Domisfera

VeriSign, la compañía designada por la ICANN  para gestionar el registro de los dominios .com y .net (entre otros cometidos), está considerando vender a los Agentes Registradores la información de las peticiones de resolución de dominios. VeriSign controla 2 de los 15 servidores raiz (2 de ellos son servidores espejo) de Internet que se encargan de traducir dominios en direcciones IP.

Actualmente, se guarda un registro de todas las peticiones que les llegan, también de aquellas en las que el dominio no fue registrado. Algunos domain tasters ya obtienen una información parecida de los ISP. Aunque claro, la información que podrían obtener de VeriSign sería cuantitativamente más significativa.

VeriSign ofrecería un servicio a Agentes Registradores mediante el cual podrían mandar una lista de nombres y recibirían un informe con el tráfico para esos dominios durante un cierto periodo de tiempo.

Aunque no se conoce el precio que tendría este servicio, hay fuentes que especulan que sería del orden de millones de dólares. Esta información permitiría conocer el tráfico de los dominios no registrados sin probarlos.

Por otro lado, la ICANN acaba de abrir una investigación para aclarar las acusaciones que alegan que alguien de dentro está usando información privilegiada para registrar dominios libres que tienen muchas peticiones de DNS. La ICANN denomina a esta práctica "Domain name front running". Las acusaciones provienen de varios Agentes Registradores y abogados de la propiedad intelectual. Por ejemplo, una persona perteneciente a algún  Agente Registrador podría analizar el tráfico de los dominios en función de su información privilegiada o guardar las peticiones de whois que le hacen a través de su portal. Esta práctica permitiría registrar esos dominios para intentar venderlos después.

Realmente habría bastantes formas y sitios donde esa información privilegiada podría ser recogida o filtrada:

Software Cliente
Aplicaciones de WHOIS, Browser Helper Objects (BHOs), extensiones, plug-ins y cookies. Pueden ser programados para registrar peticiones WHOIS, dominios por los que se navega, parámetros de búsqueda, etc.

Troyanos y virus
Ejecutables enviados por mail o aplicaciones que enmascaradas bajo una utilidad legítima o no recopilan datos como URLs, actividad DNS o palabras clave.

Las actividades realizadas por software instalado sin el consentimiento del usuario son consideradas ilegales en algunas jurisdicciones.

Operadores DNS
Algunos usuarios de Internet prefieren consultar al DNS antes que hacer un WHOIS del dominio para ver si está libre. Este es un método menos preciso, pues un dominio puede haber sido registrado y no aparecer aún en el DNS. El proveedor de servicios de Internet o de DNS podrían recopilar esta información.

Agentes Registradores y Resellers
Realizan comprobaciones de disponibilidad del dominio en nombre de sus clientes. Muchos utilizan el comando check del protocolo EPP para consultarlo a uno o más Registros. Algunos suministran APIs que extienden este comando a los resellers. Es posible recolectar la actividad EPP para obtener información.

Es frecuente que se compruebe la disponibilidad del dominio en uno o más ccTLDS, sTLDs o gTLDs. Cualquier parte en esta cadena podría también recolectar información.

Registros
Se puede filtrar información sobre las peticiones de disponibilidad de dominios que llegan a los Registros. Podría ser intencionado, usando ingeniería social o simplemente una conversación en un lugar público.

Motores de búsqueda, navegadores, ISP
Todos ellos recogen o podrían recoger información de dominios que se piden, estén o  no registrados. La leyes suelen obligar a los ISPs a guardar información del tráfico (ejemplo en España: LSSI, artículo 12). Esa información podría ser usada o vendida para registrar dominios.

La prospectiva de datos procedentes de clientes sofware, navegadores o portales podría figurar en la licencia o contrato del Usuario final (EULA). En este caso se estaría dando consentimiento legal a esas actividades. Aunque si no figurara en esos documentos, aún no está claro universalmente  si puede considerarse una actividad ilegítima o no. Algunos expertos en seguridad dicen que debería figurar en el EULA qué datos se están recogiendo exactamente, otros expertos argumentan que eso sólo sería necesario si se recopila información personal.

Aunque no hay ninguna prueba sólida al respecto, la ICANN quiere despejar cualquier duda que pueda sostener la percepción de que la industria del domaining está envuelta en actividades no éticas.

El comité consultivo para la Seguridad y Estabilidad (SSAC, Security and Stability Advisory Committee) afirma que aunque esta práctica es ilegal en referencia a servicios y productos, en referencia a dominios hay una falta de regulación. Es necesario establecer unas normas. La acreditación de Agente Registradores y Registros en la ICANN no prohibe expresamente la monitorización, recogida, uso o venta de la información WHOIS de disponibilidad de dominios. Así pues, en ausencia de prohibición, Agentes y Registros pueden inferir que esta actividad es un comportamiento apropiado.

Es importante señalar que los servicios de WHOIS no son necesariamente en tiempo real. Puede suceder que un dominio esté aún marcado como libre, pero haya sido registrado en horas previas.

Explicaciones alternativas apuntan a que hay casos de domain name front running son una consecuencia directa del domain tasting. Si se prueban alrededor de un millón de dominios hay una razonable probabilidad de que haya alguno que coincida con el que tú habías mirado a ver si estaba disponible.

El SSAC ha abierto un periodo de comentario público para discutir y reunir más información (SSAC-DNFR[arroba]icann.org). Se examinará luego toda la información para determinar si estos comportamientos son consistentes con los valores de la comunidad de Internet.

El SSAC ha consultado con estos expertos para elaborar el informe:

Bruce Tonkin  (Melbourne IT), Ross Rader (Tucows), Steve Miholovich (Network Solutions), Tim Ruiz (GoDaddy), Jay Westerdal (Name Intelligence), Jonathan Nevett (Network Solutions) y Paul Stahura (Demand Media).

La verdad es que demostrar un sólo caso es una tarea difícil, casi imposible, dado la cantidad de factores que intervienen. El domain name front running probablemente  quedará circunscrito en el campo de la ética, aunque aquellos que quieran registrar dominios ya saben lo que no tienen que hacer, por si acaso…

(Fuentes: DomainNameNews, DNForum, ICANN)