<div dir="ltr">To try to bridge this gap a little bit... and hopefully clarify my point to Steve.<div><br></div><div>Shutting down public access to A records degrades the network in a very immediate, obvious way. Therefore, even if they are PII, they still can be published.</div><div><br></div><div>While WHOIS details are materially different, and shutting down WHOIS entirely probably won't have an immediate effect, there is an entire ecosystem of anti-spam, anti-ddos, anti-hack measures in place that allow Internet users to successfully access their mailboxes, communicate with remote IP addresses, and so on, without the inundation of spam and DDOS that would make the entire network unusable if there weren't active efforts to stop this stuff. </div><div><br></div><div>The Internet is a band-aid on top of a band-aid on top of a band-aid. This WHOIS band-aid turns out to be holding a lot of things together, even though it was never intended to be originally.</div><div><br></div><div>There are uncountable public incidents where abuse caused widespread Internet shutdown, and was only remediated by active efforts on the part of network/server operators and anti-abuse professionals. And we are arguing that WHOIS has often been a critical, and irreplaceable component of many of those incident responses. We care less about the format of the data, but we care very deeply that we should still be able to process this data to respond to future incidents at the same level of effectiveness. </div><div><br></div><div>We also argue that our roles cannot be replaced by police that get warrants and court orders for WHOIS data, for so many reasons, not the least of which is that no one wants NOCs, SOCs, etc, staffed by cops!</div><div><br></div><div>Therefore quite a lot of us are arguing that even though the effect is not immediate and obvious, the loss of WHOIS will cause secondary effects that end up degrading the Internet, just like the loss of A records would, albeit slower and more indirectly. Shut down WHOIS, and you might not reliably get your A records, your e-mail, or your favorite website.</div><div><br></div><div>I think if you spoke to people at large networks, large mailbox operators, etc, you would find a lot of agreement on the critical importance that WHOIS has accidentally gained. </div><div><br></div><div><br></div><div><br></div></div><div class="gmail_extra"><br><div class="gmail_quote">On Tue, Feb 20, 2018 at 1:12 PM, John Bambenek via gnso-rds-pdp-wg <span dir="ltr"><<a href="mailto:gnso-rds-pdp-wg@icann.org" target="_blank">gnso-rds-pdp-wg@icann.org</a>></span> wrote:<br><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex">Which brings me back full circle to my point. An A records exists because a registrant put it there. If the system was slightly modified to provide a free privacy option, then whois data is there because the registrant put it there. And thus the problem is solved.<br>
<br>
--<br>
John Bambenek<br>
<div class="HOEnZb"><div class="h5"><br>
> On Feb 20, 2018, at 12:07, Tapani Tarvainen <<a href="mailto:ncsg@tapani.tarvainen.info">ncsg@tapani.tarvainen.info</a>> wrote:<br>
><br>
> Yes. Even though IP addresses &c can be personally identifiable<br>
> information, that doesn't mean they can't ever be published. It does<br>
> mean GDPR applies, but it's clear GDPR would allow DNS records to be<br>
> published just as they've always been.<br>
><br>
> Seriously. GDPR is not insane.<br>
><br>
> Tapani<br>
><br>
>> On Tue, Feb 20, 2018 at 12:31:57PM -0500, Steve Crocker (<a href="mailto:steve@shinkuro.com">steve@shinkuro.com</a>) wrote:<br>
>><br>
>> John,<br>
>><br>
>> I think you're making the implicit assumption that access to name server<br>
>> (NS), address (A and AAAA) and related MX and DS records should be gated<br>
>> simply because someone can claim there might be personally identifiable<br>
>> information associated with these records.  This is a very large assumption<br>
>> with very large consequences.<br>
>><br>
>> The DNS was designed to provide unfettered access to these records.  The<br>
>> implication, therefore, is that anyone who publishes these records<br>
>> necessarily expects these records to be publicly available.<br>
>><br>
>> If you think there's a need for a system that makes the address information<br>
>> about a site accessible to only a selected set of people, design and build<br>
>> a system that provides that functionality.  The Domain Name System,<br>
>> however, is not designed and not built that way.  Anyone who publishes<br>
>> information in the DNS has necessarily chosen to make that information<br>
>> public.  That's the end of the privacy issue with respect to the Domain<br>
>> Name System.<br>
>><br>
>> Discussion about how much information about the registrant is a separate<br>
>> matter, of course.<br>
>><br>
>> Steve<br>
>><br>
>><br>
>> On Tue, Feb 20, 2018 at 12:17 PM, John Bambenek <<a href="mailto:jcb@bambenekconsulting.com">jcb@bambenekconsulting.com</a>><br>
>> wrote:<br>
>><br>
>>> We have no idea how to determine nationality, so we just assume GDPR<br>
>>> applies.<br>
>>><br>
>>> We have no idea how to determine natural vs legal person, so we assume<br>
>>> natural person.<br>
>>><br>
>>> We assume the user is too stupid to use a role-based email address or any<br>
>>> other mitigations, so that’s not an option.<br>
>>><br>
>>> We assume the user is too stupid to know why to do with voluntary fields,<br>
>>> so putting data in whois is too risky even in an opt-in scenario.<br>
>>><br>
>>> But now we are talking about acceptable levels of risk with nameservers?<br>
>>><br>
>>> How are we going to control to make sure only the types of data processing<br>
>>> on this sensitive information is limited to what is authorized? What if I<br>
>>> don’t want you to have my nameservers? What are you registrars going to do<br>
>>> to make that possible?<br>
>>><br>
>>> --<br>
>>> John Bambenek<br>
>>><br>
>>> On Feb 20, 2018, at 11:11, Ayden Férdeline <<a href="mailto:icann@ferdeline.com">icann@ferdeline.com</a>> wrote:<br>
>>><br>
>>> Domain names and name servers can comprise personal information. However,<br>
>>> this does not mean we cannot use them. It just means we need to complete a<br>
>>> privacy impact assessment and understand the risks involved. And I suspect<br>
>>> the risks to a name server or domain name itself being public are<br>
>>> incredibly low. The risk profile is nowhere near that of WHOIS or RDS being<br>
>>> open for all to see, filled with sensitive data like addresses and phone<br>
>>> numbers.<br>
>>><br>
>>> Ayden<br>
>>><br>
>>><br>
>>> -------- Original Message --------<br>
>>> On 20 February 2018 5:55 PM, John Bambenek via gnso-rds-pdp-wg <<br>
>>> <a href="mailto:gnso-rds-pdp-wg@icann.org">gnso-rds-pdp-wg@icann.org</a>> wrote:<br>
>>><br>
>>> Domain names, hostnames, and IP addresses in so far as they are personally<br>
>>> identifiable are PII. Courts have ruled on IP addresses already and DPAs<br>
>>> have said much the same.<br>
>>><br>
>>> So the same logic on why we can’t have a system that lets people advertise<br>
>>> who owns the domain is the same argument why DNS must be gated.<br>
>>><br>
>>> Has any registrar done a PIA on publishing my nameservers? How do I<br>
>>> control who gets that information? How do we enforce its for authorized<br>
>>> purposes only?<br>
>>><br>
>>> --<br>
>>> John Bambenek<br>
>>><br>
>>> On Feb 20, 2018, at 10:50, Steve Crocker <<a href="mailto:steve@shinkuro.com">steve@shinkuro.com</a>> wrote:<br>
>>><br>
>>> I'm puzzled by the reference to name servers and A records.  These are<br>
>>> necessarily public else the domain name system won't function.  Is there<br>
>>> confusion or misunderstanding about the role of these records?<br>
>>><br>
>>> Steve<br>
>>><br>
>>><br>
>>>> On Tue, Feb 20, 2018 at 11:47 AM, allison nixon <<a href="mailto:elsakoo@gmail.com">elsakoo@gmail.com</a>> wrote:<br>
>>>><br>
>>>> 1,000,000% agreed. Registrars cannot eliminate all their risk by masking<br>
>>>> WHOIS into oblivion. The DPAs can still ask why they are exposing A<br>
>>>> records, nameservers, etc, to anyone who asks for them, without valid<br>
>>>> reasons or authentication. Why do they expose zone files, etc. The DPAs can<br>
>>>> ask why customer support can sometimes so easily be social engineered into<br>
>>>> handing over accounts to account takeover scammers.<br>
>>>><br>
>>>> Since most registrars are also hosting providers/mail providers, would<br>
>>>> criminals storing stolen PII on your servers be a GDPR issue? After all,<br>
>>>> the ultimate owner of the server is also considered a "processor", which<br>
>>>> has interesting implications if one's customers include phishers, or sell<br>
>>>> stolen credit cards, and one's already been notified. I have even seen<br>
>>>> miscreants putting doxes in TXT records.<br>
>>>><br>
>>>> I already know of quite a few incidents where people would have had<br>
>>>> standing to file a GDPR complaint against registrars/hosters, unrelated to<br>
>>>> WHOIS.<br>
>>>><br>
>>>> Eventually the issue is going to impact the core business model of<br>
>>>> registrars. This isn't going to stop at WHOIS. An open dialog with the DPAs<br>
>>>> at an early stage is of utmost importance for all parties involved here.<br>
>>>><br>
>>>><br>
>>>> On Mon, Feb 19, 2018 at 10:16 AM, Sam Lanfranco <<a href="mailto:sam@lanfranco.net">sam@lanfranco.net</a>><br>
>>>> wrote:<br>
>>>><br>
>>>>> Benny,<br>
>>>>><br>
>>>>> This is why I support multi-venue multi-stakholder dialogue with the<br>
>>>>> DPA's so that they are appraised of the issues on all sides of the data<br>
>>>>> protection issue. They are then more likely to act in a judicious manner,<br>
>>>>> and less like an attack dog. Watch the new movie "*The Post*" where<br>
>>>>> when *Washington Post* owner Katharine Graham decided to publish the<br>
>>>>> Vietnam War Pentagon Papers, with the downside risk that she could be<br>
>>>>> jailed for treason. The court ruled in favor of freedom of the press. It is<br>
>>>>> not what the DPA can do, but what they are likely to do, and dialogue goes<br>
>>>>> a long way to mitigating risk and shaping appropriate positions and<br>
>>>>> behavior (with integrity) on all sides.<br>
>>>>><br>
>>>>> Sam L.<br>
>>>>><br>
>>>>> On 2/19/2018 10:02 AM, <a href="mailto:benny@nordreg.se">benny@nordreg.se</a> wrote:<br>
>>>>><br>
>>>>> <ironi on> Now I am relieved, we as registrars will not be subject for<br>
>>>>> anything… </ironi off><br>
>>>>><br>
>>>>> None of us know where and what they will prioritise,* remember that it<br>
>>>>> only take 1 complaint to a DPA to get the snowball moving.* [emphasis<br>
>>>>> added] I am sure your statement have noe value then.<br>
>>>>><br>
>>>>> --<br>
>>>>> Med vänliga hälsningar / Kind Regards / Med vennlig hilsen<br>
>>>>><br>
>>>>><br>
>>>>> Benny Samuelsen<br>
>>>>> Registry Manager - Domainexpert<br>
>>>>><br>
>>>>> Nordreg AB - ICANN accredited registrar<br>
>>>>> IANA-ID: 638<br>
>>>>> Phone: <a href="tel:%2B46.42197000" value="+4642197000">+46.42197000</a> <+46%2042%2019%2070%2000><br>
>>>>> Direct: <a href="tel:%2B47.32260201" value="+4732260201">+47.32260201</a> <+47%2032%2026%2002%2001><br>
>>>>> Mobile: +47.40410200 <+47%20404%2010%20200><br>
>>>>><br>
>>>>> On 19 Feb 2018, at 15:29, Sam Lanfranco <<a href="mailto:sam@lanfranco.net">sam@lanfranco.net</a>> wrote:<br>
>>>>><br>
>>>>> Hi Tim,<br>
>>>>><br>
>>>>> No, completely to the contrary. My point with that dollars reference was<br>
>>>>> that in some cases litigation is the preferred business response, rather<br>
>>>>> than compliance and paying fines. Also, the big revenues in mining big data<br>
>>>>> are outside the DNS sphere, and outside the abuses and "bad things" that<br>
>>>>> websites do to people. The big EU fines are more likely to hit social media<br>
>>>>> than Registrars, although they are risks there as well. The revenues, and<br>
>>>>> privacy violations, will come from profiling users by mining big data for<br>
>>>>> scraps of personal date to individualize target marketing.<br>
>>>>><br>
>>>>> *As a brief aside:* This goes well beyond the remit of ICANN and is<br>
>>>>> actually worse than just being inundated by adverts base on personal online<br>
>>>>> behavior. Artificial Intelligence mining apps are increasingly customizing<br>
>>>>> the "news" one gets from news feeds, to help "glue the eyeballs" to the<br>
>>>>> adverts, creating a news silo of one.  (That is amusing for me since I<br>
>>>>> virtually live in two towns in two countries). Even more worrisome is the<br>
>>>>> growing practice for A.I. companies where A.I. "writes" the news releases,<br>
>>>>> now mainly in sports and finance, for thousands of print and online news<br>
>>>>> outlets. I know all of this is outside the ICANN remit so I will stop<br>
>>>>> there.<br>
>>>>><br>
>>>>> Sam L.<br>
>>>>><br>
>>>>> On 2/18/2018 5:43 PM, Chen, Tim wrote:<br>
>>>>><br>
>>>>> Hi Sam,<br>
>>>>><br>
>>>>> When you say these are hundred million dollar issues for "the<br>
>>>>> companies",which companies are you talking about?  Large Registrars?<br>
>>>>><br>
>>>>> I hope you are not comparing cybersecurity professionals and the good<br>
>>>>> work they are trying to enable, to a completely separate privacy issue<br>
>>>>> around data used for ad tracking or behavior tracking across websites.  If<br>
>>>>> I spent my days trying to protect people on the internet from bad things, I<br>
>>>>> would certainly not appreciate any allusion that I was engaged on the whois<br>
>>>>> data issue 'for the money'.<br>
>>>>><br>
>>>>> Tim<br>
>>>>><br>
>>>>><br>
>>>>> ______________________________<wbr>_________________<br>
>>>>> gnso-rds-pdp-wg mailing list<br>
>>>>> <a href="mailto:gnso-rds-pdp-wg@icann.org">gnso-rds-pdp-wg@icann.org</a><br>
>>>>> <a href="https://mm.icann.org/mailman/listinfo/gnso-rds-pdp-wg" rel="noreferrer" target="_blank">https://mm.icann.org/mailman/<wbr>listinfo/gnso-rds-pdp-wg</a><br>
>>>>><br>
>>>>><br>
>>>>><br>
>>>>> --<br>
>>>>> ------------------------------<wbr>------------------<br>
>>>>> "It is a disgrace to be rich and honoured<br>
>>>>> in an unjust state" -Confucius<br>
>>>>> 邦有道，贫且贱焉，耻也。邦无道，富且贵焉，耻也<br>
>>>>> ------------------------------<wbr>------------------<br>
>>>>> Visiting Prof, Xi'an Jaiotong-Liverpool Univ, Suzhou, China<br>
>>>>> Dr Sam Lanfranco (Prof Emeritus & Senior Scholar)<br>
>>>>> Econ, York U., Toronto, Ontario, CANADA - M3J 1P3<br>
>>>>> email: <a href="mailto:sam@lanfranco.net">sam@lanfranco.net</a>   Skype: slanfranco<br>
>>>>> blog:  <a href="https://samlanfranco.blogspot.com" rel="noreferrer" target="_blank">https://samlanfranco.blogspot.<wbr>com</a><br>
>>>>> Phone: <a href="tel:%2B1%20613-476-0429" value="+16134760429">+1 613-476-0429</a> <(613)%20476-0429> cell: <a href="tel:%2B1%20416-816-2852" value="+14168162852">+1 416-816-2852</a> <(416)%20816-2852><br>
>>>>><br>
>>>>><br>
>>>>> ______________________________<wbr>_________________<br>
>>>>> gnso-rds-pdp-wg mailing list<br>
>>>>> <a href="mailto:gnso-rds-pdp-wg@icann.org">gnso-rds-pdp-wg@icann.org</a><br>
>>>>> <a href="https://mm.icann.org/mailman/listinfo/gnso-rds-pdp-wg" rel="noreferrer" target="_blank">https://mm.icann.org/mailman/<wbr>listinfo/gnso-rds-pdp-wg</a><br>
>>>>><br>
>>>><br>
>>>><br>
>>>><br>
>>>> --<br>
>>>> ______________________________<wbr>___<br>
>>>> Note to self: Pillage BEFORE burning.<br>
> ______________________________<wbr>_________________<br>
> gnso-rds-pdp-wg mailing list<br>
> <a href="mailto:gnso-rds-pdp-wg@icann.org">gnso-rds-pdp-wg@icann.org</a><br>
> <a href="https://mm.icann.org/mailman/listinfo/gnso-rds-pdp-wg" rel="noreferrer" target="_blank">https://mm.icann.org/mailman/<wbr>listinfo/gnso-rds-pdp-wg</a><br>
<br>
______________________________<wbr>_________________<br>
gnso-rds-pdp-wg mailing list<br>
<a href="mailto:gnso-rds-pdp-wg@icann.org">gnso-rds-pdp-wg@icann.org</a><br>
<a href="https://mm.icann.org/mailman/listinfo/gnso-rds-pdp-wg" rel="noreferrer" target="_blank">https://mm.icann.org/mailman/<wbr>listinfo/gnso-rds-pdp-wg</a></div></div></blockquote></div><br><br clear="all"><div><br></div>-- <br><div class="gmail_signature" data-smartmail="gmail_signature">_________________________________<br>Note to self: Pillage BEFORE burning.</div>
</div>