Stichting Internet Domeinregistratie Nederland (SIDN) wil met het LEMMINGS-programma grootschalige datalekken voorkomen in de toekomst. De ervaringen met twee pilots was dusdanig positief dat de stichting in maart met een langdurige pilot start. Vanaf dan kunnen alle .nl-registrars deelnemen aan het experiment.
Dat schrijft SIDN in een persverklaring.
Verlopen domeinnamen kunnen leiden tot grootschalige datalekken
Als je een .nl-domeinnaam hebt en je zegt deze op, dan belandt de domeinnaam in een zogeheten quarantaineperiode van 40 dagen. Als deze periode voorbij is, kan iedereen die interesse heeft in de domeinnaam zich melden om hem te registreren. In praktijk komt het echter meer dan eens voor dat mensen, bedrijven en organisaties nog steeds e-mails naar het e-mailadres van de verlopen domeinnaam versturen. Als de nieuwe eigenaar van het domein deze e-mails onder ogen krijgt, heeft hij mogelijk inzage in vertrouwelijke en privacygevoelige (persoons)gegevens.
Dat is precies wat bijna anderhalf jaar geleden gebeurde bij de oude website van Jeugdriagg. Deze organisatie veranderde in 2015 van naam: sindsdien ging de organisatie door het leven als Kenter Jeudghulp. De oude website ging na drie jaar offline. RTL Nieuws kocht het domeinnaam op en wist zo de hand te leggen op dossiers van duizenden kinderen die door Kenter Jeugdzorg werden behandeld.
LEMMINGS verstuurt waarschuwingsmail naar eigenaren opgeheven domeinnamen
Dit is een voorbeeld van een verlopen domeinnaam waarbij het vreselijk mis ging. Dergelijke grootschalige datalekken wil SIDN in de toekomst voorkomen met LEMMINGS. LEMMINGS is een acroniem dat staat voor deLetEd doMain MaIl warNinG System. Met dit programma geeft de stichting voormalige eigenaren van een .nl-domeinnaam een waarschuwing als er tijdens de quarantaineperiode legitieme e-mails naar het opgeheven domeinnaam worden verstuurd.
“Dit doen we door ze een waarschuwingsemail te sturen als we in het DNS-verkeer voor de opgeheven domeinnaam nog een bepaald niveau van verzoeken voor mail (MX) records ontdekken. LEMMINGS verwerkt hierbij geen informatie over de e-mail zelf zoals bijvoorbeeld de afzender, ontvanger of inhoud van de e-mail”, zo vertelt SIDN over het alarmeringssysteem.
Impact LEMMINGS lastig in te schatten
Het afgelopen jaar voerde SIDN een pilot uit bij Argeweb en Openprovider. Met de proeven bij de registrars probeerde de stichting onverwachte problemen te vinden. Het experiment probeerde antwoord te geven op drie vragen:
- Hoe goed werkt LEMMINGS?
- Wat zijn de ervaringen van deelnemende registrars?
- Wat zijn de ervaringen van de domeinnaamhouders?
De pilots liepen tot eind 2021. SIDN heeft de resultaten van meer dan 25.000 opgeheven .nl-domeinnamen geanalyseerd en zijn daar uiterst tevreden over. In totaal verstuurde de stichting 1.408 voormalige domeinnaamhouders een waarschuwing. Dat leidde ertoe dat vijf domeinnamen weer uit quarantaine werden gehaald. Het LEMMINGS-systeem bleek in beide gevallen technisch gezien goed te functioneren. Vanwege de kleine aantallen kan SIDN de impact van het alarmeringssysteem lastig inschatten.
Registrars en voormalige domeinnaamhouders positief over de pilots
Ook Argeweb en Openprovider waren zeer tevreden met de pilot. “We zijn altijd op zoek naar transparante oplossingen om de veiligheid van hun klanten te verhogen, die eenvoudig te implementeren zijn en zo min mogelijk de processen van hun klanten te verstoren. Tijdens de pilot voldeed LEMMINGS aan deze verwachtingen”, aldus Openprovider in een reactie.
De voormalige domeinnaamhouders waren eveneens positief over de pilots. SIDN en de deelnemende registrars hebben geen negatieve reacties van deze groep ontvangen.
Langdurige pilot gaat in maart van start
Om LEMMINGS beter te kunnen evalueren en meer .nl-domeinnamen te beschermen, heeft SIDN in overleg met de Vereniging van Registrars (VvR) besloten om het waarschuwingssysteem uit te breiden naar de gehele .nl-zone. Dat betekent dat alle registrars automatisch meedoen met een derde, langdurige pilot, tenzij zij zich hiervoor nadrukkelijk afmelden via een opt-out.
Deze pilot start in maart en duurt één jaar. Alle .nl-registrars die hieraan deelnemen ontvangen twee weken voor het startschot uitgebreid informatie hierover.
