Zusammenfassung

  • Prop-173 schlägt eine eigene, versionierte Nutzungsrichtlinie für WHOIS, RDAP, Websuchen und gleichwertige APIs vor. Sie ist bislang ein Listenvorschlag und keine beschlossene Regel.
  • Ihre Legitimität hängt von sichtbaren Hinweisen, praktikablen Erlaubnissen für den Netzbetrieb, verständlichen Grenzen und einem Verfahren zur Prüfung falscher Sperren ab.

Eine Adressabfrage kann alltägliche Betriebsarbeit sein: den Betreiber eines Präfixes prüfen, einen Routingkontakt finden, Missbrauch untersuchen oder Reverse DNS reparieren. Das Ergebnis kann aber auch in ein Überwachungssystem kopiert, monatelang gespeichert, mit anderen Datenbanken verknüpft oder als Anreicherungsdienst verkauft werden. Zweck und Folgen unterscheiden sich, obwohl die Oberfläche all dies als einzelne Abfrage erscheinen lässt.

Genau diese Lücke will Jonathan Brewers prop-173 schließen. Die Begründung sagt, APNICs bestehende Nutzungsvereinbarung sei für den massenhaften Whois-Zugriff gedacht und lege die Bedingungen für gewöhnliche Einzelabfragen nicht klar fest. Der Vorschlag fordert eine separate, öffentliche und versionierte Richtlinie für WHOIS, RDAP, Websuchen und gleichwertige APIs. APNIC führt ihn als auf der Mailingliste veröffentlicht; die Seite weist keinen Konsens aus.

Normale Abfrage und Massenzugriff sind unterschiedliche Dienste. Die geltende Vereinbarung für Massenzugriff begrenzt vollständige Downloads auf definierte betriebliche Zwecke und schränkt Kopieren und Weitergabe ein. Prop-173 will eigene Bedingungen für normale Abfragen, stellt aber klar, dass eine Abfrage kein Recht auf einen Spiegel oder eine Ersatzdatenbank verleiht. Ein Netzbetreiber kann so Fehler untersuchen, ohne einem Datenhändler stillschweigend dieselben Nutzungsrechte einzuräumen.

Der Vorschlag geht über einen Copyright-Hinweis hinaus. Er nennt zulässige Zwecke wie Routing-Koordination, die Identifizierung von Ressourceneigentümern, technische Forschung und die Reaktion auf Sicherheitsvorfälle. Er würde Marketinglisten, geografische Profile, den Weiterverkauf als Verzeichnisprodukt und systematische Erfassung untersagen. Dazu kommen Regeln für vorübergehendes Caching, Abfrageraten und Parallelität, Hinweise in WHOIS- und RDAP-Antworten, eine stabile URL, Versionshistorie, Vorankündigung wichtiger Änderungen und eine Überprüfung für Nutzer, die eine falsche Sperre vermuten.

Das sind Vorschläge, keine geltenden APNIC-Regeln. Der Text sagt ausdrücklich, dass eine betriebliche Abfrage durch einen kommerziellen Netzbetreiber oder Sicherheitsanbieter nicht allein deshalb unzulässig wird, weil die Organisation ein Unternehmen ist. Entscheidend ist, ob die Daten ein Netz betreiben oder schützen helfen oder zu einem eigenen Produkt werden. Ohne diese Unterscheidung könnte ein pauschales Verbot kommerzieller Nutzung auch Dienste treffen, die die Interoperabilität von Netzen sichern. Ohne Grenzen für Extraktion und Weiterverkauf könnten Betriebsdaten dagegen in schwer anfechtbare kommerzielle Profile einfließen.

Die Kontrollstelle liegt nicht allein in der Datenbank. Die Datenbank speichert den Eintrag, der Dienst liefert die Antwort, und der Nutzer entscheidet über die nächste Verwendung. Klare Bedingungen müssen alle drei Schritte erklären und Durchsetzungsentscheidungen nachvollziehbar machen. Erscheint der Hinweis erst nach der Abfrage, unterscheiden sich die Regeln je Protokoll oder verweist der Dienst auf ein Dokument ohne Versionshistorie, wird schwer erkennbar, was Nutzer akzeptiert haben.

Sperrt eine automatische Begrenzung Forschende oder ein Missbrauchsteam ohne Überprüfungsweg, kann die Unterbrechung länger dauern als der auslösende Vorfall.

Der Vorschlag unterscheidet außerdem Daten, die aus einem anderen Register weitergeleitet werden. APNICs Bedingungen sollen für APNIC-autoritativ geführte Einträge gelten; weitergeleitete Daten bleiben den Bedingungen des Ursprungsregisters unterstellt. Damit diese Grenze praktisch funktioniert, muss die Herkunft jedes Ergebnisses ausreichend sichtbar bleiben.

Prop-173 fragt daher mehr als nach dem Eigentümer der Datenbank. Sie fragt, ob die Regeln für den Alltag vor der Nutzung lesbar, über Protokolle hinweg konsistent und bei einer falschen betrieblichen Einstufung überprüfbar sind. Der Vorschlag ist weiter in Diskussion; Annahme, endgültiger Wortlaut und Umsetzung sind offen.

Quellen

Der folgende Beitrag von Heng Lu dient nur als analytische Perspektive auf Beteiligung und Autorität, nicht als Beleg zu APNIC.