Oma domeeninime kaitsmine

Moodul 4: E-post, veebileht ja domeen · Lugemisaeg: 11 minutit

Õpieesmärk: Pärast seda õppetundi oskad kaitsta oma domeeninime aegumise, kaaperdamise ja valede DNS-kirjete eest ning kontrollida oma domeeni staatust, aegumistähtaega, DNSSECi ja CAA-d.
Põhimõisted: registripidaja (registrar), omanik (houder), aegumine, karantiin, üleviimiskood, registraari lukk (registrar-lock), registri lukk (registry lock), 2FA registripidaja juures, DNSSEC, CAA, rippuv kirje (dangling DNS), alamdomeeni kaaperdamine

Kellel on su domeen, sellel on su e-post

Su domeeninimi tundub väike detail: aastamaks ja mõned seaded. Aga peaaegu kõik sõltub sellest. Su veebileht, su e-posti aadressid ja koos nendega ka nupp "unustasin parooli" kõigi su teiste kontode juures: raamatupidamisprogramm, pank, e-poe platvorm, sotsiaalmeedia. Kes saab kontrolli domeeni example.com üle, saab vastu võtta kirju aadressile info@example.com ja seeläbi lähtestada kõikjal su paroole.

Domeeni võib kaotada või seda võib väärkasutada kolmel viisil:

1. see aegub ja keegi teine registreerib selle;
2. keegi kaaperdab selle su registripidaja konto kaudu või võltsitud üleviimise abil;
3. unustatud DNS-kirje osutab millelegi, mida sa enam ei halda.

DNS-kursuse õppetunnis 1.3 õppisid, kes mida korraldab: registry haldab laiendit (näiteks SIDN laiendi .nl jaoks), registripidaja (registrar) registreerib sinu nimel ja sina oled omanik (houder). Selles õppetunnis vaatame seda ahelat ründaja silmadega.

Kas omaniku andmed on õiged?

Omanik on juriidiline omanik. Kui seal on kirjas su veebiarendaja, endine töötaja või ettevõte, mida enam ei eksisteeri, siis on konflikti või pankroti korral raske tõestada, et domeen kuulub sulle. Seepärast kontrolli:

• kas omanikuna on registreeritud sinu ettevõte, õige nimega?
• kas omaniku e-posti aadress on kättesaadav ja ei asu domeenil endal? Kui example.com aegub, ei pruugi hoiatus aadressile info@example.com enam kohale jõuda. Kasuta teist aadressi, näiteks teisel domeenil.
• kas vastad tegelikele palvetele oma aadressi kinnitada? Paljude laiendite puhul nõuab ICANN, et omaniku e-posti aadress kinnitataks. Kui sa seda ei tee, võidakse domeen peatada.

Aegumine: kõige igavam ja kõige levinum risk

Domeenid lähevad kõige sagedamini kaduma aegunud krediitkaardi, lahkunud kolleegile saabunud arve või üleminekukorralduse tõttu, kus keegi ei mõelnud domeenile. Mis pärast juhtub, erineb laiendi kaupa:

Pärast seda saab keegi teine selle registreerida. On olemas pooli, kes registreerivad vabanevaid domeene automaatselt, just seetõttu, et neil on veel liiklust. Kui uus omanik seab e-postile catch-all reegli, saab ta kätte kõik, mida su kliendid ja tarnijad su vanadele aadressidele saadavad, sealhulgas parooli taastamise kirjad.

Kaitse:

• lülita sisse automaatne pikendamine ja hoia maksetandmed ajakohased;
• pane kõik domeenid kirja nimekirja, ka need, mis sul on "igaks juhuks";
• ära lõpeta lihtsalt vana domeeni, mida kasutasid kunagi e-posti jaoks. Hoia see alles ja kaitse seda kui mitte-postitavat domeeni (õppetund 4.1).

Kaaperdamine: su registripidaja konto ja üleviimiskood

Kiireim tee domeenini käib su registripidaja konto kaudu. Kes sinna sisse logib, saab muuta nimeservereid ja seeläbi ühe hooga suunata ümber su veebilehe ja e-posti. Kohtle seda kontot seega kui üht oma kõige tähtsamat:

• lülita sisse kaheastmeline autentimine (2FA) (moodul 2);
• ainult inimesed, kellel on oma konto ja õigused, mida neil vaja on (õppetund 7.1). Su veebiarendajale anna soovitavalt juurdepääs ainult DNS-ile, mitte kogu kontole;
• jälgi oma domeeni puudutavat andmepüüki. "Su domeen aegub täna, maksa siin" või "kinnita oma andmed ICANN-is" on tuntud trikid. Ära kunagi kliki lingil, vaid logi ise sisse oma registripidaja juures.

Üleviimiskood (ka autoriseerimiskood, EPP-kood või žeton) on vajalik domeeni üleviimiseks teise registripidaja juurde. Käsitle seda koodi kui võtit: küsi seda ainult siis, kui ise domeeni üle viid, jaga seda ainult uue registripidajaga ja ole kohe tähelepanelik, kui saad üleviimise kinnituse, mida sa ei oodanud.

Lisaks on olemas lukud:

• Registraari lukk seab staatuse clientTransferProhibited (sageli koos staatustega clientDeleteProhibited ja clientUpdateProhibited). Registry keeldub siis üleviimisest, kuni sina või su registripidaja luku eemaldab. Laiendi .com ja sarnaste puhul on see tavapärane; ICANN soovitab seda.
• Registri lukk läheb veel kaugemale: muudatused rakenduvad registry juures alles pärast täiendavat, käsitsi kontrolli omaniku juures. Laiendi .nl jaoks kannab see teenus nime .nl Control. See on mõeldud eelkõige suurtele kaubamärkidele ja maksab lisatasu; enamikule väikeettevõtetele piisab 2FA-st ja hästi hallatud registripidaja kontost.

Rippuvad kirjed ja alamdomeeni kaaperdamine

See on kõige vähem tuntud ja kõige salakavalam risk. Praktiline näide (anonüümitud):

Pagariäril Example oli aastatel 2021 kuni 2024 e-pood aadressil winkel.example.com, CNAME-kirjega domeenile bakkerij-example.webwinkelplatform.example, ning 2024. aastal läks pagariäri üle ja tühistas tellimuse. CNAME-kirje jäi alles. Aasta hiljem lõi keegi teine samal platvormil poe vabanenud nime bakkerij-example all. Sellest hetkest näitas winkel.example.com võltspoodi, kehtiva sertifikaadiga ja pagariäri nime all.

Rippuv kirje (dangling DNS) on DNS-kirje, mis osutab millelegi, mida sa enam ei halda: tühistatud teenusele, kustutatud pilveserverile, IP-aadressile, mis on vahepeal antud kellelegi teisele. Kui keegi teine saab seda sihtkohta endale võtta, nimetatakse seda alamdomeeni kaaperdamiseks (subdomain takeover). Ründaja saab endale su alamdomeeni ja saab seal majutada andmepüügilehti, mis näevad täiesti ehtsad välja, mõnikord isegi lugeda su peadomeeni küpsiseid.

Kaitse:

1. Tühistamine tähendab: kõigepealt eemalda DNS-kirje, seejärel tühista teenus. Lisa see oma teenuste lahkumisprotseduuri.
2. Vaata kord aastas üle kogu oma DNS-tsoon. Kui sa ei tea, milleks mõni kirje on, uuri see välja. Enne kui midagi eemaldad, tee tsoonist varukoopia.
3. Ole eriti ettevaatlik metamärkidega (wildcards) (*.example.com), mis osutavad välisele teenusele.

DNSSEC ja CAA: lisalukud

DNSSEC paneb su DNS-vastustele digitaalse allkirja, nii et lahendaja (resolver) saab kontrollida, et need on ehtsad ega ole teel võltsitud. Laiendi .nl puhul on see paljude pakkujate juures vaikimisi sisse lülitatud. See kaitseb võltsitud DNS-vastuste eest, mitte ülevõetud registripidaja konto eest. Selgitus lihtsas keeles on DNS-kursuse õppetunnis 8.1.

CAA on DNS-kirje, kuhu märgid, millised sertifitseerimisasutused tohivad su domeeni jaoks sertifikaadi välja anda (RFC 8659). Ilma CAA-ta tohib iga usaldusväärne väljaandja seda teha. CAA-ga muudad ründajal raskemaks saada mujalt sertifikaat su nime peale. Kui seadistad CAA, lisa kindlasti väljaandja, keda su majutuspakkuja kasutab, muidu ei saa su enda sertifikaati enam pikendada. Rohkem DNS-kursuse õppetunnis 5.2.

Praktikas: nii see välja näeb

Su domeeni staatuse ja aegumistähtaja näed avalikest registreerimisandmetest (RDAP, whois'i järeltulija). .com-domeen näitab näiteks:

Staatus:    client delete prohibited, client transfer prohibited, client update prohibited
Registreeritud: 2019-03-01
Aegub:    2027-03-01
DNSSEC:    jah

Mitte iga registry ei näita aegumiskuupäeva: SIDN ei näita seda .nl puhul RDAP-is. Siis vaatad oma registripidaja juurest. WebOké puhul on aegumine, automaatne pikendamine, karantiin, DNSSEC ja CAA koos kaardil Domeeni / e-posti terviseseis domeenilehel Minu WebOké's, ja DNS-seadetes on nupp oma tsooni varukoopia tegemiseks. Teiste pakkujate juures töötab see sarnaselt.

Kokkuvõte

• Kes haldab su domeeni, saab kätte su e-posti ja saab seeläbi kõikjal su parooli taastada.
• Hoia omaniku andmed õiged, kasuta omaniku aadressi, mis asub väljaspool domeeni ennast, ja lülita sisse automaatne pikendamine.
• Kaitse oma registripidaja kontot 2FA ja eraldi kontodega; käsitle üleviimiskoodi kui võtit; registraari lukk blokeerib soovimatud üleviimised.
• Teenuse tühistamisel eemalda kõigepealt DNS-kirje; vaata oma tsoon igal aastal üle rippuvate kirjete suhtes.
• DNSSEC kaitseb võltsitud DNS-vastuste eest, CAA piirab, kellel on õigus su domeeni jaoks sertifikaate väljastada.

Test

Ülesanne

Ülesanne A4.3: Kontrolli oma domeeni kaitstust. Sisesta oma domeeninimi (kui sul seda ei ole, kasuta sidn.nl). Programm hangib staatuse ja aegumiskuupäeva registrist (RDAP) ning kontrollib DNSSECi ja CAA-d. Iga punkti kohta saad rohelise, oranži või punase tulemuse, või informatiivse teate.

Ülesanne D4.3: Domeenide loend ja tsoonikontroll. Koosta nimekiri kõigist oma domeenidest koos registripidaja, omaniku, aegumise ja juurdepääsu omavate isikutega. Seejärel vaata läbi oma peadomeeni DNS-tsoon ja uuri iga kirje kohta, milleks see on.

Lisalugemine

WebOké artiklites toodud sammud kehtivad WebOké keskkonna kohta; teiste pakkujate juures töötab see sarnaselt.

• ICANNi või registri kirjad sinu domeeni kohta: pärised või võltsid, ja mida sa pead tegema?
• WebOké juhend 5.17: Domeeni ja e-posti tervis: kontrollimine ja parandamine
• DNS-i varukoopia tegemine ja taastamine
• Avalik domeeni terviseseis: https://www.weboke.ee/domeeni-tervis
• DNS-kursus, õppetunnid 1.3 (registry, registripidaja ja omanik), 5.2 (CAA) ja 8.1 (DNSSEC): https://www.weboke.ee/dns-cursus
• ICANN, EPP staatusekoodide selgitus (inglise keeles): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, oma domeeninime tühistamine ja karantiin: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, alamdomeeni kaaperdamine (inglise keeles): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers