Domännamnsutredningen SOU 2000:30

Anne-Marie Eklund Löwinder tel 08-405 33 67 Gustaf Johnssén tel 08-405 39 59 ITK 2000/18 1999-06-22 Näringsdepartementet Enheten för IT, forskning och utveckling 103 33 Stockholm Domännamnsutredningen SOU 2000:30 Sammanfattning Domännamnsutredningen menar att det nuvarande systemet för tilldelning av domännamn lider av bristande legitimitet. Denna legitimitetsbrist har enligt utredningen sin grund i domännamnsreglerna snarare än det sätt på vilket tilldelningen av domännamn är organiserad. Utredningens slutsatser vad beträffar betydelsen hos regelverket respektive organisationen för domännamnstilldelningen när det gäller legitimiteten kan enligt IT-kommissionen ifrågasättas. Problemidentifieringen känns i sammanhanget något konstruerad. Utredningen föreslår en förändrad organisation, där uppdraget att hantera det svenska domännamnssystemet formaliseras genom ett avtal mellan regeringen och uppdragstagaren, dvs. II-stiftelsen i det här fallet. IT-kommissionen anser att den organisation som etablerats i samband med den s.k. Internetutredningen (Statskontoret 1997:18) verkar fungera väl, och det har i den föreliggande utredningen inte påvisats sådana brister som motiverar förslag till en förändrad organisation för domännamnshantering i Sverige. II-stiftelsen är redan idag uppdragstagare till ICANN när det gäller.se-domänen. IT-kommissionen vill också poängtera att staten aldrig haft rättslig bestämmanderätt över toppdomänen.se. IT-kommissionen anser att ett ställningstagande från ICANN i frågan om statligt inflytande över domännamnshantering under nationell toppdomän bör inväntas innan man tar ställning till i vilken utsträckning och under vilka former staten bör delta i eller utöva tillsyn över domännamnstilldelningen. Utredningen föreslår att ett nytt system med klara, enkla regler utan förprövning införs för tilldelning av domännamn. IT-kommissionen stödjer utredningens förslag om en liberalisering av reglerna för tilldelning av domännamn under den svenska toppdomänen.se. En sådan liberalisering bör dock enligt ITkommissionen ske genom en stegvis utveckling, så att eventuella konsekvenser kan kontrolleras. IT-kommissionen är tveksam till utredningens förslag om ett omedelbart slopande av förprövning. Ett system utan förprövning med mycket enkla regler med det enda syftet att öka antalet registreringar under.se kan få oönskade konsekvenser. Det kan leda till en degenerering av databasen och därmed försämrad 1

informationskvalitet på sikt, genom en mycket svagare koppling mellan namn och domäninnehavare än i nuläget. Ytterligare en konsekvens kan bli ett ökat antal konflikter. När det gäller driftsäkerhet anser IT-kommissionen i likhet med utredningen att det svenska DNS-systemet kännetecknas av hög driftsäkerhet. Vikten av att spegla databasen på fler, fysiskt skilda datorer, kan inte nog betonas. Behovet av kompetens för att underhålla och driva dessa speglingar är också mycket viktig. Bakgrund (Kapitel 1) När det gäller bakgrunden vill IT-kommissionen anföra följande. Utredningen har gjort en utförlig historiebeskrivning. Historiskt har alltså domännamn enbart använts för att förenkla identifieringen av ändsystem. De har fungerat som en översättning från domännamn till IP-nummer och vice versa. Förutsättningen är att varje domännamn är absolut unikt under varje toppdomän, dubletter får givetvis inte förekomma. På senare tid, i och med framväxten av www, multimediatillämpningar, elektronisk handel osv. har domännamn fått en delvis annan innebörd, inte för maskinerna och det tekniska systemet, utan för de människor som använder det för olika ändamål. Domännamn liknas allt oftare vid varumärken, speciella kännetecken, firmanamn, etc. Härigenom har det uppstått en konflikt mellan Internets domännamnssystem och användar- respektive affärsintressen. Domännamnssystemet har, för att hårddra det hela, fått en betydelse som egentligen inte är relevant för funktionen och som aldrig har avsetts. Den tekniska aspekten, där det gäller att skapa unik identifiering av ändsystem, var det som logiskt motiverade införandet av länsbokstäver i domännamnet för t.ex. en ideell förening. Användaraspekten på ett sådant domännamn blev att det upplevdes diskriminerande. Man tror sig behöva känna till länsbokstaven där en ideell organisation har sin fysiska hemvist för att hitta fram till den information som organisationen vill förmedla. Den senare aspekten är emellertid enligt IT-kommissionen en fråga om att skapa tillräckligt effektiva verktyg för att kunna söka information på Internet och har egentligen mycket lite med domännamn att göra. Domännamnssystemet har inte kommit till med syfte att användare, deras företag, organisationer eller varor ska kunna göras synliga på nätet. För det behövs helt andra funktioner. Ett exempel på sådant utvecklingsarbete går under benämningen URN, Universal Resource Names. Den svenska avdelningen av Internet Society, ISOC-SE, och II-stiftelsen bildade på eget initiativ en mer formaliserad struktur för domännamnshanteringen i Sverige för att möta den starka tillväxten och tillgodose krav på möjligheter till omrespektive överprövning av beslut samt att skapa en lämplig finansiering av verksamhet knuten till.se-domänen, där eventuellt överskott ska användas för att vidareutveckla Internet i Sverige. 2

Den senaste internationella utvecklingen (Kapitel 3) IT-kommissionen vill göra regeringen uppmärksam på att utredningen i sin beskrivning av den internationella utvecklingen går händelserna i förväg. Förslag om ökat statligt inflytande över nationella toppdomäner diskuteras inom ICANN, men är inte helt okontroversiellt. Vid sidan av ett sådant förslag, det s.k. GACförslaget (Government Advisory Committee to ICANN) ligger även andra förslag. ICANN har inte tagit slutgiltig ställning för något av dessa. Frågan är kontroversiell och kommer att vara en huvudfråga och föremål för diskussion och eventuellt beslut vid ICANN:s nästa möte i Yokohama, Japan under sommaren 2000. Det är inte otänkbart att slutresultatet blir en kompromiss mellan de olika framlagda förslagen. Av oklar anledning föreslår utredningen under avsnitt 5.2 att Sverige ska genomföra GAC-förslaget innan detta diskuterats färdigt i den internationella kretsen, och därmed bli det första landet som inför den föreslagna avtalskonstruktionen. IT-kommissionen skulle gärna ha sett en utförligare analys av varför det är så bråttom. IT-kommissionen förordar att man från svensk sida avvaktar ICANN-beslut innan frågan om statens roll slutgiltigt avgörs. Förslag avseende regelverket (kapitel 4) IT-kommissionen delar utredningens uppfattning om att det bör ske en liberalisering av regelverket för tilldelning av domännamn under.se-domänen, även om det strikta regelverk som i dagsläget kontrollerar tilldelningen av domännamn under.se-domänen inte enbart varit av ondo. T.ex. har vi i Sverige inte haft några problem med s.k. namnnappning, eftersom man inte tillåtit registrering av domännamn till vilka sökanden inte kunnat påvisa en behörig anknytning, dvs. att man har ett aktiebolag, firma, etc. Nu kan dock.se-domänen anses vara förhållandevis stabil. Många företag, myndigheter och organisationer har sina etablerade domännamn och förutsättningarna för en liberalisering av regelverket torde vara goda. Domännamssystemet är en av de mest vitala och viktiga delarna för Internets funktion. Det finns inte utrymme för misslyckanden i meningen att genomföra stora förändringar där följderna inte till fullo kan överblickas. Utredningen motiverar förslaget bl.a. med att det förväntas öka antalet registreringar under.sedomänen. Att öka antalet registreringar under.se-domänen kan enligt ITkommissionen inte vara något självändamål. En kvantitativ jämförelse med andra länder ger inget underlag för några slutsatser i någon som helst riktning. En kvalitativ jämförelse hade varit väl så intressant. Ett system utan förprövning ger en svagare koppling mellan domännamn och domäninnehavare än i nuläget. Detta kan leda till ökad osäkerhet för konsumenter och andra användare. Det kan också leda till en degenerering av databasen och därmed en på sikt försämrad informationskvalitet. Ytterligare en konsekvens kan bli ett ökat antal tvister om rätt till domännamn. Även om ett system med förprövning medför en viss administration för kontroller och vid begäran om omprövning eller överprövning så innebär också ett system 3

utan förprövning att prövning i efterhand av olika skäl kan komma att ske om någon begär det. Det är inte självklart att den hanteringen blir mindre betungande, allra minst för rättsväsendet. De senare årens utveckling där det skapats ett större antal toppdomäner sorterade på verksamhet, med huvudregeln först till kvarn har också fått konsekvenser för användarna. Många företag eller organisationer av någon storlek väljer att registrera sig under samtliga befintliga toppdomäner, relevant eller inte, för att skydda sitt namn, med ökade kostnader som följd. När det gäller flera användares önskemål om samma domännamn, som i exemplet med kommunerna Håbo respektive Habo, så har IT-kommissionen svårt att följa utredningens resonemang om att man skulle lösa konflikten genom att de delar en webbsida. Även om man mot förmodan skulle lyckas att förmå dessa att via en gemensam webbsida länka vidare till respektive egen adress så löser det ju inte problemet som uppstår i alla andra tillämpningar. DNS utnyttjar entydigheten i domännamnet som garant för att kunna lämna rätt svar på en domännamnsfråga, e- postsystem använder domännamnet för att adressera e-post osv. Varje organisation måste alltså fortfarande ha ett unikt domännamn. För att kunna skilja mellan i det här fallet Habo respektive Håbo så bör i stället den som söker information om en individ, myndighet ett företag, varumärke eller organisation, ha tillgång till effektiva sökverktyg via webben för att komma fram till det korrekta OCH unika domännamnet, för vad det nu är användaren söker. Såsom påpekats ovan pågår utvecklingsarbete i en sådan riktning bl.a. i form av URN, Universal Resource Names. När det gäller det specifika fallet.nu, så har säkert det faktum att det går att bilda domännamn som i sin tur bildar meningar på svenska utgjort den viktigaste faktorn för den stora populariteten bland svenska användare, snarare än någonting annat. IT-kommissionen vill dessutom peka på att effekten av det under 6.1 förespråkade införandet av Secure DNS till stor del förtas om förprövningen av domännamn samtidigt tas bort. Här argumenterar utredningen mot sig själv. Det går inte att hävda att en användare kan vara säker på att man kommunicerar med rätt myndighet bara genom det faktum att det finns DNSSEC då det de facto finns en möjlighet för vem som helst att registrera ett domännamn som mycket väl kan förleda någon att tro att det är en myndighet. Att lita på att ett domännamn är korrekt, är inte samma sak som att lita på den som innehar domännamnet är den han utger sig för att vara. IT-kommissionen är av uppfattningen att II-stiftelsen har såväl faktiska som presumtiva användares bästa för ögonen, och att de dessutom har kompetens att bedöma på vilket sätt och med vilket tempo förändringar i domännamnshanteringen bör göras. Det kan emellertid vara på sin plats att uppmana II-stiftelsen att genomföra förenklingarna så snart som det låter sig göras, med beaktande av att framtida teknisk utveckling eller att uppkomsten av nya tjänster inte äventyras eller försvåras. När det gäller driftsäkerhet så anser IT-kommissionen i likhet med utredningen att det svenska DNS-systemet kännetecknas av hög driftsäkerhet. Vikten av att spegla databasen på fler, fysiskt skilda datorer, kan inte nog betonas. Det är emellertid inte tillräckligt, det måste också finnas tillräcklig kompetens att sköta uppdatering, 4

underhåll och drift av en sådan databas, vare sig den står inom eller utom uppdragstagarens kontroll. Det är enligt IT-kommissionens mening också viktigt att beakta framtidssäkerheten i DNS-systemet. Stora datamängder i en platt struktur ökar söktiden vid namnuppslagning. Stora och platt organiserade respektive små och hierarkiskt organiserade databaser har var och en sina styrkor och svagheter. Databashantering är en sedan länge etablerad gren i den akademiska världen, och säkert hade det gått att få både kunniga och värdefulla åsikter från kompetens inom detta område när det gäller effektivitet, säkerhet, informationskvalitet och annat. Detta saknas i utredningen. Vad beträffar skyddet av DNS-databasen anser IT-kommissionen det vara naturligt att valet faller på Secure DNS-standarden. IT-kommissionen menar att det är angeläget att i det läge som vi nu befinner oss, nämligen att Sverige har en tätposition och redan tagit initiativ till och genomfört tester och bidragit till vidareutveckling av DNSSEC, att ett aktivt svenskt deltagande i detta fortsätter. ITkommissionen har för avsikt att följa det arbetet. Konsumentintressen (Kapitel 4.6) Utredningen föreslår att den som registrerar ett domännamn under.se-domänen och som inte följer svenska regler för konsumentskydd ska kunna få sitt domännamn avregistrerat. IT-kommissionen anser att denna lösning är olämplig. Självklart ska man kunna kräva att den som vill använda en svensk domän också ska följa svensk lag. Överträdelser av konsumenträttsliga regler bör däremot beivras på vanlig rättslig väg. Det förefaller mindre lämpligt att, i enlighet med utredningens förslag, låta privaträttsliga subjekt som II-stiftelsen och NIC-SE överta rollen som bevakare av konsumenträtten. Särskilt egendomligt framstår detta förslag mot bakgrund av att ett grunddrag i utredningens resonemang är att man motsätter sig att II-stiftelsen utövar myndighetsliknande verksamhet. Förslag avseende organisationen (kapitel 5) Frågan om myndighetsansvar för domännamnshantering i Sverige är inte ny. ITkommissionen anser att det i nuläget finns goda skäl att avvakta diskussionerna vid ICANN-mötet i juli, innan man tar ställning för GAC-förslaget. Den nuvarande organisationen fungerar väl, och det finns inte i utredningen något som talar för en förändring därvidlag. Principielt motsätter sig IT-kommissionen en statlig representant i II-stiftelsens styrelse. Det är exempelvis oklart vad som skulle ske med en sådan representant om uppdragstagaren blir en annan än II-stiftelsen. Utredningen påstår att domännamnshanteringen omfattar stora kommersiella värden och att det i sig skulle innebära att staten tar ett större ansvar för hanteringen. Regeringen har i andra sammanhang givit uttryck för utgångspunkten att staten endast i undantagsfall ingriper med reglering och att branschen i så stor 5

utsträckning som möjligt själv ska ta ansvar för krav på nätoperatörer etc. Det finns enligt IT-kommissionen ingen anledning att frångå regeringens minimalistiska princip när det gäller hanteringen av domännamn under.sedomänen. När det gäller utredningens rekommendation om en sänkning av avgiften, där man gör en jämförelse med prisutvecklingen under com-domänen så förefaller utredningen enligt IT-kommissionens uppfattning ha glömt det som tas upp under avsnitt 6, Övriga förslag, som ställer krav på finansiella resurser, bl.a. när det gäller II-stiftelsens initativ till deltagande i standardiseringsarbete, initiativ till utbildning samt initiativ och deltagande i tester och utveckling av programvara som t.ex. DNSSEC. Det går antagligen att sänka avgiften för innehav av domännamn, men då måste man enligt IT-kommissionen också vara medveten om att de resurser som II-stiftelsen förfogar över för vidareutveckling av Internet i Sverige blir begränsade. Införandet av Secure DNS (Kapitel 6.1) Som IT-kommissionen tidigare påpekat finns det i ett system utan förprövning inga garantier för att en användare talar med en bank eller en myndighet bara för att det står bank eller myndighet i domännamnet. Det finns alltså ingenting som garanterar vem man kommunicerar med, trots att man har säkrat innehållet i databasen genom DNSSEC. Vilken användare som helst ska ju genom de av utredningen föreslagna liberala reglerna kunna registrera vilket domännamn som helst, förutsatt att det inte är upptaget eller innehåller icke önskvärda ord. IT-kommissionen anser det inte heller vara rimligt att II-stiftelsen ska kunna ställas till svars och tvingas ersätta konsumenter som lidit skada p.g.a. felaktigt använda domännamn. Här måste annan lagstiftning kunna träda in och medföra sanktioner för den som innehar domännamnet. Gemensam policy för offentlig verksamhet (Kapitel 6.5) IT-kommissionen delar utredningens uppfattningen att det ur ett svenskt säkerhetsperspektiv medför problem med användningen av domännamn under andra toppdomäner än.se-domänen. I synnerhet gäller detta offentlig verksamhet och samhällskritiska funktioner. Ansvaret för administrationen för flera av de aktuella domänerna är delegerat till privata företag i utlandet. Sverige har små möjligheter att påverka situationen om ett sådant företag överlåts, läggs ner eller försätts i konkurs. Det kan t.ex. uppstå situationer där tvist kring själva delegeringen, eller tvist kring ett konkursbo innebär att administrationen av domänen upphör under en längre tid. Sverige kan för dessa domäner vara, eller komma att bli, beroende av funktioner placerade i utomlands, vilket är en risk ur säkerhetssynpunkt. 6

Förväntade effekter av utredningens förslag Utredningen betonar att genomförandet av dess förslag kommer att medföra en rad positiva effekter. IT-kommissionen anser att vissa av de målsättningar som utredningen utpekat för ett välfungerande domännamnssystem kan ifrågasättas. ITkommissionen befarar också att flera av de förväntade positiva effekterna kan utebli eftersom de inte har särskilt mycket med domännamnstilldelningen att göra. IT-kommissionen delar inte utredningens uppfattning om att utredningens förslag skulle underlätta för medborgare och konsumenter att söka och få information samt att handla på nätet. Domännamn har i sig mycket litet att göra med möjligheterna att söka information på nätet, här behövs utveckling av helt annat slag, av det som IT-kommissionen nyligen hållit en hearing om, nämligen mjuk infrastruktur. Med detta begrepp avses metainformation, data om data, som medger att information på nätet går att härleda med hjälp av mycket avancerade sökfunktioner. Utredningen framhåller också att ett genomförande av dess förslag skulle gynna den nya ekonomin och nyetableringen av företag. IT-kommissionen anser detta vara en övertro på toppdomänens betydelse. Många nya företag siktar på en global marknad och söker sig ofta också till de s.k. generiska toppdomänerna som inte är knutna till någon specifik nation, vid sidan av.se-domänen. Sambandet mellan nya företags framgångar och det svenska regelverket för tilldelning av domännamn är i IT-kommissionens ögon mycket svagt. Tvärtom verkar svenska företag hävda sig riktigt bra på den globala marknaden. I det sammanhanget är det förmodligen viktigare att heta dot com än punkt se. Slutligen menar utredningen att dess förslag positivt kommer att påverka e-handel i Sverige. IT-kommissionen vill framhålla att domännamnssystemet även här spelar en mindre roll än till exempel möjligheterna till säker identifiering av parterna, möjligheterna att signera dokument m.m. elektroniskt, samt inte minst möjligheterna att använda säkra elektroniska betalningssystem som medger anonymitet samtidigt som de inger förtroende. För IT-kommissionen Christer Marking kanslichef 7