Když doménové záznamy neříkají pravdu

Zpráva amerického vládního úřadu Government Accountability Office (GAO) z konce loňského roku hovořila o osmi procentech domén .com, .org. a .net se špatnými kontaktními údaji. Co tím bylo v tomto případě myšleno? Podle GAO bylo 5,14 procenta doménových jmen registrováno s údaji, které se jevily jako zřejmě a úmyslně falešné, a dalších 3,65 procenta domén bylo registrováno s nekompletními informacemi. Ze 45 oznámení o chybách, která postoupila správci domén nejvyšší úrovně (Internet Corporation For Assigned Names and Numbers, ICANN) k dalšímu šetření, poskytlo ve lhůtě 30 dní pouze jedenáct držitelů doménových jmen nové údaje, které nebyly zjevně nesprávné. Zajímavé z hlediska dalšího vývoje může být dodatek o dohodě ICANN a amerického ministerstva obchodu o implementaci nových pravidel pro akreditaci registrátorů, která by od nich měla vyžadovat prověřování a opravu nahlášených chyb v kontaktních údajích.

Podle pravidel registrace, vydávaných správcem českého doménového prostoru, sdružením CZ.NIC, jsou pro účely registrace subjektu a kontaktu vyžadovány tyto údaje:

"Údaje požadované pro registraci subjektu:

Typ subjektu (právnická, fyzická osoba)

• Název včetně právní formy,
• adresa sídla – ulice, město, poštovní směrovací číslo, země,
• identifikační číslo,
• daňové identifikační číslo,
• označení osob oprávněných jednat jménem osoby,
• adresa elektronické pošty.

• Jméno a příjmení,
• bydliště (místo podnikání u podnikatelů) – ulice, město, poštovní směrovací číslo, země,
• datum narození,
• u podnikatelů identifikační číslo a daňové identifikační čís­lo,
• adresa elektronické pošty.

Údaje požadované pro registraci kontaktu

Typ kontaktu (pouze fyzická osoba)

• Jméno a příjmení,
• bydliště- ulice, město, poštovní směrovací číslo, země,
• datum narození,
• typ a číslo dokladu (pas, OP, SSN),
• adresa elektronické pošty,
• telefon (nepovinný),
• fax (nepovinný)."

Připomeňme, že kontaktní údaje a informace o odpovědných subjektech jsou nedílnou součástí každé registrace doménového jména. Ty nejdůležitější z nich jsou veřejně dohledatelné skrze standardní rozhraní whois pro účely kontaktu oprávněné osoby, spjaté s příslušnou doménou. Tuto potřebu samozřejmě nemusí cítit jen orgány činné v trestním řízení, ale v podstatě kdokoliv, kdo si myslí, že s danou doménou je něco špatně – ať už v legislativním, či technickém slova smyslu. Velmi často pak údaje z whois slouží k pátrání po vlastnících domény, o kterou má zájem někdo jiný, či ze které chodí značné množství nevyžádané pošty (spamu). Správnost a veřejná dostupnost kontaktních údajů u domén má proto svůj neopominutelný a hluboký důvod.

Na tuto skutečnost pamatují i pravidla registrace (bod 9.1.):

Registrace Kontaktu je podmínkou registrace Subjektu. Registrace Subjektu je podmínkou registrace Doménového jména. Jeden Kontakt může být použit u více než jednoho Subjektu. Jeden Subjekt může být použit u více než jednoho Doménového jména.

Odpovědnost za správnost registrovaných údajů u domén přisuzuje CZ.NIC žadatelům o registraci domén. Konkrétně v bodu 13.2.2. pravidla pro registraci praví:

Osoba podávající žádost o registraci Doménového jména, Subjektu nebo Kontaktu nebo žádost o změnu údajů týkajících se Doménového jména, Subjektu nebo Kontaktu nese odpovědnost za správnost všech údajů uváděných v žádosti o registraci, které se týkají osob uvedených v žádosti, a prohlašuje, že se nejedná o pseudonymy, že získala souhlas všech osob, jejichž osobní údaje mají být na základě žádosti o registraci vedeny v Centrálním registru a zavazuje se takový souhlas získat i v případě změn takových osob nebo údajů o takových osobách.

Zároveň se držitelům domény přisuzuje odpovědnost za případnou škodu, vzniklou uvedením nesprávných údajů (bod 15.2):

Držitel odpovídá za škodu způsobenou sdružení CZ.NIC tím, že poskytl sdružení CZ.NIC nepravdivé nebo zavádějící údaje, nebo že užíval Doménové jméno způsobem, který porušuje Pravidla registrace nebo práva třetích osob.

Je však zřejmé, že pokud žadatel vyplní záměrně falešné údaje, které zároveň nebudou „na první pohled“ usvědčitelné z nepravdy (jméno typu „Mickey Mouse“ a podobně), a zároveň nepůjde o údaje snadno odhalitelné rutinním kontaktem žadatele s registrátorem (například fakturační adresa), nemusí k odhalení nepravdivých či chybných informací vůbec dojít. Jestliže registrátor podvod neodhalí (protože kontrolu vůbec neprovádí či proto, že v některých případech je odhalit špatný údaj téměř nemožné), nehrozí podvodníkovi žádné velké riziko ani ze strany CZ.NIC. Z naší strany je tam pouze kontrola na povinné položky a nějaké integritní omezení (popsané ve formulářích a Pravidlech komunikace – resp. schématech – u konkrétních položek). Ono to ale ve skutečnosti se správností nemá nic společného, jde v podstatě o kontroly typu, že ‚IČO je číslo‘ nebo že ‚v e-mailu je zavináč‘, řekl nám Ondřej Filip, výkonný ředitel sdružení CZ.NIC, a dodává: Kontrolu správnosti by měl provádět registrátor.

Jak jsme si však ověřili rychlým průzkumem mezi třemi největšími registrátory podle žebříčku Doménové centrály Lupy, je praxe značně variabilní podle politiky toho kterého registrátora. Ignum podle Milana Chvojky kontroly neprovádí, protože je těžké určit špatně vyplněné údaje. Podstatné jsou ty fakturační, a ty se ověří poměrně rychle zaslanou fakturou, řekl nám Milan Chvojka. Ostatní korekce podle něj Ignum provádí až na základě podnětu od zákazníka, protože cílem registrátora je zákazníka registračním procesem zatěžovat co nejméně.

Active 24 naproti tomu podle informací, které jsme získali na jejich infolince, kontrolu provádí. Ověřují zejména zjevné nesmysly (jako výše uvedený příklad se jménem typu „Mickey Mouse“), přičemž celý proces provádí „ručně“ některý z pracovníků. Znovu odlišná praxe pak panuje i v Internet CZ, který podle vyjádření pracovnice zákaznické linky údaje neověřuje, ani co se týče fakturačních údajů. Ty prověří opět až kontakt obchodního oddělení se zákazníkem, které řeší i případné spory kvůli špatně registrovaným doménám (registrace na jméno někoho jiného apod.).

Je tedy zřejmé, mezi registrátory je přístup k odpovědnosti za správné kontaktní údaje dosti proměnlivý. Není pak divu, že se mezi některými kontakty objevují takové neuvěřitelnosti, jako je záznam osoby „PIPNI3532“. Zde již nelze mluvit ani tak o podvodném údaji, jako spíš o cíleném záměru poškodit jednu z webhosterských společností. Samozřejmě je možné namítnout, že reálná škoda pro zmíněného webhostera, plynoucí z existence tohoto záznamu, nebude příliš velká, ale otázkou potom zůstává, nakolik vlastně kontaktní údaje u domén plní svůj účel a nakolik jim lze věřit, mohou-li se mezi nimi vyskytovat takto svérázné údaje.

Oslovení registrátoři nedisponovali statistikou špatně zadaných registračních údajů. Také CZ.NIC podle Ondřeje Filipa bohužel v současné době neumí odhadnout počet domén s chybně či falešně vyplněnými informacemi, i když podobné případy již řešil: Obvykle se takovéto věci řeší individuálně, jsou iniciovány vnějším podnětem. Takovéto kauzy končí obvykle buď opravou údajů, nebo zrušením registrace domény.

Je jistě svým způsobem útěcha, že v případě odhalení obvykle dojde na spravedlivý závěr, na druhou stranu to však znamená i to, že dokud na podivné údaje u domén či kontaktů nepřijde někdo z uživatelů služby whois, mohou tam vydržet takřka libovolně dlouho. Ne vždy to samozřejmě nutně musí znamenat problém, ale přece jen – nestálo by za to mít registr co nejvíce věrohodný?