Protejarea numelui dumneavoastră de domeniu

Modulul 4: E-mail, site web și domeniu · Timp de citire: 11 minute

Obiectivul lecției: După această lecție veți putea să vă protejați domeniul împotriva expirării, deturnării și înregistrărilor DNS greșite, și să verificați starea, expirarea, DNSSEC și CAA ale propriului domeniu.
Noțiuni-cheie: registrar, deținător, expirare, carantină, cod de transfer, registrar-lock, registry lock, 2FA la registrar, DNSSEC, CAA, înregistrare suspendată (dangling DNS), deturnare de subdomeniu

Cine deține domeniul dumneavoastră, deține e-mailul dumneavoastră

Numele de domeniu pare un element mărunt: o factură anuală și câteva setări. Dar aproape totul depinde de el. Site-ul dumneavoastră web, adresele dumneavoastră de e-mail, și odată cu acestea și butonul „am uitat parola" de la toate celelalte conturi: aplicația dumneavoastră de contabilitate, banca, platforma de magazin online, rețelele sociale. Cine preia controlul asupra example.com poate primi e-mailuri pentru info@example.com și astfel vă poate reseta parola oriunde.

Un domeniu poate fi pierdut sau folosit abuziv în trei moduri:

1. expiră și altcineva îl înregistrează;
2. cineva îl deturnează prin contul dumneavoastră de la registrar sau printr-un transfer fraudulos;
3. o înregistrare DNS uitată indică spre ceva pe care nu îl mai administrați.

În cursul despre DNS (lecția 1.3) ați aflat cine administrează ce: registry administrează extensia (SIDN pentru .nl), registrarul înregistrează în numele dumneavoastră, iar dumneavoastră sunteți deținătorul. În această lecție privim acest lanț prin ochii unui atacator.

Este corect deținătorul?

Deținătorul este proprietarul juridic. Dacă acolo apare dezvoltatorul dumneavoastră web, un fost angajat sau o firmă care nu mai există, veți avea dificultăți să dovediți, în caz de conflict sau faliment, că domeniul vă aparține. De aceea, verificați:

• apare firma dumneavoastră înregistrată ca deținător, cu numele corect?
• este adresa de e-mail a deținătorului accesibilă și nu se află pe domeniul propriu-zis? Dacă example.com expiră, avertizarea trimisă la info@example.com s-ar putea să nu mai ajungă. Folosiți o a doua adresă, de exemplu pe un alt domeniu;
• răspundeți la solicitările reale de confirmare a adresei dumneavoastră? Pentru multe extensii, ICANN impune confirmarea adresei de e-mail a deținătorului. Dacă nu faceți acest lucru, domeniul poate fi suspendat.

Expirarea: cel mai plictisitor și mai frecvent risc

Domeniile se pierd cel mai adesea din cauza unui card de credit expirat, a unei facturi primite de un coleg plecat din firmă sau a unei schimbări de furnizor în care nimeni nu s-a mai gândit la domeniu. Ce se întâmplă apoi diferă în funcție de extensie:

După aceea, altcineva îl poate înregistra. Există firme care înregistrează automat domenii eliberate, tocmai pentru că acestea mai au trafic. Dacă noul proprietar configurează un catch-all pentru e-mail, va primi tot ce clienții și furnizorii dumneavoastră mai trimit către vechile dumneavoastră adrese, inclusiv e-mailurile de recuperare a parolei.

Protecție:

• activați reînnoirea automată și păstrați datele de plată actuale;
• înregistrați toate domeniile într-o listă, inclusiv domeniile pe care le dețineți „doar pentru siguranță";
• nu reziliați pur și simplu un domeniu vechi pe care l-ați folosit odinioară pentru e-mail. Păstrați-l și securizați-l ca domeniu fără e-mail (lecția 4.1).

Deturnarea: contul dumneavoastră de registrar și codul de transfer

Calea cea mai rapidă către un domeniu trece prin contul de la registrarul dumneavoastră. Cine se autentifică acolo poate modifica serverele de nume (nameservers) și astfel redirecționa dintr-o dată site-ul web și e-mailul dumneavoastră. Tratați deci acest cont ca pe unul dintre cele mai importante ale dumneavoastră:

• activați autentificarea în doi pași (modulul 2);
• doar persoane cu cont propriu și drepturile de care au nevoie (lecția 7.1). Dezvoltatorul dumneavoastră web ar trebui, de preferință, să primească acces la DNS, nu la întregul cont;
• fiți atent la phishing legat de domeniul dumneavoastră. „Domeniul dumneavoastră expiră astăzi, plătiți aici" sau „confirmați-vă datele la ICANN" este un truc cunoscut. Nu accesați niciodată linkul, ci autentificați-vă singur la registrarul dumneavoastră.

Un cod de transfer (numit și cod de autorizare, cod EPP sau token) este necesar pentru a muta un domeniu la alt registrar. Priviți acest cod ca pe o cheie: solicitați-l doar atunci când transferați dumneavoastră înșivă domeniul, împărtășiți-l doar cu noul registrar și fiți imediat vigilent dacă primiți o confirmare de transfer pe care nu o așteptați.

În plus, există blocaje:

• Un registrar-lock setează starea clientTransferProhibited (adesea împreună cu clientDeleteProhibited și clientUpdateProhibited). Registry refuză atunci un transfer până când dumneavoastră sau registrarul dumneavoastră înlăturați blocajul. La .com și extensiile similare, acest lucru este uzual; ICANN îl recomandă.
• Un registry lock merge mai departe: modificările la nivelul registry-ului propriu-zis sunt aplicate doar după o verificare suplimentară, manuală, la deținător. Pentru .nl, acest serviciu se numește .nl Control. Este destinat în special mărcilor mari și costă suplimentar; pentru majoritatea firmelor mici, 2FA și un cont de registrar bine administrat sunt suficiente.

Înregistrări suspendate și deturnarea de subdomeniu

Acesta este riscul cel mai puțin cunoscut și cel mai insidios. Un exemplu practic (anonimizat):

Brutăria Example a avut, din 2021 până în 2024, un magazin online la winkel.example.com, cu o înregistrare CNAME către bakkerij-example.webwinkelplatform.example, iar în 2024 brutăria a schimbat furnizorul și și-a reziliat abonamentul. Înregistrarea CNAME a rămas neschimbată. Un an mai târziu, altcineva a creat, la același platform, un magazin sub numele eliberat bakkerij-example. Din acel moment, winkel.example.com afișa un magazin fals, cu un certificat valid și sub numele brutăriei.

O înregistrare suspendată (dangling DNS) este o înregistrare DNS care indică spre ceva pe care nu îl mai administrați: un serviciu reziliat, un server cloud șters, o adresă IP alocată între timp altcuiva. Dacă altcineva poate revendica acea țintă, se numește deturnare de subdomeniu (subdomain takeover). Atacatorul obține un subdomeniu de-al dumneavoastră și poate găzdui astfel pagini de phishing care par complet autentice, uneori putând chiar citi cookie-uri de pe domeniul dumneavoastră principal.

Protecție:

1. Rezilierea înseamnă mai întâi eliminarea înregistrării DNS, apoi rezilierea serviciului. Includeți acest lucru în procedura dumneavoastră de încheiere a serviciilor.
2. Parcurgeți întreaga dumneavoastră zonă DNS o dată pe an. Dacă nu știți la ce folosește o înregistrare, aflați. Înainte de a elimina ceva, faceți o copie de siguranță a zonei.
3. Fiți deosebit de precaut cu wildcard-urile (*.example.com) care indică spre un serviciu extern.

DNSSEC și CAA: încuietori suplimentare

DNSSEC aplică o semnătură digitală răspunsurilor DNS-ului dumneavoastră, astfel încât un resolver poate verifica dacă acestea sunt autentice și nu au fost falsificate pe parcurs. Pentru .nl, este activat implicit la mulți furnizori. Protejează împotriva răspunsurilor DNS falsificate, nu împotriva unui cont de registrar compromis. Explicații pe înțelesul tuturor găsiți în lecția 8.1 a cursului de DNS.

CAA este o înregistrare DNS în care specificați ce autorități de certificare pot emite un certificat pentru domeniul dumneavoastră (RFC 8659). Fără CAA, orice emitent de încredere poate face acest lucru. Cu CAA, îngreunați obținerea de către un atacator a unui certificat pentru numele dumneavoastră în altă parte. Dacă setați CAA, includeți și emitentul folosit de furnizorul dumneavoastră de găzduire, altfel propriul dumneavoastră certificat nu va mai putea fi reînnoit. Mai multe detalii în lecția 5.2 a cursului de DNS.

În practică: așa arată

Starea și expirarea domeniului dumneavoastră le puteți vedea în datele publice de înregistrare (RDAP, succesorul whois). Un domeniu .com, de exemplu, arată astfel:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Înregistrare: 2019-03-01
Expiră:   2027-03-01
DNSSEC:     da

Nu orice registry afișează o dată de expirare: SIDN nu o arată pentru .nl în RDAP. În acest caz, verificați la registrarul dumneavoastră. La WebOké, expirarea, reînnoirea automată, carantina, DNSSEC și CAA apar împreună pe cardul Domain / Email gezondheid de pe pagina domeniului din Contul meu WebOké, iar în setările DNS există un buton pentru a face o copie de siguranță a zonei dumneavoastră. La alți furnizori funcționează similar.

Rezumat

• Cine administrează domeniul dumneavoastră primește e-mailul dumneavoastră și poate astfel să vă recupereze parola oriunde.
• Păstrați corecte datele deținătorului, folosiți o adresă de deținător în afara domeniului propriu-zis și activați reînnoirea automată.
• Protejați-vă contul de registrar cu 2FA și conturi individuale; priviți codul de transfer ca pe o cheie; un registrar-lock blochează transferurile nedorite.
• La rezilierea unui serviciu, eliminați mai întâi înregistrarea DNS; verificați-vă zona anual împotriva înregistrărilor suspendate.
• DNSSEC protejează împotriva răspunsurilor DNS falsificate, CAA limitează cine poate emite certificate pentru domeniul dumneavoastră.

Test

Exercițiu

Exercițiul A4.3: Verificarea protecției domeniului dumneavoastră. Introduceți propriul dumneavoastră nume de domeniu (dacă nu aveți unul, folosiți sidn.nl). Programul preia starea și data de expirare de la registry (RDAP) și verifică DNSSEC și CAA. Primiți pentru fiecare punct verde, portocaliu sau roșu, sau o notificare informativă.

Exercițiul D4.3: Lista domeniilor și controlul zonei. Întocmiți o listă cu toate domeniile dumneavoastră, cu registrar, deținător, expirare și cine are acces. Parcurgeți apoi zona DNS a domeniului dumneavoastră principal și stabiliți pentru fiecare înregistrare la ce folosește.

Lectură suplimentară

Pașii din articolele WebOké se aplică mediului WebOké; la alți furnizori funcționează similar.

• Email-uri de la ICANN sau de la registry despre domeniul dumneavoastră: reale sau false, și ce trebuie să faceți?
• Manual WebOké 5.17: Starea domeniului și a e-mailului: verificare și remediere
• Crearea și restaurarea unui backup al DNS-ului
• Starea publică de sănătate a domeniului: https://www.weboke.ro/starea-domeniului
• Cursul DNS, lecțiile 1.3 (registry, registrar și deținător), 5.2 (CAA) și 8.1 (DNSSEC): https://www.weboke.ro/dns-cursus
• ICANN, codurile de stare EPP explicate (în engleză): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, rezilierea numelui dumneavoastră de domeniu și carantina: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, deturnarea de subdomeniu (în engleză): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers