Bilješka 16: O phishing porukama u ime RIPE NCC-a — strah, autoritet i stvarna uloga registara

Nedavno su mnogi članovi RIPE NCC-a primili e-poruku s naslovom „Download Review” u kojoj se zahtijevala potvrda podataka u roku od 48 sati. Poruka nije stigla od RIPE NCC-a. Bio je to pokušaj phishinga koji je iskorištavao strah, točnije strah od autoriteta koji se pripisuje RIPE NCC-u.

Taj događaj razotkriva dublji strukturni problem.

RIPE NCC je privatna organizacija utemeljena na članstvu koja održava bazu registracijskih podataka. Ipak, mnogi je članovi podsvjesno smatraju regulatorom sa suverenim ovlastima, sposobnim preko noći ugasiti cijelo njihovo poslovanje. Upravo su taj strah iskoristili prevaranti. A on postoji zbog jednog razloga: prema sadašnjim politikama RIR-ova, članovi nisu stvarni vlasnici IP adresa o kojima ovisi njihovo poslovanje.

Ako registar teoretski može raskinuti ugovor o pružanju usluga i promijeniti registracije, rizik se doživljava kao prijetnja samom opstanku. Nacionalno telekomunikacijsko poduzeće, pružatelj internetskih usluga koji opslužuje milijune ljudi, nikada ne bi smio strukturno ovisiti o diskrecijskom odlučivanju privatne tvrtke koja posluje prema stranom pravu. To nije zdrav temelj za kritičnu infrastrukturu.

Pravo rješenje je reforma politika. Vlasništvo nad brojevnim resursima mora se priznati. Kada članovi doista posjeduju svoje IP adrese, e-poruka, bila prava ili lažna, ne može ugroziti opstanak njihova poslovanja. Strah nestaje onog trenutka kada nestane ovisnost. RIR-ovi su institucije koje zajednica vodi odozdo prema gore. Ako zajednica želi vlasništvo, može ga ostvariti: sudjelovanjem, glasanjem i promjenom politika.

Istodobno, članovi trebaju razumjeti današnju stvarnost. RIPE NCC nije vlada. Nije internetska policija. To je privatni subjekt u ugovornom odnosu sa svojim članovima. Kad bi postupao nerazumno, raskidao ugovore i prouzročio nerazmjernu štetu, snosio bi pravnu odgovornost. Sudovi postoje upravo da spriječe takve zlouporabe, a povijest pokazuje da ni sami registri nisu zaštićeni od sudskih zabrana, mjera zamrzavanja ili nesolventnosti kada prijeđu granice.

U praksi se rad RIPE NCC-a odvija prema utvrđenim i razumnim postupcima. Primjerice, potpomognute provjere registra, poznate kao Assisted Registry Checks, služe održavanju točnosti podataka. No provode se suradnjom, zakazuju u vrijeme koje odgovara članu i izričito nisu neprijateljske. Nijedan legitiman postupak RIPE-a ne zahtijeva djelovanje u roku od 48 sati pod prijetnjom. Takve bi poruke odmah trebale izazvati sumnju.

Taj nas događaj podsjeća da stvari trebamo ponovno sagledati u pravom svjetlu. Registri su knjigovođe. Kako je rekao jedan od osnivača RIPE-a, postoje kako bi knjiga bila točna. Ništa više. Ne zapovijedaju mrežama, ne nadziru ponašanje kao policija niti izvršavaju suverene ovlasti.

Dugoročno rješenje je zajedničko djelovanje: sudjelovati u postupcima oblikovanja politika, zalagati se za stvarno vlasništvo nad IP adresama i ukloniti strukturni strah koji takve phishing napade uopće čini učinkovitima. Kada vlasništvo nad IP adresama bude jasno, cijela ta vrsta prijetnji nestaje.

Do tada se prema porukama registara odnosite kao prema porukama bilo kojeg dobavljača: smireno, na temelju ugovora i bez straha.