介紹ICANN域名註冊資料標準化存取模型（SAM）

2019 / 09 / 11
作者： TWNIC

2019 / 09 / 11
Author : TWNIC

分類：待分類, 社群

Categories : 待分類, 社群

因應歐盟於2018年5月25日開始施行GDPR，過去一年來ICANN全面檢視與檢討全球網路域名註冊人註冊資料的欄位項目及開放WHOIS查詢的資料欄位項目，是否符合GDPR個人資料收集、處理、利用之適法性要求。WHOIS（依新的RDAP協定建置的系統稱為Registration Directory Service，RDS）這個全球公開的分佈式域名註冊資料查詢目錄服務，目前包含至少超過1.87億個域名的註冊記錄資訊。ICANN通過私人合約的方式與超過2,500個域名註冊管理機構和註冊服務商簽約，這些機構與ICANN一樣，皆受GDPR施行的影響。

ICANN為因應此一迫切要求，緊急頒布一年期的臨時條款，規範需遮罩部分RDS資料欄位，不顯示資料欄位內容，並啟動第一階段加速政策發展流程（EPDP），徹底重新檢視ICANN處理域名註冊資料的合法目的，以及個資收集、處理、利用之相關規範。2019年2月EPDP工作小組完成第一階段結案報告，共計提出29項建議，重點包括：

將展開第二階段，討論具合法事由之第三方存取非公開RDS資料的「標準化存取」流程（standardized access）。
Registrar（受理註冊機構）須蒐集/生成的註冊資料。
Registrar/Registry（註冊管理機構）須傳送至ICANN的註冊資料。
應公開/遮罩的註冊人資料。
「組織/公司」欄位的公開須經註冊人明確知情同意。
Registrar可以，但不必要根據地理位置區分註冊人。
Registrar可以，但不必要區分註冊人為法人或自然人。
遮罩「城市」欄位（Intellectual Property Constituency、Governmental Advisory Committee、Business Constituency仍持不支持意見）。
註冊人e-mail以匿名e-mail或網路表格取代，且匿名e-mail不得具可連結至註冊人的單一特殊性。

未來域名註冊人註冊（含生成）的資料，將會區分為公開、非公開資料。這些資料欄位在EPDP的第一階段期末報告中有詳細列舉清單。有關第二階段的工作模式，鑑於現階段第三方無法合法取得非公開資料，以及各註冊單位對非公開資料提供方式的零散化，ICANN應社群要求，建立了一個技術工作小組（Technical Study Group, TSG ），期望能儘速制定標準化存取模型（Standardized Access Model, SAM），以標準化方式提供非公開資料的存取方式。本階段討論之重點為：

第三方取得非公開註冊資料的合理目的為何？
承上，存取權限的資格條件為何？
是否需要/如何將具存取權限的第三方分門別類？
不同的第三方可存取之資料內容。

註冊人公開揭露的註冊人資料如圖1右邊部分，左邊的其餘欄位為非公開資料。「針對合法揭露的合理要求」時，請求者須提供足資證明其存取之合法事由等相關資料，應提供之資料包含：

提出要求之請求者的資訊（如個人/企業的性質/類別、法定代理人授權聲明等）。
請求者之合法權利及當筆要求的合理事由/依據。
善意保證（affirmation of good faith）。
要求之資料欄位清單，包括每筆欄位的合理事由/依據。
若請求成功，將依法處理相關資料的同意聲明。

圖1. 註冊人公開揭露、非公開資料欄位

存取這些非公開資料的第三方請求者（requestor），需要有存取權限，而TSG已發布初步技術模型（Draft Technical Model for Access to Non-Public Registration Data）。目前完成的初步模型有12條假設前提，其中最重要的幾項包括：RDAP為此模型的技術協定、ICANN作為第三方與registry/registrar之間的唯一中介者、RDAP會回應未經驗證的要求（但接受或拒絕及處置方式將由ICANN共識政策決定）、ICANN將負責擔保「驗證/認證」的可靠性。此一具有SAM功能之流程示意圖如圖2所示。其中引入了ICANN RDAP Gateway、Identity Provider、Authorization Services等可能之分工角色。圖2中左邊圖示為所有請求者查詢（Queries），皆依請求者透過ICANN Gateway去查詢gTLD Non-Public資料。而右邊的圖示，係增加身分驗證、存取授權角色及締約方（Contracted Provider）的伺服器角色。各角色及服務之概略說明如下：

Requestor：傳送請求查詢的請求者。
ICANN RDAP Access Service： ICANN符合RDAP的基於瀏覽器的Web存取服務，請求者用於從OAuth/OpenID Connect流程獲取存取令牌（Access Token）。
ICANN RDAP Gateway：一個由ICANN扮演的中央RDAP代理服務器，所有查詢指向該服務器並過濾所有的回應。
CP Servers：締約方（Contracted Provider）的伺服器，即是由域名registry/registrar營運的RDAP服務器。
Identity Providers：進行身份驗證的組織。
Authorization Service：確定要由經過身份驗證的請求者存取的資料類型的組織，所提供的授權服務。

圖2. 標準化存取模型（SAM）功能之流程示意圖

在TSG發布的TSG01文件中，模擬SAM的三個角色模型：

角色模型1： ICANN同時扮演Authorization Service及Identity Providers角色，統一提供請求者身份驗證及請求者存取資料類型的組織。
角色模型2：ICANN扮演單一Authorization Service，但有多個Identity Providers。
角色模型3：ICANN不再扮演Authorization Service及Identity Providers角色，另有第三方授權方（Authorization Service）及多個Identity Providers。

上述三個角色模型，非公開資料的存取皆由ICANN集中化管理。惟未來不管是ICANN自己扮演或將其委託第三方辦理身分驗證或非公開資料存取類型之授權服務，仍端視ICANN EPDP第二階段之政策決定。

ICANN將於2019年8月29日發布新註冊目錄服務（RDS）政策，並於2020年2月29日全面實施新的RDS政策。展望未來一年， RDS將會有全新的服務型態出現，而SAM目前僅進行至技術模型訂定，至於其與ICANN EPDP第二階段的政策制定及RDAP協定結合之實作系統將陸續出爐，此一攸關全球新形態公開的RDS註冊資料及非公開的SAM查詢，值得所有registry/registrars及關心網路公共利益社群者的持續追蹤與關注。