Hammock, avertissant que le Spamhaus Project, une organisation internationale visant à traquer les spammeurs d’e-mails, avait du mal à gérer sa liste noire à cause du RGPD.

REPLAY WEBINAR CYBERSÉCURITÉ – SSL & HTTPS : définition, importance et risques liés aux certificats SSL

Webinar Cybersécurité Nameshield - SSL HTTPS - Replay

Le navigateur Chrome représente entre 62% et 68% de parts de marché mondial. Alors, quand en 2016 Chrome a annoncé son intention de déclarer le HTTP comme « not secure », le web dans son ensemble se mit à écouter !

Depuis juillet 2018, avec l’arrivée de Chrome 68, les sites en HTTP sont considérés comme « Non Sécurisé », ceux en HTTPS sont marqués « Sécurisé » dans la barre d’adresse.

Et depuis le 25 mai 2018, le RGPD est entré en vigueur et les sites qui récoltent des données personnelles doivent disposer du HTTPS.

De plus, certains nouveaux gestionnaires de noms de domaine imposent également le HTTPS pour pouvoir utiliser le nom de domaine (.app / .dev…).

Passer au HTTPS par défaut sur l’ensemble de vos sites Web est devenu indispensable, en faisant l’acquisition de certificat(s) SSL et permet de bénéficier de différents avantages.

Au programme de ce webinar, nos experts reviennent sur :

  • Qu’est-ce qu’un certificat SSL ?
  • Quels sont les avantages et les risques liés aux certificats SSL ?
  • Quelle stratégie adopter pour vos sites web ?

Retrouvez ce webinar animé par Christophe GERARD, Security Product Manager et Lucie LOOS, Directrice Marketing Experte cybersécurité de Nameshield group, en replay sur la plateforme Webikeo :

VISIONNER LE REPLAY

Les chantiers de l’après ICANN64

Il y a un mois se tenait à Kobe au Japon le premier rendez-vous annuel de l’ICANN avec la communauté internet. A l’occasion de ce sommet, ICANN a présenté les grands chantiers de l’année et ceux des années à venir. Retour sur les grands sujets.

La contrainte du RGPD toujours en filigrane

Alors qu’en mai 2018, l’Europe se dotait d’une législation ambitieuse pour protéger les données personnelles des utilisateurs, ICANN de son côté imposait un cadre règlementaire aux acteurs des noms de domaine pour conformer cette industrie aux contraintes du RGPD.

Faute de consensus, ce cadre a été imposé à l’arrachée au moment de l’entrée en vigueur du RGPD, le 25 mai 2018. Il prévoit des dispositions non consensuelles comme le fait de ne plus publier dans le service d’annuaire d’enregistrement du registre qui fonctionne actuellement via le protocole Whois, les données assimilables à des données personnelles pour les contacts associés aux noms de domaine : contacts propriétaires, contacts administratifs, contacts techniques. Exit donc les noms, prénoms, adresses postales, numéros de téléphone et anonymisation des adresses emails ou masquage via un formulaire de contact.

Cependant comme le prévoient les Bylaws, règles qui régentent le rôle et le fonctionnement de l’ICANN, les règles non consensuelles ne peuvent être imposées au-delà d’une année. ICANN avait donc l’échéance de mai 2019 en tête tout au long du meeting de Kobe.

Pour construire la suite, ICANN avait engagé l’année passée un processus accéléré de développement de nouvelles règles (ePDP), dont la délicate mission était d’élaborer des règles consensuelles pour remplacer les dispositions temporaires actuellement en place.

Peu avant l’ICANN64, ce groupe de travail auquel participe Nameshield avait remis ses propositions au GNSO, l’instance ICANN qui gère l’élaboration des politiques applicables aux noms de domaine génériques. Ce rapport actuellement ouvert à commentaires doit aboutir à un cadre final qui va être soumis au Board ICANN début mai pour vote et promulgation dans la foulée.

Les propositions esquissent une date butoir de mise en œuvre d’ici au 29 février 2020. ICANN a donc concentré ses efforts sur la gestion de la période transitoire entre mai 2019 et cette échéance encore lointaine de février 2020. L’approche qui prévaut est plutôt pragmatique, car elle consiste à conserver les dispositions en place actuellement comme le masquage des données personnelles dans le Whois jusqu’à ce que l’ensemble des nouvelles dispositions puissent être mises en œuvre par les acteurs tels que les bureaux d’enregistrement et les registres d’ici à la date butoir précitée.

L’accès aux données masquées sujet de crispations

Lancé en 2012 lors du dernier round d’ouvertures de nouvelles extensions, mais rapidement relégué dans les cartons, le protocole RDAP (Registration Data Access Protocol), alternative au protocole vieillissant du Whois, a refait surface avec le RGPD en raison de sa modularité qui permet, contrairement au Whois, de filtrer l’accès à certaines données selon le profil de l’utilisateur.

ICANN a confirmé à Kobe que ce protocole allait être largement déployé d’ici à cet été. Dans un premier temps ce protocole doit cohabiter au côté du protocole Whois. Les bureaux d’enregistrement offriront donc un accès aux données des noms de domaine au travers des deux protocoles.

Les acteurs présents à l’ICANN64 ont également pu prendre connaissance du projet soumis par un groupe d’études techniques mandaté par ICANN sur le fonctionnement envisagé au travers du protocole RDAP de l’accès aux données masquées des noms de domaine. Ce sujet a été l’objet de crispations car il n’est pas issu d’un processus consensuel, et ICANN pourrait y jouer un rôle central en recueillant l’ensemble des demandes pour valider leur autorisation, l’authentification des demandes étant procédée en amont par des agents accrédités par les autorités de protection des données. Ce sujet fait également partie de la nouvelle mission du groupe travaillant sur le développement des politiques (ePDP) dans les mois à venir. Les choses peuvent donc évoluer sur ce sujet dans le futur.

Les chantiers de l’après ICANN64
Goran Marby, le Président de l’ICANN s’exprimant sur le fonctionnement envisagé de l’accès aux données masquées du futur RDAP des noms de domaine

Un plan stratégique pluriannuel

A l’occasion de l’ICANN64, ICANN a également présenté l’avancement de la mise en place d’un plan stratégique de fonctionnement de l’organisation pour la période 2021-2025.

L’adoption d’un plan quinquennal est une première pour cette organisation qui a toujours fonctionné sur une base annuelle. Ce plan doit déterminer les priorités des années à venir ce qui est également une nouveauté dans un contexte où de multiples chantiers ont toujours été menés de front sans réelles priorisations.

On sait déjà que la sécurité du DNS est l’un des enjeux majeurs de la période à venir. Parmi les priorités égrenées on dénote en effet la lutte renforcée contre les malwares et la sécurisation accrue du DNS via notamment le déploiement plus rapide du DNSSEC.

Pour le prochain round d’ouvertures de nouvelles extensions également cité, ICANN a également indiqué tenir compte des enseignements du précédent round. Parmi eux, les nouvelles extensions sont dix fois plus visées que ne le sont les extensions génériques historiques (.COM, .NET, .ORG, .BIZ, .INFO notamment) par des pratiques malveillantes telles que le typosquatting et le dotsquatting sur lesquels prolifèrent les pratiques de type phishing et pharming.

N’hésitez pas à vous rapprocher de votre consultant Nameshield très en pointe sur l’ensemble de ces sujets.

RGPD et conséquences : DomainTools fait appel dans l’affaire des whois des .NZ

RGPD
Source de l’image : mohamed_hassan via Pixabay

DomainTools poursuivi par le DNCL

En juin 2018, le registre du .NZ DNCL (Domain Name Commission Limited) avait attaqué la société américaine spécialisée dans les outils de surveillance et d’investigation, arguant que celle-ci violait les conditions générales d’utilisation du registre.

Le DNCL avait obtenu gain de cause et le tribunal fédéral de Washington avait accordé une injonction préliminaire interdisant à DomainTools de récupérer les données whois du .NZ et ordonnant la suppression des données utilisées dans des publications existantes, et ce pendant toute la durée du procès.

Depuis juin 2016, le registre du .NZ indiquait en effet dans ses conditions générales qu’il était désormais interdit de copier les données titulaires des noms de domaine.

DomainTools fait appel de l’injonction

Sans surprise, DomainTools, qui dans un premier temps avait indiqué que l’emploi de ces données était également d’intérêt général, ces dernières étant utilisées par ses clients dans le cadre de la lutte pour la cybersécurité, a fait appel de l’injonction provisoire.

Bien sûr, ce procès reflète les termes du débat qu’il avait eu lieu à l’ICANN quant au Règlement général sur la protection des données (RGPD).

DomainTools est d’ailleurs cité dans le brouillon d’un projet de loi américain révélé par l’Internet Governance Project, qui indique à ce titre que cette tentative serait menée par différents lobbys. Le Transparent, Open and Secure Internet Act of 2018, daté du 16 août 2018, mentionne deux possibilités d’évolutions :

  • La première, dite « large », propose le maintien d’un whois avec un spectre assez large d’informations (peu ou prou la même chose que nos whois ancienne mode)
  • la seconde, plus limitée, maintiendrait cette obligation de publication des données aux résidents américains ou aux acteurs visant une activité commerciale sur le marché américain.

Un débat vif autour du RGPD

Ce procès nous rappelle à quel point les débats relatifs à la mise en application du RGPD sont vifs au sein de l’ICANN, opposant les acteurs utilisant les données devenues si précieuses et les défenseurs de la vie privée, soutenus par le G29 (groupe des CNIL européennes) qui citent notamment les sanctions encourues.

Rappelons enfin que le GAC tente de minimiser les conséquences du règlement européen. Après avoir été débouté par la justice allemande de leur attaque de mai 2018 visant un registrar ayant cessé de délivrer les données clients au titre du RGPD, le GAC vise à obtenir de la Cour de justice de l’UE un avis favorable en la matière.

Les débats autour du procès DomainTools mériteront d’être suivis de près !

Quels enseignements tirer de l’ICANN62 de Panama ?

Quels enseignements tirer de l’ICANN62 de Panama ?

Fin juin, l’ICANN a tenu son 62ième sommet dans la capitale de Panama. Ce sommet dit « intermédiaire » dans la mesure où il s’agit du second des trois rendez-vous annuels que donne l’ICANN à la communauté internet, a été l’occasion d’annonces suivies par Nameshield qui était sur place.

Un sommet plus mesuré

Du 25 au 28 juin dernier, l’ICANN tenait à Panama city son 62ième sommet. Ce rendez-vous de milieu d’année se veut habituellement moins démonstratif que les sommets de début et de fin d’année. En pratique rien ne change mais quand on y regarde de plus près on note de petites différences dans les pauses et les déjeuners qui se transforment en déjeuners privés et les cocktails plus rares et davantage mesurés. Selon nos sources, il s’agirait avant tout d’une question d’équilibre budgétaire car l’ICANN a une feuille de route budgétaire pour ses événements et cela relève plutôt du sens d’une bonne gestion que de limiter les dépenses en milieu d’année.

Davantage de transparence et d’échanges entre instances

Autre fait notable, comparativement à des sommets antérieurs, l’agenda des meetings sur place employait moins souvent la terminologie « Closed session » (session fermée). Cette évolution vers davantage de transparence est notamment illustrée par le GAC, le comité consultatif des gouvernements, dont presque toutes les sessions étaient ouvertes au public alors qu’il y a peu leurs sessions étaient majoritairement fermées. Parallèlement à cette évolution, on note également que les instances représentatives de certains acteurs comme les registres, les registrars ont davantage échangé entre elles et cela de manière publique. Cela veut-il pour autant dire que tout va bien dans le meilleur des mondes ?

De gauche à droite : Donna Austin Chair du groupe des registres RySG, Heather Forrest chair du GNSO (Generic Names Supporting Organization), et Manal Ismail chair du GAC (Governmental Advisory Committee).

Le RGPD encore et toujours

Non, il y a bien des écueils. Le RGPD, le fameux règlement européen sur la protection des données personnelles, voté en 2016 par le Parlement Européen et entré en vigueur le 25 mai dernier en est la meilleure illustration. Sur ce sujet, la communauté internet n’est pas parvenue à un consensus pour adapter l’industrie des noms de domaine aux enjeux de ce Règlement. Si certains diront que l’ICANN s’y est intéressée trop tardivement, l’ICANN a dû imposer à l’arrachée des Spécifications Temporaires qui ont été votées le 17 mai pour application le 25 mai. Ces mesures souvent contraignantes pour les  registres et registrars, comme le masquage de toutes les données personnelles du Whois, dans un délai aussi court, ont occasionné un surcroit de charge et pour la première fois une fragmentation de services entre prestataires, tous n’appliquant pas ces règles de la même manière.

Pour sortir de cette situation inédite, l’un des enjeux principaux de Panama, était donc de lancer un processus qui doit permettre de remplacer ces règles temporaires par des règles consensuelles avant mai 2019. Il faut savoir en effet que la durée d’application de règles temporaires ne peut pas excéder une année.

Sur ce plan, Panama aura atteint son objectif car le lancement du processus de consultation et de révision a été officialisé à Panama. Ce travail qui doit aboutir pour la fin d’année par la remise d’un rapport va être suivi de près par les autorités européennes ainsi qu’Europol qui ont demandé à ce que les choses avancent vite.

Dans ce contexte, Nameshield était heureux de porter les intérêts des entreprises européennes dans des débats où les entreprises américaines étaient omniprésentes.

L’audit du dernier round dans le timing

L’autre grand sujet de Panama était l’avancée de la revue du dernier round des nouvelles extensions qui remonte déjà à 2012. L’audit de ce round qui a débuté en 2016 devait aboutir à un rapport global en fin d’année. Panama aura permis de constater que le timing de ce travail de longue haleine était globalement tenu dans la mesure où quatre des cinq groupes de travail qui ont planché sur ce sujet ont présenté à Panama un rapport préliminaire qui sera complété d’ici à la fin de l’année par le travail du dernier groupe de travail qui se penche lui sur l’utilisation plus large de termes géographiques en tant qu’extension internet.

Rendez-vous à Barcelone pour l’ICANN63

Dans un peu plus de trois mois, se tiendra à Barcelone le dernier sommet annuel de l’ICANN. Ce sommet auquel participera Nameshield sera l’occasion de mesurer l’avancée des sujets précités.

RGPD – Quel impact sur vos certificats SSL

RGPD – Quel impact sur vos certificats SSL
Source de l’image : mohamed_hassan via Pixabay

Que dit le RGPD en termes de SSL ?

« Dès lors qu’un site peut traiter des données personnelles, simplement avec la création d’un compte utilisateur, la conformité au RGPD requiert a minima que le site soit protégé par un protocole HTTPS. Ce protocole est une protection a minima que tout gestionnaire de site internet ne peut plus se permettre de ne pas avoir. »

Le règlement européen de protection des données (RGPD) exige donc que les données personnelles soient traitées « de façon à garantir une sécurité appropriée ».

Entré en vigueur le 25 mai dernier, son impact sur la gestion de votre portefeuille de certificats SSL n’est pas neutre.

RGPD et procédures d’authentification

Les Autorités de Certification, quelles qu’elles soient, se sont toujours appuyées sur le WHOIS du nom de domaine à certifier pour valider que le demandeur d’un certificat dispose de l’accord de l’exploitant technique du nom de domaine qu’il veut sécuriser.

Pour cela, une des étapes d’authentification prévoyait qu’un mail soit envoyé sur l’une des adresses mails (admin ou technique) présente sur le WHOIS afin de valider la commande.

Mais le RGPD est passé par là et les bureaux d’enregistrement n’ont plus le droit de fournir les données personnelles des propriétaires de nom de domaine sans leur consentement explicite, ce qui rend la base de données WHOIS inexploitable par les Autorités de Certification pour envoyer leur mail de validation.

Face à cette situation, les Autorités de Certification proposent d’envoyer par défaut ce mail de validation à l’une des adresses génériques suivantes :

admin@domaine.com
administrator@domaine.com
postmaster@domaine.com
webmaster@domaine.com
hostmaster@domaine.com

Mais que faire si aucune de ces adresses n’existe ou s’il est trop compliqué de la faire créer ?

Les Autorités de Certification offrent la possibilité de valider que vous avez bien l’accord de l’exploitant technique du nom de domaine, par le biais d’une vérification d’un record TXT dans la zone de DNS du nom de domaine à certifier.

En constatant la présence de ce record TXT, l’Autorité de Certification pourra :

  • délivrer le certificat si celui-ci est un simple certificat DV (Validation du Domaine)
  • poursuivre vers les autres étapes d’authentification s’il s’agit de certificat OV (Validation de l’Organisation) ou EV (Validation Etendue).

Quoiqu’il en soit, le RGPD change la donne et impacte significativement l’industrie du SSL puisque la solution idéale pour obtenir un certificat rapidement passera soit par la création d’une des 5 adresses mail précitées, soit, si cette option était trop compliquée, par la mise en place de record TXT (qui impliquerait une augmentation des délais d’obtention).

Quel avantage à passer par Nameshield pour la gestion de son parc SSL ?

En qualité de Registrar, Nameshield propose un avantage unique sur le marché pour ses clients SSL.

Une pré-authentification de chaque commande permet en effet d’agir en amont de l’Autorité de Certification afin d’anticiper tout blocage et, le cas échéant, d’agir dans les meilleurs délais :

  • Modification d’un WHOIS,
  • Edition de la zone pour mettre en place un enregistrement TXT (si les DNS sont ceux de Nameshield)
  • Création d’alias admin@, administrator@, webmaster@, postmaster@, hostmaster@ (si les MX sont ceux de Nameshield)

N’hésitez pas à faire appel à notre service SSL dédié si vous avez la moindre question sur le sujet.

L’omniprésence des GAFA analysée par les acteurs français

L’omniprésence des GAFA analysée par les acteurs français

Le 14 juin 2018 se tenait une conférence organisée par l’EBG, sur le thème des alternatives au géant Google, et plus globalement aux GAFA. Y étaient présents des ambassadeurs de la réussite française : Arno Pons (DG de l’agence 5ème Gauche), Mathieu Llorens (DG d’AT Internet), Xavier Perret (CDMO d’OVH), Geoffrey La Rocca (DG de Teads), ainsi qu’Antoine Jouteau (DG de LeBonCoin).

En cette année de RGPD, la position de leader de Google pose plus que jamais la question sur la protection de nos données, mais pas seulement. Sa position dominante est de plus en plus contestée par les entreprises européennes, qui critiquent une concurrence déloyale. À la question « qu’est-ce qui vous différencie des GAFA ? », les orateurs répondent l’indépendance, la maîtrise totale des données, l’expertise forte dans un secteur en particulier.

Comment analysent-ils le succès des GAFA ? L’exemple Google

Le premier facteur de réussite de Google, selon Mathieu Llorens, est sa gratuité. Elle permettrait au géant américain de détruire tous les écosystèmes dans lesquels il s’introduit : publicité, médias, moteur de recherche. Après son installation dans le secteur, la monétisation démarre pour obtenir des services de plus grande qualité. C’est ce qui permet à Google, selon le DG d’AT Internet, de ne laisser aucune chance à ses concurrents. Le second facteur, sur lequel tous les intervenants s’accordent, est la faculté de Google d’être à la fois fournisseur et concurrent de ses clients. Son positionnement ambigu fait de la société une menace omniprésente.

Quel phénomène est le plus dangereux dans l’hégémonie des GAFA ?

Pour tous les participants à la table ronde, l’enjeu démocratique est fort. Mathieu Llorens démontre le lien réel entre l’augmentation du chiffre d’affaires de Google et la diminution des emplois dans le domaine des médias. Il est soutenu par Geoffrey La Rocca qui soutient que l’Etat se doit d’investir auprès de ce secteur. Antoine Jouteau, lui, pointe le risque de « trop » de diversification des acteurs américains, phénomène par ailleurs déjà enclenché. Tous les intervenants s’accordent sur les efforts établis par les entreprises européennes à l’occasion de la RGPD, qui démontrent une volonté de gestion propre des données personnelles. Xavier Perret et Antoine Jouteau insistent sur la différence de vision sur la protection des données entre les Etats-Unis et l’Europe. Un des phénomènes les plus dangereux causé par la montée exponentielle des GAFA est la surutilisation des données personnelles dans le but de développer des services annexes.

Comment faire sa place en tant qu’entreprise française ?

Selon Antoine Jouteau, l’Europe tient un rôle primordial dans la protection de ses acteurs : la responsabilité n’est pas uniquement française. Dans un premier temps, les GAFA doivent être mis sur un pied d’égalité en ce qui concerne les taxes, afin de ne pas défavoriser les entreprises européennes. Le Directeur Général de LeBonCoin insiste sur l’importance du regroupement des acteurs français/européens pour peser dans le débat public. Aller défendre seul les intérêts du numérique auprès des instances européennes est vain, selon lui. Le rôle des dirigeants d’entreprise est d’assurer la compréhension des enjeux d’une omniprésence des GAFA. Xavier Perret, lui, parle d’une cohérence à adopter pour défendre les services européens en les privilégiant dans la vie quotidienne.

Les intervenants présents à l’EBG confirment tous la prise de conscience en cours chez les entreprises françaises, et alertent sur le rôle de chacun dans la promotion de l’utilisation des services européens.

L’ICANN joue la pleureuse dans l’application du RGPD

L’ICANN joue la pleureuse dans l’application du RGPD
Source de l’image : TheDigitalArtist via Pixabay

J’évoquais dans un précédent billet le retard de l’ICANN quant aux possibilités d’application du règlement général sur la protection des données (RGPD).

A un mois et une semaine de la deadline, force est de constater qu’à date rien n’a encore évolué. Et côté ICANN, les échanges sont plus que variés.

Rappel du contexte : L’ICANN est une organisation américaine, et autant dire que la première puissance mondiale n’a pas toujours eu l’habitude de se conformer aux desiderata des uns et des autres. Or, les Européens ont voté en avril 2016 un règlement, appelé RGPD et dont l’application devait se faire deux ans et un jour après la date d’entrée en vigueur, soit le 25 mai 2018.

Et même si le fameux règlement a été voté en Europe, toutes les parties sont concernées : l’ICANN n’a d’autre choix que de se conformer également et si l’organisation ne l’a pas encore fait, la deadline, elle, approche.

Pendant ce temps, l’ICANN cherche à négocier : https://www.icann.org/resources/pages/data-protection-correspondence-2017-12-08-en

Si l’on devait caricaturer les dialogues, voilà ce que cela donnerait :

  • ICANN : On a sous-estimé l’impact du RGPD, comment fait-on ?
  • G29 : Soyez conformes au RGPD et tout ira bien.
  • ICANN : Mais on ne sait pas faire, aidez-nous.
  • G29 : OK, mais soyez prêts pour le 25 mai.
  • ICANN : On n’y arrive pas, donnez-nous plus de temps.
  • G29 : Non, dura lex, sed lex

Alors que l’ICANN ne trouve pas de solution, les registres et registrars se conforment comme ils le peuvent au RGPD. Ces avancées à tâtons ne sont que des expérimentations. Le gouvernement des États-Unis a décidé d’intervenir :
https://www.theregister.co.uk/2018/04/17/us_government_whois_debacle/.

Affaire à suivre avant le 25 mai.