Zaščita Vaše domene

Modul 4: E-pošta, spletna stran in domena · Čas branja: 11 minut

Učni cilj: Po tej lekciji boste znali zaščititi svojo domeno pred potekom, ugrabitvijo in napačnimi DNS zapisi ter preveriti status, potek, DNSSEC in CAA lastne domene.
Ključni pojmi: registrar, imetnik, potek, karantena, koda za prenos, registrar lock, registry lock, 2FA pri registrarju, DNSSEC, CAA, viseči zapis (dangling DNS), ugrabitev poddomene

Kdor ima Vašo domeno, ima Vašo pošto

Vaša domena se zdi majhen del poslovanja: letni račun in nekaj nastavitev. Toda nanjo je vezano skoraj vse. Vaša spletna stran, Vaši e-poštni naslovi, s tem pa tudi gumb "pozabljeno geslo" vseh Vaših drugih računov: računovodskega programa, banke, platforme za spletno trgovino, družbenih omrežij. Kdor prevzame nadzor nad example.com, lahko prejema pošto za info@example.com in s tem povsod ponastavi Vaše geslo.

Domeno lahko izgubite ali zlorabite na tri načine:

1. poteče in jo registrira nekdo drug;
2. ugrabi prek Vašega računa pri registrarju ali prek lažnega prenosa;
3. pozabljen DNS zapis kaže na nekaj, česar ne upravljate več.

V tečaju o DNS (lekcija 1.3) ste se naučili, kdo kaj ureja: registry upravlja pripono (SIDN za .nl, podobno velja za nacionalni register domen .si), registrar registrira v Vašem imenu, Vi pa ste imetnik. V tej lekciji si to verigo ogledamo z očmi napadalca.

Je imetnik pravilno naveden?

Imetnik je pravni lastnik. Če je naveden Vaš izdelovalec spletne strani, nekdanji sodelavec ali podjetje, ki ne obstaja več, boste ob sporu ali stečaju težko dokazali, da je domena Vaša. Zato preverite:

• je kot imetnik registrirano Vaše podjetje, z ustreznim imenom?
• e-poštni naslov imetnika dosegljiv in ne leži na sami domeni? Če example.com poteče, opozorilo na info@example.com morda ne pride več. Uporabite drug naslov, na primer na drugi domeni.

Potek: najbolj dolgočasno in najpogostejše tveganje

Domene se najpogosteje izgubijo zaradi potekle kreditne kartice, računa, ki je prispel k sodelavcu, ki je medtem odšel, ali selitve, pri kateri nihče ni pomislil na domeno. Kaj se zgodi nato, je odvisno od pripone:

Nato jo lahko registrira nekdo drug. Obstajajo ponudniki, ki samodejno registrirajo sproščene domene prav zato, ker nanje še prihaja promet. Če nov lastnik nastavi catch-all na pošto, prejme vse, kar Vaše stranke in dobavitelji še pošiljajo na Vaše stare naslove, vključno z e-sporočili za ponastavitev gesla.

Zaščita:

• vklopite samodejno podaljševanje in posodabljajte plačilne podatke;
• vse domene popišite na seznam, tudi tiste, ki jih imate "le za vsak primer";
• ne kar tako odpovejte. Obdržite jo in jo zaščitite kot domeno brez pošte (lekcija 4.1).

Ugrabitev: Vaš račun pri registrarju in koda za prenos

Najhitrejša pot do domene vodi prek računa pri Vašem registrarju. Kdor se tam prijavi, lahko spremeni imenske strežnike in s tem naenkrat preusmeri Vašo spletno stran in pošto. Ta račun torej obravnavajte kot enega najpomembnejših:

• vklopljeno dvostopenjsko preverjanje (modul 2);
• samo osebe z lastnim računom in pravicami, ki jih dejansko potrebujejo (lekcija 7.1). Vaš izdelovalec spletne strani naj po možnosti dobi dostop do DNS, ne do celotnega računa;

Koda za prenos (imenovana tudi avtorizacijska koda, EPP koda ali žeton) je potrebna za prenos domene k drugemu registrarju. To kodo obravnavajte kot ključ: zahtevajte jo le, kadar se dejansko selite, delite jo le z novim registrarjem, in bodite takoj pozorni, če prejmete potrditev prenosa, ki je niste pričakovali.

Poleg tega obstajajo zaklepi:

• Pri registrar locku se nastavi status clientTransferProhibited (pogosto skupaj z clientDeleteProhibited in clientUpdateProhibited). Registry nato zavrne prenos, dokler Vi ali Vaš registrar zaklepa ne odstranite. Pri .com in podobnih priponah je to običajno; ICANN to priporoča.
• Registry lock gre dlje: spremembe se pri samem registryju izvedejo šele po dodatnem, ročnem preverjanju pri imetniku. Za .nl se ta storitev imenuje .nl Control; podobne storitve ponujajo tudi nekateri registrarji za .si domene. Namenjena je predvsem velikim blagovnim znamkam in stane dodatno; za večino malih podjetij zadostujeta 2FA in dobro upravljan račun pri registrarju.

Viseči zapisi in ugrabitev poddomene

To je najmanj znano in hkrati najbolj zahrbtno tveganje. Primer iz prakse (anonimiziran):

Pekarna Example je od leta 2021 do 2024 imela spletno trgovino na winkel.example.com, z zapisom CNAME, ki je kazal na bakkerij-example.webwinkelplatform.example, leta 2024 pa je pekarna zamenjala ponudnika in odpovedala naročnino. Zapis CNAME je ostal. Leto kasneje je nekdo drug pri isti platformi ustvaril trgovino pod sproščenim imenom bakkerij-example. Od takrat je winkel.example.com prikazoval lažno trgovino, z veljavnim certifikatom in pod imenom pekarne.

Viseči zapis (dangling DNS) je DNS zapis, ki kaže na nekaj, česar ne upravljate več: odpovedano storitev, izbrisan oblačni strežnik, IP naslov, ki je medtem dodeljen nekomu drugemu. Če lahko nekdo drug prevzame ta cilj, se to imenuje ugrabitev poddomene (subdomain takeover). Napadalec dobi Vašo poddomeno in lahko na njej gosti phishing strani, ki izgledajo povsem pristne, včasih lahko celo bere piškotke Vaše glavne domene.

Zaščita:

1. Odpoved = najprej odstranite DNS zapis, šele nato odpovejte storitev. To vključite v svoj postopek ob zaključku uporabe storitev.
2. Enkrat letno preglejte celotno DNS cono. Če za kak zapis ne veste, čemu služi, to raziščite. Preden kaj odstranite, naredite varnostno kopijo cone.
3. Bodite še posebej previdni z nadomestnimi znaki (wildcards) (*.example.com), ki kažejo na zunanjo storitev.

DNSSEC in CAA: dodatni ključavnici

DNSSEC na odgovore Vašega DNS doda digitalni podpis, tako da lahko razreševalnik preveri, da so pristni in med potjo niso bili ponarejeni. Za .nl je pri mnogih ponudnikih privzeto vklopljen, podobno velja za domene .si. Ščiti pred ponarejenimi DNS odgovori, ne pa pred prevzetim računom pri registrarju. Razlaga v preprostem jeziku je v lekciji 8.1 tečaja o DNS.

CAA je DNS zapis, v katerem določite, kateri izdajatelji certifikatov smejo izdati certifikat za Vašo domeno (RFC 8659). Brez CAA lahko to stori vsak zaupanja vreden izdajatelj. S CAA napadalcu otežite pridobitev certifikata za Vaše ime drugje. Če nastavite CAA, vsekakor vključite izdajatelja, ki ga uporablja Vaš ponudnik gostovanja, sicer se Vaš lastni certifikat ne bo mogel več podaljšati. Več v lekciji 5.2 tečaja o DNS.

V praksi: tako izgleda

Status in potek Vaše domene vidite v javnih registracijskih podatkih (RDAP, naslednik whois). Domena .com na primer prikazuje:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registracija: 2019-03-01
Poteče:   2027-03-01
DNSSEC:     da

Ne prikazuje vsak registry datuma poteka: SIDN tega za .nl ne prikazuje v RDAP. Takrat preverite pri svojem registrarju. Pri WebOké so potek, samodejno podaljševanje, karantena, DNSSEC in CAA zbrani skupaj na kartici Domena / Zdravje e-pošte na strani domene v Moj WebOké, v nastavitvah DNS pa je gumb za izdelavo varnostne kopije Vaše cone. Pri drugih ponudnikih deluje podobno.

Povzetek

• Kdor upravlja Vašo domeno, prejema Vašo pošto in lahko s tem povsod obnovi Vaše geslo.
• Poskrbite, da so podatki o imetniku pravilni, uporabite naslov imetnika zunaj same domene in vklopite samodejno podaljševanje.
• Zaščitite svoj račun pri registrarju z 2FA in lastnimi računi; kodo za prenos obravnavajte kot ključ; registrar lock blokira neželene prenose.
• Ob odpovedi storitve najprej odstranite DNS zapis; svojo cono letno preglejte glede visečih zapisov.
• DNSSEC ščiti pred ponarejenimi DNS odgovori, CAA omejuje, kdo sme izdati certifikate za Vašo domeno.

Kviz

Naloga

Naloga A4.3: Preverite zaščito Vaše domene. Vnesite svoje lastno domensko ime (če ga nimate, uporabite sidn.nl). Program pri registryju (RDAP) pridobi status in datum poteka ter preveri DNSSEC in CAA. Za vsako točko dobite zeleno, oranžno ali rdečo oznako, oziroma informativno sporočilo.

Naloga D4.3: Seznam domen in preverjanje cone. Naredite seznam vseh svojih domen z registrarjem, imetnikom, potekom in podatkom, kdo ima dostop. Nato preglejte DNS cono svoje glavne domene in za vsak zapis ugotovite, čemu služi.

Za nadaljnje branje

Koraki v člankih WebOké veljajo za okolje WebOké; pri drugih ponudnikih deluje podobno.

• Sporočila ICANN ali registra v zvezi z Vašo domeno: pristna ali lažna, in kaj morate storiti?
• Priročnik WebOké 5.17: Zdravje domene in e-pošte: preverjanje in odpravljanje težav
• Izdelava in obnova varnostne kopije DNS
• Javno zdravje domene: https://www.weboke.si/zdravje-domene
• Tečaj o DNS, lekcije 1.3 (registry, registrar in imetnik), 5.2 (CAA) in 8.1 (DNSSEC): https://www.weboke.si/dns-cursus
• ICANN, razlaga statusnih kod EPP (v angleščini): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, odjava domenskega imena in karantena: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, ugrabitev poddomene (v angleščini): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers