Ochrona nazwy domeny

Moduł 4: E-mail, strona internetowa i domena · Czas czytania: 11 minut

Cel lekcji: Po tej lekcji będą Państwo potrafili chronić swoją nazwę domeny przed wygaśnięciem, przejęciem i błędnymi rekordami DNS, a także sprawdzić status, termin wygaśnięcia, DNSSEC i CAA własnej domeny.
Kluczowe pojęcia: rejestrator, abonent, wygaśnięcie, kwarantanna, kod autoryzacyjny (kod transferowy), blokada u rejestratora (registrar-lock), blokada w rejestrze (registry lock), 2FA u rejestratora, DNSSEC, CAA, wiszący rekord (dangling DNS), przejęcie subdomeny

Kto ma Państwa domenę, ten ma Państwa pocztę

Nazwa domeny wydaje się drobnym elementem: roczna faktura i kilka ustawień. Jednak niemal wszystko jest od niej zależne. Państwa strona internetowa, adresy e-mail, a wraz z nimi przycisk "nie pamiętam hasła" do wszystkich innych kont: programu księgowego, banku, platformy sklepu internetowego, mediów społecznościowych. Kto przejmie kontrolę nad example.com, może odbierać pocztę dla info@example.com i dzięki temu zresetować hasło wszędzie.

Domenę można stracić lub ktoś może ją wykorzystać na trzy sposoby:

1. domena wygasa i rejestruje ją ktoś inny;
2. ktoś przejmuje ją przez Państwa konto u rejestratora lub przez sfałszowany transfer;
3. zapomniany rekord DNS wskazuje na coś, czego już Państwo nie zarządzają.

W kursie DNS (lekcja 1.3) dowiedzieli się Państwo, kto za co odpowiada: rejestr zarządza rozszerzeniem (SIDN (.nl) dla .nl), rejestrator rejestruje domenę w Państwa imieniu, a Państwo są abonentem. W tej lekcji przyjrzymy się tej strukturze oczami atakującego.

Czy dane abonenta się zgadzają?

Abonent to prawny właściciel domeny. Jeśli widnieje tam Państwa dawny wykonawca strony, były pracownik lub firma, która już nie istnieje, trudno będzie w razie sporu lub upadłości wykazać, że domena należy do Państwa. Proszę sprawdzić zatem:

• czy jako abonent zarejestrowana jest Państwa firma, pod właściwą nazwą?
• czy adres e-mail abonenta jest aktywny i czy nie znajduje się na samej domenie? Jeśli example.com wygaśnie, ostrzeżenie wysłane na info@example.com może już nie dotrzeć. Proszę używać drugiego adresu, na przykład innej domeny.
• czy reagują Państwo na prawdziwe prośby o potwierdzenie danych? Dla wielu rozszerzeń ICANN wymaga potwierdzenia adresu e-mail abonenta. Jeśli tego Państwo nie zrobią, domena może zostać zawieszona.

Wygaśnięcie: najbardziej nudne i najczęstsze ryzyko

Domeny najczęściej są tracone z powodu wygasłej karty kredytowej, faktury, która trafiła do skrzynki byłego pracownika, lub zmiany dostawcy, podczas której nikt nie pomyślał o domenie. To, co dzieje się potem, zależy od rozszerzenia:

Po tym czasie domenę może zarejestrować ktoś inny. Istnieją podmioty, które automatycznie rejestrują zwalniające się domeny, właśnie dlatego, że nadal jest na nie ruch. Jeśli nowy właściciel ustawi na poczcie regułę catch-all, otrzyma wszystko, co Państwa klienci i dostawcy nadal wysyłają na dawne adresy, w tym maile do resetowania haseł.

Ochrona:

• proszę włączyć automatyczne odnawianie i aktualizować dane płatnicze;
• proszę spisać wszystkie domeny na liście, także te, które mają Państwo "tak na wszelki wypadek";
• nie proszę rezygnować bez zastanowienia ze starej domeny, której kiedyś używano do poczty. Proszę ją zachować i zabezpieczyć jako domenę bez obsługi poczty (lekcja 4.1).

Przejęcie: konto u rejestratora i kod transferowy

Najszybsza droga do przejęcia domeny prowadzi przez konto u Państwa rejestratora. Kto się tam zaloguje, może zmienić serwery nazw, a tym samym jednym ruchem przekierować Państwa stronę i pocztę. Proszę więc traktować to konto jako jedno z najważniejszych:

• włączone uwierzytelnianie dwuskładnikowe (moduł 2);
• dostęp mają wyłącznie osoby z własnym kontem i uprawnieniami, których naprawdę potrzebują (lekcja 7.1). Wykonawca Państwa strony najlepiej powinien mieć dostęp tylko do DNS, nie do całego konta;
• proszę uważać na phishing dotyczący domeny. Wiadomość w stylu "Państwa domena wygasa dziś, proszę zapłacić tutaj" lub "proszę potwierdzić dane w ICANN" to znana sztuczka. Nigdy nie proszę korzystać z linku w takiej wiadomości, lecz zalogować się samodzielnie u swojego rejestratora.

Kod transferowy (zwany też kodem autoryzacyjnym, kodem EPP lub tokenem) jest potrzebny do przeniesienia domeny do innego rejestratora. Proszę traktować ten kod jak klucz: prosić o niego wyłącznie wtedy, gdy samodzielnie zmieniają Państwo rejestratora, dzielić się nim wyłącznie z nowym rejestratorem i natychmiast zachować czujność, jeśli otrzymają Państwo potwierdzenie transferu, którego się nie spodziewali.

Dodatkowo istnieją blokady:

• Blokada u rejestratora (registrar-lock) ustawia status clientTransferProhibited (często razem z clientDeleteProhibited i clientUpdateProhibited). Rejestr odmawia wtedy transferu, dopóki Państwo lub Państwa rejestrator nie zdejmą blokady. Dla .com i podobnych rozszerzeń jest to standardowa praktyka; ICANN ją zaleca.
• Blokada w rejestrze (registry lock) idzie dalej: zmiany w samym rejestrze są wprowadzane dopiero po dodatkowej, ręcznej weryfikacji u abonenta. Dla .nl usługa ta nazywa się .nl Control. Jest przeznaczona głównie dla dużych marek i wiąże się z dodatkowym kosztem; dla większości małych firm wystarczy 2FA i dobrze zarządzane konto u rejestratora.

Wiszące rekordy i przejęcie subdomeny

To najmniej znane i najbardziej podstępne ryzyko. Przykład z praktyki (zanonimizowany):

Piekarnia Example od 2021 do 2024 roku prowadziła sklep internetowy pod adresem winkel.example.com, z rekordem CNAME wskazującym na bakkerij-example.webwinkelplatform.example. W 2024 roku piekarnia zmieniła dostawcę i zrezygnowała z abonamentu. Rekord CNAME pozostał jednak bez zmian. Rok później ktoś inny założył na tej samej platformie sklep pod zwolnioną nazwą bakkerij-example. Od tego momentu winkel.example.com wyświetlał fałszywy sklep, z ważnym certyfikatem i pod nazwą piekarni.

Wiszący rekord (dangling DNS) to rekord DNS, który wskazuje na coś, czego Państwo już nie zarządzają: usługę, z której zrezygnowano, usunięty serwer w chmurze, adres IP przydzielony w międzyczasie komuś innemu. Jeśli ktoś inny może przejąć ten cel, nazywa się to przejęciem subdomeny (subdomain takeover). Atakujący otrzymuje subdomenę należącą do Państwa i może na niej hostować strony phishingowe, które wyglądają całkowicie wiarygodnie, a czasem nawet odczytywać ciasteczka głównej domeny.

Ochrona:

1. Rezygnacja z usługi = najpierw usunięcie rekordu DNS, dopiero potem rezygnacja z usługi. Proszę ująć to w procedurze kończenia korzystania z usług.
2. Raz w roku proszę przejrzeć całą strefę DNS. Jeśli nie wiadomo, do czego służy dany rekord, proszę to ustalić. Przed usunięciem czegokolwiek proszę zrobić kopię zapasową strefy.
3. Proszę zachować szczególną ostrożność przy rekordach wildcard (*.example.com), które wskazują na usługę zewnętrzną.

