Zusammenfassung

  • Warren Kumari erklärte im Schlussplenum der RIPE 92, er habe gültige Domains registriert, deren Namen sich durch ein gekipptes Bit aus anderen ergeben. Sein Server erfasste Hostnamen, SNI, URLs und Cookies; Tastaturfehler und automatisches Scannen versuchte er herauszufiltern.
  • Für neue Top-Level-Domains erwog er ein Verbot solcher Nachbarn. Bei der Prüfung der bisherigen TLDs fand er bereits ungefähr 60 Paare. Der offizielle Vortragseintrag verzeichnet einen zehnminütigen Forschungsbericht, noch keinen eingebrachten Regeltext.

Das Verbot wäre leicht zu formulieren gewesen. Keine neue Top-Level-Domain soll sich um nur ein Bit von einer vorhandenen unterscheiden. Kumari wollte es für die nächste Vergaberunde in Betracht ziehen. Dann prüfte er die Ausgangslage: ungefähr 60 solche Paare gab es nach seiner Zählung schon. Die Tür für neue Bewerber lässt sich enger machen. Die alten Nachbarn wohnen weiter nebeneinander.

Sein Ausgangspunkt war kein Planspiel. Ein Bit kann im Speicher kippen, während dort ein Domainname liegt; der veränderte Name kann wieder gültig sein. Kumari berechnete passende Varianten, registrierte einige und betrieb einen Webserver. In Edinburgh am 22. Mai 2026 zeigte er, was ankam: technische Hostnamen, vollständige Pfade, SNI-Angaben und Cookies. Ein falsch zugestellter Aufruf kann also mehr enthalten als die Bitte um eine Startseite.

Kumari hatte einen naheliegenden Einwand selbst vor Augen. Neue Domains werden von Bots abgeklappert, und Menschen vertippen sich. Er suchte deshalb Beispiele, deren Buchstaben auf der Tastatur weit auseinanderliegen, achtete auf lange maschinell gebildete Namen und API-Pfade und entfernte offensichtliches Scanrauschen. Das Transkript beschreibt diese Auswahl. Ein öffentlicher Rohdatensatz, der jede einzelne Anfrage einem Speicherfehler zuordnet, liegt dort nicht vor.

Die beobachteten Inhalte waren trotzdem eindrücklich. Er berichtete von Tausenden Anfragen nach JavaScript-Dateien und vielen Cookies, darunter Werten, die wie Anmeldetoken aussahen. Auch bei TLS fand er Fälle, in denen eine Verbindung zu seinem kontrollierten Namen weiterlief und ein Cookie abgab. Entscheidend ist, an welcher Stelle der Verarbeitung das Bit gekippt war. Kumari zeigte einen Abflussweg, keine dokumentierte spätere Nutzung der Zugangsdaten.

Für die TLD-Frage folgt daraus ein unangenehmer Befund. Eine Vergaberegel trifft künftige Namen. Die vorhandenen Paare und die Geräte, die Anfragen erzeugen, bleiben bestehen. Fehlerkorrigierender Speicher kann einen Teil der Ursache abfangen, doch nicht jedes Telefon und jeder Rechner wird deswegen ausgetauscht. Auch Software entscheidet, ob sie nach einer Abweichung noch Daten sendet.

Kumari trat nicht mit einem beschlossenen ICANN-Plan auf. Er hatte die vernünftigere Reihenfolge vorgeführt: erst die bestehende Namensliste gegen den eigenen Vorschlag halten, dann über neue Regeln sprechen. Sein kleiner Server zeigte, warum dieser Schritt keine akademische Höflichkeit ist.