Защита на Вашето домейн име

Модул 4: Имейл, уебсайт и домейн · Време за четене: 11 минути

Учебна цел: След този урок ще можете да защитите домейн името си от изтичане на срока, отвличане и грешни DNS записи, както и да проверите статуса, срока на валидност, DNSSEC и CAA на собствения си домейн.
Ключови понятия: регистратор (registrar), титуляр, изтекъл срок, карантина, код за прехвърляне, заключване при регистратора (registrar-lock), заключване при регистъра (registry lock), 2FA при регистратора, DNSSEC, CAA, увиснал запис (dangling DNS), отвличане на поддомейн

Който владее Вашия домейн, владее и Вашата поща

Домейн името Ви изглежда като малка подробност: годишна фактура и няколко настройки. Но от него зависи почти всичко. Вашият уебсайт, Вашите имейл адреси, а чрез тях и бутонът „забравена парола“ на всички Ваши други акаунти: Вашата счетоводна програма, Вашата банка, платформата Ви за онлайн магазин, социалните Ви мрежи. Който получи контрол над example.com, може да получава поща за info@example.com и чрез това да нулира паролата Ви навсякъде.

Един домейн може да бъде изгубен или злоупотребен по три начина:

1. срокът му изтича и някой друг го регистрира;
2. някой го отвлича чрез Вашия акаунт при регистратора или чрез фалшиво прехвърляне;
3. забравен DNS запис сочи към нещо, което вече не управлявате.

В курса за DNS (урок 1.3) научихте кой какво урежда: регистърът (registry) управлява разширението (SIDN за .nl), регистраторът (registrar) регистрира от Ваше име, а Вие сте титулярят. В този урок разглеждаме тази верига през очите на нападател.

Верен ли е титулярят?

Титулярят е юридическият собственик. Ако там е записан Вашият уеб разработчик, бивш служител или фирма, която вече не съществува, при спор или фалит трудно ще докажете, че домейнът е Ваш. Затова проверете:

• записана ли е Вашата фирма като титуляр, с правилното име?
• достъпен ли е имейл адресът на титуляря и не е ли на самия домейн? Ако срокът на example.com изтече, предупреждението до info@example.com може вече да не пристигне. Използвайте втори адрес, например на друг домейн.
• отговаряте ли на реални искания за потвърждение на адреса си? За много разширения ICANN изисква потвърждение на имейл адреса на титуляря. Ако не го направите, домейнът може да бъде спрян.

Изтекъл срок: най-скучният и най-често срещан риск

Домейните най-често се губят заради изтекла кредитна карта, фактура, пристигнала при напуснал колега, или смяна на доставчик, при която никой не се е сетил за домейна. Какво се случва след това, зависи от разширението:

След това някой друг може да го регистрира. Съществуват компании, които автоматично регистрират освобождаващи се домейни точно защото по тях все още има трафик. Ако новият собственик настрои catch-all за пощата, той ще получава всичко, което клиентите и доставчиците Ви все още изпращат към старите Ви адреси, включително имейли за възстановяване на пароли.

Защита:

• включете автоматично подновяване и поддържайте платежните данни актуални;
• записвайте всички домейни в списък, включително тези, които имате „само за всеки случай“;
• не прекратявайте просто така стар домейн, който някога сте използвали за поща. Задръжте го и го защитете като домейн без поща (урок 4.1).

Отвличане: Вашият акаунт при регистратора и кодът за прехвърляне

Най-бързият път към един домейн минава през акаунта при Вашия регистратор. Който влезе там, може да промени nameserver-ите и с това наведнъж да пренасочи уебсайта и пощата Ви. Затова третирайте този акаунт като един от най-важните си:

• включете двуфакторно удостоверяване (модул 2);
• само хора със собствен акаунт и точно необходимите права (урок 7.1). За предпочитане е Вашият уеб разработчик да получи достъп само до DNS, а не до целия акаунт;
• внимавайте за фишинг около домейна Ви. „Домейнът Ви изтича днес, платете тук“ или „потвърдете данните си пред ICANN“ са известни трикове. Никога не минавайте през връзка в имейл, а влезте сами при регистратора си.

Кодът за прехвърляне (наричан още код за оторизация, EPP код или токен) е нужен, за да се прехвърли домейн към друг регистратор. Гледайте на този код като на ключ: искайте го само когато Вие самите прехвърляте домейна, споделяйте го само с новия регистратор, и веднага бъдете бдителни, ако получите потвърждение за прехвърляне, което не сте очаквали.

Освен това съществуват и заключвания:

• Заключване при регистратора (registrar-lock) поставя статус clientTransferProhibited (често заедно с clientDeleteProhibited и clientUpdateProhibited). Тогава регистърът отказва прехвърляне, докато Вие или регистраторът Ви не махнете заключването. За .com и подобни разширения това е обичайна практика; ICANN го препоръчва.
• Заключване при регистъра (registry lock) отива по-далеч: промените се изпълняват от самия регистър едва след допълнителна, ръчна проверка при титуляря. За .nl тази услуга се нарича .nl Control. Тя е предназначена най-вече за големи марки и струва допълнително; за повечето малки фирми 2FA и добре управляван акаунт при регистратора са достатъчни.