DNSSEC i CAA: dodatkowe zamki

DNSSEC dodaje cyfrowy podpis do odpowiedzi Państwa DNS, dzięki czemu resolwer może sprawdzić, że są one autentyczne i nie zostały sfałszowane po drodze. Dla .nl u wielu dostawców jest to domyślnie włączone. Chroni to przed sfałszowanymi odpowiedziami DNS, ale nie przed przejętym kontem u rejestratora. Wyjaśnienie w prostym języku znajduje się w lekcji 8.1 kursu DNS.

CAA to rekord DNS, w którym określają Państwo, które urzędy certyfikacji mogą wystawiać certyfikaty dla Państwa domeny (RFC 8659). Bez CAA może to zrobić każdy zaufany wystawca. Dzięki CAA utrudniają Państwo atakującemu uzyskanie certyfikatu dla Państwa nazwy gdzie indziej. Jeśli ustawiają Państwo CAA, proszę koniecznie uwzględnić wystawcę, z którego korzysta Państwa dostawca hostingu, inaczej Państwa własny certyfikat nie będzie mógł zostać odnowiony. Więcej w lekcji 5.2 kursu DNS.

W praktyce: tak to wygląda

Status i termin wygaśnięcia domeny widać w publicznych danych rejestracyjnych (RDAP, następcy whois). Domena .com pokazuje na przykład:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Rejestracja: 2019-03-01
Wygasa:     2027-03-01
DNSSEC:     tak

Nie każdy rejestr pokazuje datę wygaśnięcia: SIDN (.nl) nie wyświetla jej dla .nl w RDAP. Wtedy warto sprawdzić u swojego rejestratora. W WebOké termin wygaśnięcia, automatyczne odnawianie, kwarantanna, DNSSEC i CAA znajdują się razem na karcie Domena / Stan zdrowia poczty e-mail na stronie domeny w Moje WebOké, a w ustawieniach DNS znajduje się przycisk do wykonania kopii zapasowej strefy. U innych dostawców działa to podobnie.

Podsumowanie

• Kto zarządza Państwa domeną, odbiera Państwa pocztę i dzięki temu może wszędzie zresetować hasło.
• Proszę dbać o aktualność danych abonenta, używać adresu abonenta spoza samej domeny i włączyć automatyczne odnawianie.
• Proszę chronić konto u rejestratora za pomocą 2FA i indywidualnych kont; kod transferowy traktować jak klucz; blokada u rejestratora uniemożliwia niechciane transfery.
• Przy rezygnacji z usługi proszę najpierw usunąć rekord DNS; strefę warto raz w roku sprawdzać pod kątem wiszących rekordów.
• DNSSEC chroni przed sfałszowanymi odpowiedziami DNS, CAA ogranicza, kto może wystawiać certyfikaty dla Państwa domeny.

Quiz

Zadanie

Zadanie A4.3: Sprawdzenie zabezpieczenia domeny. Proszę wpisać własną nazwę domeny (jeśli Państwo jej nie mają, proszę użyć sidn.nl). Program pobierze status i datę wygaśnięcia z rejestru (RDAP) oraz sprawdzi DNSSEC i CAA. Przy każdym punkcie otrzymają Państwo kolor zielony, pomarańczowy lub czerwony, albo informacyjny komunikat.

Zadanie D4.3: Lista domen i kontrola strefy. Proszę sporządzić listę wszystkich swoich domen wraz z rejestratorem, abonentem, terminem wygaśnięcia i informacją, kto ma do nich dostęp. Następnie proszę przejrzeć strefę DNS swojej głównej domeny i ustalić przeznaczenie każdego rekordu.

Więcej informacji

Kroki opisane w artykułach WebOké dotyczą środowiska WebOké; u innych dostawców działa to podobnie.

• Wiadomości od ICANN lub rejestru dotyczące Państwa domeny: prawdziwe czy fałszywe i co należy zrobić?
• Podręcznik WebOké 5.17: Kondycja domeny i poczty e-mail: sprawdzanie i naprawa
• Tworzenie i przywracanie kopii zapasowej DNS
• Publiczny stan zdrowia domeny: https://www.weboke.pl/kondycja-domeny
• Kurs DNS, lekcje 1.3 (rejestr, rejestrator i abonent), 5.2 (CAA) i 8.1 (DNSSEC): https://www.weboke.pl/dns-cursus
• ICANN, wyjaśnienie kodów statusu EPP (w języku angielskim): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, rezygnacja z nazwy domeny i kwarantanna: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, przejęcie subdomeny (w języku angielskim): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers