Registration Data Access Protocol (RDAP): Das steckt hinter der Whois-Alternative
Es gibt verschiedene Gründe, die Kontaktdaten eines Domain-Inhabers in Erfahrung zu bringen: So könnte eine Kontaktierung zum einen den Hintergrund haben, dass ein Nutzer dem Betreiber ein technisches Problem melden möchte. Zum anderen benötigen Zivilkläger und Strafverfolger die Daten, wenn sie auf die Verletzung von Rechten Dritter hinweisen wollen. Ferner kann hinter der gewünschten Kontaktaufnahme auch die Absicht stecken, die entsprechende Domain zu kaufen.
Bis dato kann der Inhaber einer Domain mithilfe von Whois-Diensten ermittelt werden, die sich auf das gleichnamige Protokoll stützen. 2015 definierten IETF und ICANN jedoch die ersten RFCs des Protokolls RDAP (Registration Data Access Protocol), das – wenn es nach der obersten Domain-Vergabestelle ginge – die Whois-Nachfolge eher heute als morgen anträte.
Was ist das Registration Data Access Protocol (RDAP)?
Das Registration Data Access Protocol (RDAP) wurde von einer Arbeitsgruppe der Internet Engineering Task Force (IETF) konzipiert. Nach einer knapp vierjährigen Projektphase erschien am 26. Juli 2016 die erste Version des Protokollprofils (1.0), dessen Eigenschaften und Anwendung in verschiedenen Requests for Comments (RFC 7480-7484 und RFC 8056) beschrieben sind. RDAP bietet die Möglichkeit, weiterführende Informationen zu elementaren Internetressourcen wie
- Domain-Namen,
- IP-Adressen oder
- Autonomous System Numbers (ASNs)
sowie verwandten Einträge zu erhalten. Zu diesem Zweck liefert die Whois-Alternative die Basis, um entsprechende Anfragen an die verschiedenen Domain-Registrare zu stellen, die Informationen wie zum Beispiel die Kontaktdaten des Domain-Inhabers, die Kontaktdaten des administrativen Ansprechpartners (Admin-C) oder die Adresse des verwendeten Nameservers inklusive Verwalter in ihren Datenbanken führen.
Warum wurde RDAP entwickelt?
Bereits im Jahr 1982 publizierte die IETF das Protokoll Whois, um einen Abfrage-Service für das damalige ARPANET zu realisieren. Dass es auch nach über einem Vierteljahrhundert (mittlerweile für die Abfrage im Internet) immer noch im Einsatz ist, ist vielen Experten jedoch schon lange ein Dorn im Auge. Der entscheidende Kritikpunkt ist, dass Whois den heutigen technischen Ansprüchen von Internet und Web nicht mehr gerecht wird.
Dabei geht es beispielsweise um die Problematik, dass das Abfrage-Protokoll sich nicht um die Kodierung kümmert und daher keine Unterstützung für nicht-lateinische Schriften bietet (was z. B. deutsche Umlaute ausschließt). Ebenso schwer wiegt die Tatsache, dass der Zugriff auf die Domain-Daten weder über eine gesicherte Verbindung stattfindet, noch regulierbar ist – auch anonyme Nutzer erhalten vollen Zugriff, um zum Beispiel Mail- und Adressdaten abzugreifen.
Projekte wie die Erweiterung Whois++ oder das Denic-Protokoll IRIS (Internet Registry Information Service) lieferten erste Verbesserungsansätze, konnten sich als dauerhafte Whois-Alternative aber nicht durchsetzen. Nachdem lange Zeit auch in der ICANN-Community Diskussionen um die Notwendigkeit der Weiterentwicklung geführt wurden, gab der Sicherheits-Bericht SAC 051 des Security and Stability Advisory Committee (SSAC) im September 2011 den entscheidenden Anstoß, die RDAP-Arbeitsgruppe ins Leben zu rufen.
Was unterscheidet das Registration Data Access Protocol von Whois?
RDAP erweist sich in vielerlei Hinsicht als verbesserte Version von Whois. Die IETF-Arbeitsgruppe hat sich intensiv mit den Schwachstellen des alten Protokolls auseinandergesetzt und sich bei der Entwicklung des neuen Abfrage-Protokolls daher vor allem auf die Punkte Sicherheit, Strukturierung und Internationalisierung konzentriert. So zeichnet sich die Whois-Alternative durch folgende Neuerungen aus:
- Strukturierte Abfrage- und Antwort-Semantik (inklusive standardisierter Fehlermeldungen)
- Sicherer Zugriff auf die angefragten Kontaktdaten (z. B. via HTTPS)
- Erweiterbarkeit (z. B. Hinzufügen von Ausgabeelementen)
- „Bootstrapping“-Mechanismus (unterstützt bei der Suche nach dem geeigneten autoritativen DNS-Server)
- Standardisierte Weiterleitung der Abfragen
- Webbasiert (HTTP) und REST-konform
- Unkomplizierte Übersetzung der Ausgabedaten
- Möglichkeit, differenzierten Zugriff auf die Kontaktdaten zu gewähren
Das Registration Data Access Protocol erweist sich also in vielen Punkten als deutlich flexibler als sein Vorgänger: Während Whois als textbasiertes Protokoll an TCP und den spezifischen TCP-Port (43) gebunden ist, nutzt RDAP für die Datenübertragung den Web-Standard HTTP bzw. HTTPS. Dabei werden sämtliche Daten in einem standardisierten, maschinenlesbaren JSON-Format ausgeliefert. Auf diese Weise gewährt die Whois-Alternative einerseits mehr Freiheiten bei der Datenabfrage und vereinfacht es andererseits, Abfrage-Services zu programmieren, die mit den unterschiedlichen Registrierungsstellen kommunizieren und die abgefragten Daten in verschiedenen Sprachen ausgeben können.
| RDAP | Whois |
|---|---|
| HTTP-basiert | textbasiert |
| Standardisiertes JSON-Format | Keine Codier-Schemata |
| Ausgabedaten sind maschinenlesbar und unkompliziert übersetzbar | Ausgabedaten sind im Klartext und können daher nicht ohne Weiteres maschinell verarbeitet werden |
| Antworten leiten automatisch an andere Registrierungsstellen weiter | Antworten enthalten keine weiterführenden Register-Informationen |
| Möglichkeit, Zugriffsrechte für verschiedene Gruppen zu definieren | Differenzierter Zugriff auf Daten nicht möglich |
Option für differenzierte Zugriffsrechte sorgt noch für Gesprächsstoff
Eine der wichtigsten neuen Funktionen, die in das Registration Data Access Protocol implementiert wurde, ist ohne Zweifel die Möglichkeit, verschiedene Zugriffsrechte für einzelne Nutzergruppen festlegen zu können. Auf diese Weise kann die Registrierungsstelle im Detail regeln, wer welche Daten zu Gesicht bekommt. So ist zum Beispiel denkbar, anonymen Usern limitierten Zugriff zu gewähren, während authentifizierte Benutzer den kompletten Datensatz einsehen können. An dieser Stelle sehen viele Verantwortliche jedoch entscheidenden Klärungsbedarf:
Unter anderem steht die Frage im Raum, wie zum Beispiel mit Strafverfolgern umgegangen werden soll, die anonym bleiben und dennoch die vollen Zugriffsmöglichkeiten haben wollen. Ferner gibt es keine Richtlinien dazu, ob in einem solchen Fall auch die Einsicht in die Domain-Daten über Ländergrenzen hinaus gewährt werden darf. Über allem steht derweil der Schutz der Nutzerdaten und damit verbunden das Vertrauen der Betreiber, die ihre Domain registrieren. Und dieses Vertrauen soll auf keinen Fall unter der neuen RDAP-Abfrage-Technik leiden. Nachdem verschiedene Registries Ende 2016 Berufung gegen die auferlegte Umsetzungsfrist der ICANN eingelegt haben, plant die Organisation, die Whois-Alternative durch Verträge mit den Registrierungsstellen und Domain-Anbietern durchzusetzen.
Ähnliche Artikel
Domaingrabbing & Cybersquatting: Unterschiede und Rechtsfolgen
Domaingrabbing und Cybersquatting werden oft synonym verwendet. Doch während der erstgenannte Begriff eine Bezeichnung für den durchaus legitimen Handel mit Domains darstellt, verletzt Cybersquatting per Definition Namens- oder Markenrechte und führt daher in der Regel zu Auseinandersetzungen vor Gericht. Wir erklären den Unterschied und zeigen Wege auf, sich gegen Rechtsverletzungen zur Wehr zu…
Domain-Registrierung: Angaben zum Admin-C und Tech-C nicht länger Pflicht
Admin-C, Tech-C und Zone-C – diese Kürzel begegnen Ihnen bei jeder Domain-Registrierung. Es handelt sich dabei um wichtige Ansprechpartner im Domain-Betrieb. Ihre Kontaktdaten finden sich daher in jedem Whois-Eintrag. Doch welche Funktionen erfüllen diese Bevollmächtigten und welche Rechte und Pflichten gehen mit einer solchen Position einher?