Увиснали записи и отвличане на поддомейни

Това е най-малко познатият риск и най-коварен. Пример от практиката (анонимизиран):

Пекарна Example е имала от 2021 до 2024 г. онлайн магазин на winkel.example.com, с CNAME запис към bakkerij-example.webwinkelplatform.example, а през 2024 г. пекарната сменя доставчика и прекратява абонамента. CNAME записът остава. Година по-късно друг човек създава магазин при същата платформа под освободеното име bakkerij-example. От този момент winkel.example.com показва фалшив магазин, с валиден сертификат и под името на пекарната.

Увиснал запис (dangling DNS) е DNS запис, който сочи към нещо, което вече не управлявате: прекратена услуга, изтрит облачен сървър, IP адрес, който вече е предоставен на друг. Ако някой друг може да заяви правата върху тази цел, това се нарича отвличане на поддомейн (subdomain takeover). Нападателят получава поддомейн от Вас и чрез него може да хоства фишинг страници, които изглеждат напълно истински, понякога дори да чете бисквитки от главния Ви домейн.

Защита:

1. Прекратяване = първо премахнете DNS записа, после прекратете услугата. Включете това в процедурата си за прекратяване на услуги.
2. Преглеждайте цялата си DNS зона веднъж годишно. Ако не знаете за какво служи даден запис, проучете го. Направете резервно копие на зоната, преди да премахнете нещо.
3. Бъдете особено внимателни с wildcard записи (*.example.com), които сочат към външна услуга.

DNSSEC и CAA: допълнителни ключалки

DNSSEC поставя цифров подпис върху отговорите на Вашия DNS, така че resolver-ът да може да провери, че те са истински и не са подправени по пътя. За .nl при много доставчици е включено по подразбиране. То защитава срещу фалшифицирани DNS отговори, но не и срещу завладян акаунт при регистратора. Обяснение на разбираем език ще намерите в урок 8.1 от курса за DNS.

CAA е DNS запис, в който указвате кои сертификационни органи имат право да издават сертификат за Вашия домейн (RFC 8659). Без CAA всеки доверен издател може да го направи. С CAA затруднявате нападателя да получи сертификат за името Ви от друг издател. Ако зададете CAA, включете издателя, който използва Вашият хостинг доставчик, иначе собственият Ви сертификат вече няма да може да се подновява. Повече в урок 5.2 от курса за DNS.

На практика: ето как изглежда

Статусът и срокът на валидност на домейна Ви се виждат в публичните регистрационни данни (RDAP, наследникът на WHOIS). Например, .com домейн показва:

Статус:     client delete prohibited, client transfer prohibited, client update prohibited
Регистрация: 2019-03-01
Изтича:   2027-03-01
DNSSEC:     да

Не всеки регистър показва дата на изтичане: SIDN не я показва за .nl в RDAP. Тогава проверявате при регистратора си. При WebOké срокът на валидност, автоматичното подновяване, карантината, DNSSEC и CAA са обединени на картата Domain / Email здраве на страницата на домейна в Моят WebOké, а в DNS настройките има бутон за създаване на резервно копие на зоната. При други доставчици работи по подобен начин.

Обобщение

• Който управлява Вашия домейн, получава пощата Ви и чрез нея може да нулира паролите Ви навсякъде.
• Поддържайте данните на титуляря верни, използвайте адрес на титуляря извън самия домейн и включете автоматично подновяване.
• Защитете акаунта си при регистратора с 2FA и собствени акаунти; гледайте на кода за прехвърляне като на ключ; заключването при регистратора блокира нежелани прехвърляния.
• При прекратяване на услуга първо премахнете DNS записа; преглеждайте зоната си ежегодно за увиснали записи.
• DNSSEC защитава срещу подправени DNS отговори, CAA ограничава кой може да издава сертификати за домейна Ви.

Тест (quiz)

Задача

Задача A4.3: Проверка на защитата на Вашия домейн. Въведете собственото си домейн име (ако нямате такова, използвайте sidn.nl). Програмата извлича статуса и датата на изтичане от регистъра (RDAP) и проверява DNSSEC и CAA. Получавате резултат за всяка точка в зелено, оранжево или червено, или информативно съобщение.

Задача D4.3: Списък с домейни и проверка на зоната. Направете списък на всичките си домейни с регистратор, титуляр, срок на валидност и кой има достъп. След това прегледайте DNS зоната на основния си домейн и проучете за какво служи всеки запис.

Допълнително четене

Стъпките в статиите на WebOké важат за средата на WebOké; при други доставчици работи по подобен начин.

• Писма от ICANN или регистъра относно Вашия домейн: истински или фалшиви, и какво трябва да направите?
• Ръководство на WebOké 5.17: Здраве на домейна и имейла: проверка и отстраняване на проблеми
• Създаване и възстановяване на резервно копие на DNS
• Публично здраве на домейна: https://www.weboke.nl/bg/zdrave-na-domeyna
• Курс по DNS, уроци 1.3 (регистър, регистратор и титуляр), 5.2 (CAA) и 8.1 (DNSSEC): https://www.weboke.nl/bg/dns-cursus
• ICANN, обяснение на EPP статус кодовете (на английски): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, прекратяване на Вашето домейн име и карантина: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, отвличане на поддомейни (на английски): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers