網路審查與封鎖 – 日益增長的網路分裂

Fortune專欄作家Jeff John Roberts在今年5月底以「網路分裂日益增長」(The Splinternet Is Growing為題撰文提到,各國政府透過網路內容審查或網站封鎖,在虛擬的網際網路上劃出邊界,造成所謂網路巴爾幹化(balkanization)現象;即使此現象自20世紀90年代以來就已存在,但近年有加劇趨勢。 閱讀全文 “網路審查與封鎖 – 日益增長的網路分裂”

DNS的未來?—談DNS-over-HTTPS及其對網路治理的意涵

自從IETF RFC8484規範文件發布以來,DNS-over-HTTPS (DoH) 這項將域名解析安全化的方案,在技術社群引起不小的爭論。對於網路使用者來說,究竟域名解析是如何進行,或許已經大大超出一般使用者關心的範圍,然而,其在強化安全的背後,對於政府、ISP業者甚至網路治理組織而言,會帶來哪些可能的影響,也已經成為今年網路治理相關會議討論的焦點。

DoH技術概觀

DoH的基本作法,是將DNS解析請求透過HTTPS協定加密連線傳輸,補足傳統DNS解析安全性不足的問題,希望透過HTTPS來降低域名劫持等中間人攻擊的風險,進而強化網路安全性,並減少使用者資料被竊取的機會來保障隱私。Mozilla基金會除在IETF提出RFC8484規範文件,建立DoH的規範外,也在Firefox 62版開始支援,並與DNS服務業者Cloudflare合作,以1.1.1.1實作支援DoH的可信遞迴解析器(trusted recursive resolver)。TWNIC的Quad101,在RFC8484於去年10月生效後,也於12月宣布跟進支援DoH。此外,Google Public DNS和Quad9也在今年年初逐步支援DoH。

近年透過DNS進行大規模網路攻擊的事件層出不窮,在此情況下,直接透過使用者上網必定會使用的瀏覽器,以實作DoH的可信遞迴解析器來保護DNS解析傳輸,似乎是個快速簡便的解法。另外一項強化安全解決方案DNSSEC,推出多年來其全球普及率一直無法提升,是因為其簽署認證來自於ICANN的根域名伺服器,層層傳輸過程中進行簽署,形成信任鍊(chain of trust),確保解析結果自根域名伺服器始並未遭到竄改,故需要在各層DNS上均佈署支援DNSSEC的DNS管理軟體版本。對域名註冊商或ISP業者來說,這得冒著一旦其中任何一層認證發生錯誤,便有無法解析、影響服務的風險,還不如採取以不變應萬變的保守作法。

安全的代價

然而,看似簡易的DoH,其實更將徹底改變網路信任的生態。首先是傳輸集中化,將使瀏覽器成為新的守門員。現在,DNS傳輸散布在世界上許許多多的伺服器間,各受所在地相關法律管轄,使用者可以自由選擇;而在DoH廣泛使用的未來,四大網路瀏覽器公司掌握了全世界90%市占率,也將掌握90%的DNS傳輸,這些瀏覽器各受該公司所在國的法律管轄。而在隱私部分,雖然加密傳輸無法竊取查詢紀錄,但使用者的查詢資料就受到解析器所在國的相關法律規範、而非使用者所在國法律所管轄,DNS服務提供者也可能將這些資料作其他運用來獲利。

從使用者的角度,若對網路的信任以及安全,都掌握在少數的瀏覽器和解析器上,是不是可能會出現問題?在2月舉行的APRICOT2019/APNIC 47,APNIC主任科學家Geoff Huston 表示,為了達到保護DNS隱私的目的,使用者將必須自行選擇使用的遞迴解析器和加密方式,如果其解析器無法信任,對隱私的影響可能比什麼都不做更糟。近期Mozilla Firefox附加元件失效的事件,或許也能提供一些思考方向。極力推廣DoH的Mozilla,自2015年始便要求套件開發者都需要數位簽證,來確保使用者本機端和Firefox伺服器端都使用同樣的版本,但在5月4日,由於Firefox伺服器簽署認證過期,竟導致大量擴充套件和佈景主題失效。雖然Mozilla開發團隊盡全力修補,但使用者本機端很可能因擴充套件相容性,仍然使用較舊的版本,導致開發團隊即使釋出最新修補版,也無法徹底解決所有使用者的問題。這顯示,瀏覽器一旦發生問題,反而容易成為單點障礙(Single point of failure),且由於市場大者恆大,影響範圍將會非常廣。

對於ISP業者來說,DoH除了可能因強制使用遠端解析器,而影響內容傳遞網路的效率外,也有安全上的顧慮。許多ISP業者能夠透過在地化DNS設定過濾惡意軟體和殭屍網路,並且由監控DNS流量來了解網路問題,或者是否受惡意軟體影響。使用DoH則會讓ISP喪失這些途徑,遠端解析器不大可能對單一地區受威脅的狀況進行反應,而ISP業者更完全無法取得DoH流量資訊。當政府因執法需求,直接要求ISP業者提供使用者網路造訪紀錄時,在使用DoH的狀況下,亦無從回應。以英國為例,2016年通過的調查權力法案(Investigatory Power Act),要求ISP業者留存用戶長達12個月網路使用資料,使用DoH則ISP業者將無法達成此要求,這也使得英國各大電信業者紛紛公開表示DoH的可能影響,希望能夠協調出應對方案來因應。

更甚者,在廣泛使用DoH瀏覽器的未來,是誰真正負責管轄、具有型塑網路發展的能力?若是以DNSSEC強化安全,其信任的對象即是負責管理根域名伺服器的ICANN,以及其多方利害關係人治理架構,但使用DoH時,信任對象便轉移至瀏覽器公司以及合作提供DNS解析服務的業者,並將受到所在國法律管轄。在今年已經舉行的幾個網路治理重要會議上,DoH以及其潛在意涵都是核心討論議題,如3月的ICANN 64與5月11日剛結束的ICANN DNS Symposium,Open-Xchange的政策總監Vittorio Bertola在發表中提醒,DoH實質上是網路政策議題,而不單單是一個強化安全方案而已。

小結

雖然政府、ISP業者以及技術社群均提出疑慮,由現況來看,DoH的潮流恐怕已經很難避免,尤其市占率最大的Google Chrome,已經傳出將在下一次更新正式支援DoH,預期可能會大幅增加整體解析流量中DoH的占比,要如何因應,也將會是未來整個網路治理社群必須共同面對的議題。

  1. 101.101.101.101 支援 DoH (Queries over HTTPS), 台灣網路資訊中心2019年1月份電子報
  2. John E Dunn, DNS over HTTPS is coming whether ISPs and governments like it or not, naked security by SOPHOS 2019/04/24
  3. Zak Doffman, Google Chrome Update — ‘A Threat To Children, Cybersecurity And Government Snooping,’ The Forbes 2019/04/22
  4. Geoff Huston, DNS Privacy, APRICOT 2019, 2019/02/27

網路治理與數位合作

由左至右:理律法律事務所曾更瑩律師、台灣經濟研究院林欣吾所長、中研院社會所吳齊殷副所長、NII產業發展協進會吳國維顧問、台灣網路資訊中心黃勝雄執行長、國家通訊傳播委員會沈信雄科長、台灣人權促進會沈伯洋副會長

台灣網路資訊中心為鼓勵國內利害關係人積極參與數位議題討論,推動多方合作、建立共識,特舉辦「網路社群與數位合作」專家座談會,希望鼓勵台灣網路社群及多方利害關係人,一同探討國內數位發展、網路議題,並探索需要採取行動的領域。

閱讀全文 “網路治理與數位合作”

網路治理與數位合作

臺灣網路資訊中心為鼓勵國內利害關係人積極參與數位議題討論,推動多方合作、建立共識,特舉辦「網路社群與數位合作」專家座談會,希望鼓勵臺灣網路社群及多方利害關係人,一同探討國內數位發展、網路議題,並探索需要採取行動的領域。

本座談會邀請到NII產業發展協進會吳國維顧問、中研院社會所吳齊殷副所長、台灣人權促進會沈伯洋副會長、國家通訊傳播委員會沈信雄科長、臺灣經濟研究院林欣吾所長、理律法律事務所曾更瑩律師,以及行政院科技會報辦公室蔡志宏執行秘書(依姓氏筆畫排序),加上擔任主持人的臺灣網路資訊中心黃勝雄執行長,與談人背景包括國家政府、業界、公民社會、技術社群、學界,誠然為多方利害關係代表的展現。 閱讀全文 “網路治理與數位合作”

提升域名註冊人的權利與義務的認知意識

ICANN的主要任務之一,是致力於全球域名註冊人的良好註冊,並確保全球域名系統(DNS)安全、穩定地運作,以提供安全、可靠的網際網路服務,同時促進域名產業內的信任、多元選擇和競爭。域名註冊人是DNS組成的一部分,他們是透過與受理註冊機構(Registrars)或經銷商(Resellers)達成協議,而獲得在一段時間內,如1年、2年或5年使用域名的權利的組織或個人,域名的使用如到期後,需要有續用繳費程序,以延續域名的使用權利。域名註冊人擁有的重要權利,包括從受理註冊機構處獲取有關註冊、管理、轉移、續用和恢復域名註冊流程信息的權利。他們亦負有重要責任,包括提供準確的聯繫資訊以便在WHOIS目錄中公佈、通知註冊商任何聯繫資訊的改變,並及時回應註冊商關於其域名註冊資訊的請求。因此教育域名註冊人提升他們權利和責任、全球域名生態系統及ICANN域名政策可能會對域名持有人造成影響等認知,都是十分重要的事情。

 

全球域名體系分為國家頂級域名(Country Codes Top Level Domain, ccTLD)及一般通用域名(Generic Top Level Domain, gTLD)。ccTLD一般由各國的政府註冊管理局與ICANN簽約授予。gTLD則分兩類,舊型的gTLD如.com、.org、edu等,新型的gTLD(New generic Top-Level Domains,簡稱 New gTLD)。New gTLD於 2011 年 6 月開放申請,包括:

  • 一般名稱(Generic gTLDs):如.art、.coffee、.hotel、.music及.office等。
  • 城市/地理及文化名稱(City/Geo/Cultural gTLDs):如.taipei、.berlin、.tokyo等。
  • 品牌及商標名稱(Brand and Trademark gTLDs):如.google、.samsung、.apple等。
  • 國際化域名(IDNS-International TLDS-Non Latin Script):如.公司、.机构、.ポイント、.닷컴、.संगठन等)。

 

因此從2012年起,當New gTLD如.me、.info、.law、.ngo皆推出域名註冊服務時,讓域名註冊人的選擇愈來愈多,這些頂級域名的註冊管理機構及其註冊商,皆須與ICANN訂有合約,合約讓這些管理機構及其註冊商在協議中須能滿足安全穩定域名系統的要求,並促進消費者信任,包括促進簽約方與最終用戶之間的溝通及在必要時尋求正式補救措施等。New gTLD在向ICANN申請核准後,則直接與ICANN簽約成立註冊管理機構(registry),New gTLD的受理註冊機構(registrars)則須向ICANN申請核准後,再向New gTLD註冊管理機構申請核准並簽約,才能提供該New gTLD的域名註冊,受理註冊機構可以同時承接多個New gTLD的註冊,例如.taipei之註冊管理機構為臺北市政府(目前事務性工作委請中華電信協助),可以註冊.taipei的註冊商全球約有30多家,其域名政策亦可查閱nic.taipei網站。

 

因此一個域名註冊人申請域名時,需先決定是註冊ccTLD或gTLD的域名,然後再向有承接該域名的註冊商進行註冊。在域名註冊後,域名權利與責任的溝通都會由該域名註冊商來提供。當然域名註冊商的域名註冊政策,都是由該TLD的註冊局決定,不過通常差異不大。

 

ICANN設有一個ICANN Global Support Center(GSC),對與ICANN的簽約方及所有gTLD的註冊人、網路一般社群公民,提供5*24的電話及線上服務。近幾年GSC的常見註冊人投訴包括:

 

  1.  與WHOIS相關的常見投訴
  • WHOIS數據庫中顯示的註冊數據不正確/無效。
  • 由於歐盟GDPR和臨時規範,註冊數據未顯示(或遭遮蔽)。
  • 域名被暫停或刪除,未能獲得註冊商或經銷商回覆。
  • 註冊人無法更新註冊記錄(無法存取或無法登錄、服務提供商或經銷商不答覆等)。
  • 域名持有者相關問題—以託管服務提供商、經銷商或註冊人組織前僱員的名義註冊的域名等。
  1.  域名轉移常見投訴
  • 無法通過註冊控制面板/用戶面板,檢索“AuthInfo”代碼。
  • 無法通過註冊控制面板/用戶面板解鎖域名。
  • 未列為註冊人或管理員聯繫人的轉移請求。
  • 在Web託管或服務提供商之間請求轉移。
  • 註冊商/經銷商因額外費用拒絕轉讓,例如“轉讓費”。
  • 註冊商/經銷商因未決的註冊期間拒絕轉讓。
  • 無回應/不合作的經銷商或服務提供商。
  • 被劫持的域名/電子郵件帳戶和未經授權的轉移。
  1.  續用更新常見投訴
  • 由於註冊人電子郵件無法正常運行,因此註冊人未收到續用提醒。
  • 由於註冊控制面板無法存取,因此註冊人無法續用或恢復域名使用。
  • 註冊人支付續用費,但域名卻未續用。
  • 註冊商/經銷商未提供有關續用/贖回費用的信息。
  • 客戶服務問題,例如由於付款方式和結算糾紛而導致續用失敗。
  • 經銷商未能發送提醒、通知客戶或上述其他問題。

 

為提升域名註冊人的權利與義務的認知意識,ICANN也持續收集及分析域名註冊人的抱怨及面臨的問題與挑戰,持續發布教育性的內容供註冊人參考,並於ICANN網站設置域名註冊人專區,同時也會於每年ICANN會議中安排場次針對上述問題做討論。

 

參考資料:

ICANN的難題:WHOIS與GDPR (下集)

次說到ICANN若想繼續提供RDS(並規定合約方也繼續提供RDS),必須證明自己有持續蒐集註冊人資料的合法目的

現在ICANN有了蒐集註冊人資料的合法目的,但哪些資料可以公開,哪些資料又必須遮罩才能保障註冊人隱私並避免觸法呢?EPDP小組在第一階段結案報告中,提供了他們認為的最佳答案。

根據EPDP第一階段結案報告,未來公開、可搜尋的RDS資料中,將不再顯示註冊人的姓名、電話、地址、電子郵件信箱等資訊(但仍會顯示註冊人所在國家、州/省)。 閱讀全文 “ICANN的難題:WHOIS與GDPR (下集)”

ICANN的難題:WHOIS與GDPR (上集)

隨著網路成為現代人日常生活的一部分,無論是企業或個人似乎都已習慣了「個人資料」與「免費服務/產品」的「以物易物」,如Facebook透過提供使用者免費的社群平台,獲得追蹤並記錄使用者網路活動、點閱偏好,並將這些資料售予廣告商,藉此營利。這種商業模式又被稱為「監視資本主義」(surveillance capitalism),也是我們生活的新現實。

難道消費者只能被動接受這個現實,以「被監視」換取商品或服務嗎?一向重視人權、個人隱私的歐洲並不同意。也因此,歐盟在兩年前推出了歐洲資料保護條例(General Data Protection Regulations,GDPR);這部全球最保護個人資料隱私的法律自去年5月25日正式實施,其嚴謹規則及高額罰金讓跨國企業叫苦不迭。 閱讀全文 “ICANN的難題:WHOIS與GDPR (上集)”

人工智慧與資料隱私之探討

人工智慧的機會和威脅

人工智慧(AI)具有巨大利益伴隨巨大風險的性質。透過持續發展的萬物聯網,無處不在的連接和雲端基礎設施,不斷收集大量的數據,每天都在上演人工智慧的各項創新應用。雖然與“大數據”的概念密切相關,但AI透過機器學習和深度學習的演算模式並做出自動決策, 這正是AI的機會和威脅所在(決定可能是有益的,也可能是災難性的)。AI的錯誤或誤導性主張,可能會對預期的社會受益人造成重大損害。強人工智慧(Strong AI)或通用人工智慧(Artificial General Intelligence)的發展,更可能造成各層面深遠的影響,因此衍伸的倫理、法律與社會影響(Ethical, Legal and Social Impacts, ELSI)相關研究範圍甚廣,而本文僅就與資料隱私(data privacy)相關議題提出探討。 閱讀全文 “人工智慧與資料隱私之探討”

簡介ICANN網域濫用活動通報系統

DAAR計畫之目的

ICANN 的網域濫用活動通報系統(Domain Abuse Activity Reporting System, 簡稱DAAR)是ICANN網路識別系統安全、穩定與靈活性(Internet Identifier System Security, Stability, and Resiliency)計畫的一部分。DAAR是研究TLD(頂級域名)的registries(註冊管理機構)及registrars(受理註冊機構)的域名註冊及安全威脅(域名濫用)行為通報的一個系統。DAAR首要目的是向ICANN社群通報安全威脅活動,讓ICANN社群可以使用這些資料來改善域名註冊政策,利用該通報系統整合開放註冊之新gTLD、傳統gTLD及ccTLD中,找出與網路安全威脅有關的域名主要是登記於哪些註冊管理機構及受理註冊機構、註冊比例有多高與ICANN政策可作出哪些相對應的調整。

閱讀全文 “簡介ICANN網域濫用活動通報系統”

替代性網際網路方案 – Yeti DNS Project

自DNS問世至今已逾30年,雖然鮮少發生大規模解析障礙、運作算穩定,但隨著網際網路發展及各個國家對網路治理需求的不同,改變 DNS 現行體制與架構的想法也應運而生;其中,根域名伺服器的「去中心化」便是其中一個被提出的概念。在討論去中心化之前,首先說明有學者提出 DNS「中心化」的觀點為,過半數的主流13個根域名伺服器以及負責執行根域名伺服器zone file資料編輯的「Root Zone Maintainer」都由美籍機構所負責等。而「去中心化」即是希望能改變此現況,數個探討根域名伺服器新架構、新技術可能性的專案陸續出現。有關DNS運作方式及中心化治理議題之內涵,可參考導讀文章:「根域名伺服器的重要性、現況與爭議」

閱讀全文 “替代性網際網路方案 – Yeti DNS Project”