Σημείωμα 16: Για τα μηνύματα phishing στο όνομα του RIPE NCC — φόβος, εξουσία και ο πραγματικός ρόλος των μητρώων

Πρόσφατα, πολλά μέλη του RIPE NCC έλαβαν ένα μήνυμα ηλεκτρονικού ταχυδρομείου με θέμα «Download Review», το οποίο απαιτούσε επιβεβαίωση στοιχείων εντός 48 ωρών. Το μήνυμα δεν προερχόταν από το RIPE NCC. Ήταν μια απόπειρα ηλεκτρονικού ψαρέματος που εκμεταλλευόταν τον φόβο — συγκεκριμένα, τον φόβο για την εξουσία που αποδίδεται στο RIPE NCC.

Αυτό το περιστατικό αποκαλύπτει ένα βαθύτερο διαρθρωτικό πρόβλημα.

Το RIPE NCC είναι ένας ιδιωτικός φορέας που βασίζεται στα μέλη του και τηρεί μια βάση δεδομένων καταχωρίσεων. Ωστόσο, πολλά μέλη το αντιμετωπίζουν υποσυνείδητα ως ρυθμιστική αρχή με κυριαρχική εξουσία, ικανή να κλείσει ολόκληρη την επιχείρησή τους μέσα σε μια νύχτα. Αυτόν ακριβώς τον φόβο εκμεταλλεύτηκαν οι απατεώνες. Και υπάρχει για έναν λόγο: σύμφωνα με τις ισχύουσες πολιτικές των RIR, τα μέλη δεν έχουν πραγματική κυριότητα των διευθύνσεων IP από τις οποίες εξαρτώνται οι επιχειρήσεις τους.

Αν ένα μητρώο μπορεί θεωρητικά να καταγγείλει μια σύμβαση παροχής υπηρεσιών και να αλλάξει τις καταχωρίσεις, ο κίνδυνος γίνεται αντιληπτός ως απειλή για την ίδια την ύπαρξη της επιχείρησης. Μια εθνική τηλεπικοινωνιακή επιχείρηση, ένας πάροχος υπηρεσιών Διαδικτύου που εξυπηρετεί εκατομμύρια ανθρώπους, δεν θα έπρεπε ποτέ να εξαρτάται διαρθρωτικά από τη διακριτική ευχέρεια μιας ιδιωτικής εταιρείας που υπάγεται σε ξένο δίκαιο. Αυτό δεν είναι υγιές θεμέλιο για κρίσιμες υποδομές.

Η πραγματική λύση είναι η μεταρρύθμιση των πολιτικών. Η κυριότητα των πόρων αρίθμησης πρέπει να αναγνωριστεί. Όταν τα μέλη έχουν πραγματική κυριότητα των διευθύνσεών τους IP, ένα μήνυμα, γνήσιο ή πλαστό, δεν μπορεί να απειλήσει την επιβίωση της επιχείρησής τους. Ο φόβος εξαφανίζεται τη στιγμή που εξαφανίζεται η εξάρτηση. Τα RIR είναι θεσμοί που λειτουργούν από τη βάση προς την κορυφή, με την κοινότητα να καθοδηγεί τις αποφάσεις. Αν η κοινότητα θέλει την κυριότητα, μπορεί να την πετύχει: συμμετέχοντας, ψηφίζοντας και αλλάζοντας τις πολιτικές.

Ταυτόχρονα, τα μέλη πρέπει να κατανοούν τη σημερινή πραγματικότητα. Το RIPE NCC δεν είναι κυβέρνηση. Δεν είναι η αστυνομία του Διαδικτύου. Είναι ένας ιδιωτικός φορέας που συνδέεται συμβατικά με τα μέλη του. Αν ενεργούσε παράλογα, καταγγέλλοντας συμβάσεις και προκαλώντας δυσανάλογη ζημία, θα έφερε νομική ευθύνη. Τα δικαστήρια υπάρχουν ακριβώς για να αποτρέπουν τέτοιες καταχρήσεις, και η ιστορία δείχνει ότι ούτε τα ίδια τα μητρώα είναι απρόσβλητα από δικαστικές απαγορεύσεις, μέτρα δέσμευσης ή αφερεγγυότητα όταν υπερβαίνουν τα όρια.

Στην πράξη, οι ενέργειες του RIPE NCC ακολουθούν καθορισμένες και εύλογες διαδικασίες. Για παράδειγμα, οι υποβοηθούμενοι έλεγχοι μητρώου, οι Assisted Registry Checks, αποσκοπούν στη διατήρηση της ακρίβειας των δεδομένων. Βασίζονται όμως στη συνεργασία, προγραμματίζονται σε χρόνο που εξυπηρετεί το μέλος και έχουν ρητά μη εχθρικό χαρακτήρα. Καμία νόμιμη διαδικασία του RIPE δεν απαιτεί ενέργειες εντός 48 ωρών υπό απειλή. Τέτοια μηνύματα θα πρέπει να κινούν αμέσως υποψίες.

Αυτό το περιστατικό μάς θυμίζει ότι πρέπει να ξαναδούμε τα πράγματα στις σωστές τους διαστάσεις. Τα μητρώα τηρούν βιβλία. Όπως το έθεσε ένας από τους ιδρυτές του RIPE, υπάρχουν για να κρατούν το βιβλίο ακριβές. Τίποτε περισσότερο. Δεν δίνουν εντολές στα δίκτυα, δεν αστυνομεύουν συμπεριφορές ούτε ασκούν κυριαρχική εξουσία.

Η μακροπρόθεσμη λύση είναι η συλλογική δράση: συμμετοχή στις διαδικασίες διαμόρφωσης πολιτικών, διεκδίκηση πραγματικής κυριότητας των διευθύνσεων IP και εξάλειψη του διαρθρωτικού φόβου που εξαρχής κάνει αποτελεσματικές αυτές τις επιθέσεις ηλεκτρονικού ψαρέματος. Μόλις αποσαφηνιστεί η κυριότητα των διευθύνσεων IP, όλη αυτή η κατηγορία απειλών εξαφανίζεται.

Μέχρι τότε, αντιμετωπίζετε τις επικοινωνίες των μητρώων όπως εκείνες οποιουδήποτε προμηθευτή: με ψυχραιμία, βάσει της σύμβασης και χωρίς φόβο.