Registration Data Access Protocol (RDAP): Das steckt hinter der Whois-Alternative

Bereits im Jahr 1982 publizierte die IETF das Protokoll Whois, um einen Abfrage-Service für das damalige ARPANET zu realisieren. Dass es auch nach über einem Vierteljahrhundert (mittlerweile für die Abfrage im Internet) immer noch im Einsatz ist, ist vielen Experten jedoch schon lange ein Dorn im Auge. Der entscheidende Kritikpunkt ist, dass Whois den heutigen technischen Ansprüchen von Internet und Web nicht mehr gerecht wird.

Dabei geht es beispielsweise um die Problematik, dass das Abfrage-Protokoll sich nicht um die Kodierung kümmert und daher keine Unterstützung für nicht-lateinische Schriften bietet (was z. B. deutsche Umlaute ausschließt). Ebenso schwer wiegt die Tatsache, dass der Zugriff auf die Domain-Daten weder über eine gesicherte Verbindung stattfindet, noch regulierbar ist – auch anonyme Nutzer erhalten vollen Zugriff, um zum Beispiel Mail- und Adressdaten abzugreifen.

Projekte wie die Erweiterung Whois++ oder das Denic-Protokoll IRIS (Internet Registry Information Service) lieferten erste Verbesserungsansätze, konnten sich als dauerhafte Whois-Alternative aber nicht durchsetzen. Nachdem lange Zeit auch in der ICANN-Community Diskussionen um die Notwendigkeit der Weiterentwicklung geführt wurden, gab der Sicherheits-Bericht SAC 051 des Security and Stability Advisory Committee (SSAC) im September 2011 den entscheidenden Anstoß, die RDAP-Arbeitsgruppe ins Leben zu rufen.

RDAP erweist sich in vielerlei Hinsicht als verbesserte Version von Whois. Die IETF-Arbeitsgruppe hat sich intensiv mit den Schwachstellen des alten Protokolls auseinandergesetzt und sich bei der Entwicklung des neuen Abfrage-Protokolls daher vor allem auf die Punkte Sicherheit, Strukturierung und Internationalisierung konzentriert. So zeichnet sich die Whois-Alternative durch folgende Neuerungen aus:

• Strukturierte Abfrage- und Antwort-Semantik (inklusive standardisierter Fehlermeldungen)

• Sicherer Zugriff auf die angefragten Kontaktdaten (z. B. via HTTPS)

• Erweiterbarkeit (z. B. Hinzufügen von Ausgabeelementen)

• „Bootstrapping“-Mechanismus (unterstützt bei der Suche nach dem geeigneten autoritativen DNS-Server)

• Standardisierte Weiterleitung der Abfragen

• Webbasiert (HTTP) und REST-konform

• Unkomplizierte Übersetzung der Ausgabedaten

• Möglichkeit, differenzierten Zugriff auf die Kontaktdaten zu gewähren

Das Registration Data Access Protocol erweist sich also in vielen Punkten als deutlich flexibler als sein Vorgänger: Während Whois als textbasiertes Protokoll an TCP und den spezifischen TCP-Port (43) gebunden ist, nutzt RDAP für die Datenübertragung den Web-Standard HTTP bzw. HTTPS. Dabei werden sämtliche Daten in einem standardisierten, maschinenlesbaren JSON-Format ausgeliefert. Auf diese Weise gewährt die Whois-Alternative einerseits mehr Freiheiten bei der Datenabfrage und vereinfacht es andererseits, Abfrage-Services zu programmieren, die mit den unterschiedlichen Registrierungsstellen kommunizieren und die abgefragten Daten in verschiedenen Sprachen ausgeben können.

Eine der wichtigsten neuen Funktionen, die in das Registration Data Access Protocol implementiert wurde, ist ohne Zweifel die Möglichkeit, verschiedene Zugriffsrechte für einzelne Nutzergruppen festlegen zu können. Auf diese Weise kann die Registrierungsstelle im Detail regeln, wer welche Daten zu Gesicht bekommt. So ist zum Beispiel denkbar, anonymen Usern limitierten Zugriff zu gewähren, während authentifizierte Benutzer den kompletten Datensatz einsehen können. An dieser Stelle sehen viele Verantwortliche jedoch entscheidenden Klärungsbedarf:

Unter anderem steht die Frage im Raum, wie zum Beispiel mit Strafverfolgern umgegangen werden soll, die anonym bleiben und dennoch die vollen Zugriffsmöglichkeiten haben wollen. Ferner gibt es keine Richtlinien dazu, ob in einem solchen Fall auch die Einsicht in die Domain-Daten über Ländergrenzen hinaus gewährt werden darf. Über allem steht derweil der Schutz der Nutzerdaten und damit verbunden das Vertrauen der Betreiber, die ihre Domain registrieren. Und dieses Vertrauen soll auf keinen Fall unter der neuen RDAP-Abfrage-Technik leiden. Nachdem verschiedene Registries Ende 2016 Berufung gegen die auferlegte Umsetzungsfrist der ICANN eingelegt haben, plant die Organisation, die Whois-Alternative durch Verträge mit den Registrierungsstellen und Domain-Anbietern durchzusetzen.