Jūsu domēna nosaukuma aizsardzība

4. modulis: E-pasts, tīmekļa vietne un domēns · Lasīšanas laiks: 11 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet aizsargāt savu domēna nosaukumu pret termiņa izbeigšanos, nolaupīšanu un nepareiziem DNS ierakstiem, kā arī pārbaudīt sava domēna statusu, derīguma termiņu, DNSSEC un CAA.
Pamatjēdzieni: reģistrators, turētājs, beidzies termiņš, karantīna, pārvākšanās kods, registrar-lock, registry lock, 2FA pie reģistratora, DNSSEC, CAA, karājošies ieraksti (dangling DNS), apakšdomēna nolaupīšana

Kam pieder Jūsu domēns, tam pieder Jūsu e-pasts

Domēna nosaukums šķiet neliela detaļa: gada rēķins un pāris iestatījumi. Taču no tā ir atkarīgs gandrīz viss. Jūsu tīmekļa vietne, Jūsu e-pasta adreses un līdz ar to arī poga "aizmirsu paroli" visos Jūsu pārējos kontos: grāmatvedības programmā, bankā, tiešsaistes veikala platformā, sociālajos tīklos. Tas, kurš iegūst kontroli pār example.com, var saņemt e-pastus, kas adresēti info@example.com, un ar to visur no jauna iestatīt Jūsu paroli.

Domēnu var pazaudēt vai tas var tikt ļaunprātīgi izmantots trijos veidos:

1. tam beidzas termiņš un to reģistrē kāds cits;
2. kāds to nolaupa caur Jūsu kontu pie reģistratora vai ar viltotu pārvākšanos;
3. aizmirsts DNS ieraksts norāda uz kaut ko, ko Jūs vairs nepārvaldāt.

DNS kursā (1.3. nodarbība) Jūs uzzinājāt, kurš par ko atbild: reģistrs pārvalda paplašinājumu (SIDN domēnam .nl), reģistrators reģistrē domēnu Jūsu vārdā, un Jūs esat turētājs. Šajā nodarbībā mēs aplūkosim šo ķēdi ar uzbrucēja acīm.

Vai turētāja dati ir pareizi?

Turētājs ir juridiskais īpašnieks. Ja tur ir norādīts Jūsu tīmekļa vietnes izstrādātājs, bijušais darbinieks vai uzņēmums, kas vairs nepastāv, konflikta vai maksātnespējas gadījumā Jums būs grūti pierādīt, ka domēns pieder Jums. Tāpēc pārbaudiet:

• vai turētājs ir reģistrēts kā Jūsu uzņēmums ar pareizu nosaukumu?
• vai turētāja e-pasta adrese ir sasniedzama un vai tā neatrodas uz paša domēna? Ja example.com derīguma termiņš beidzas, brīdinājums uz info@example.com, iespējams, vairs nepienāks. Izmantojiet otru adresi, piemēram, citā domēnā;
• vai Jūs atbildat uz īstiem pieprasījumiem apstiprināt savu adresi? Daudzos paplašinājumos ICANN pieprasa apstiprināt turētāja e-pasta adresi. Ja to nedarāt, domēnu var apturēt.

Termiņa beigšanās: garlaicīgākais un visbiežāk sastopamais risks

Domēni visbiežāk tiek pazaudēti derīguma termiņu beigušās kredītkartes, rēķina, kas nonācis pie aizgājuša kolēģa, vai pārejas dēļ, kurā neviens nepadomāja par domēnu. Tas, kas notiek pēc tam, atšķiras atkarībā no paplašinājuma:

Pēc tam domēnu var reģistrēt kāds cits. Ir uzņēmumi, kas automātiski reģistrē atbrīvotos domēnus tieši tāpēc, ka uz tiem vēl ir trafiks. Ja jaunais īpašnieks iestata e-pastam catch-all, viņš saņems visu, ko Jūsu klienti un piegādātāji vēl sūta uz Jūsu vecajām adresēm, ieskaitot paroles atjaunošanas e-pastus.

Aizsardzība:

• ieslēdziet automātisko pagarināšanu un uzturiet aktuālus maksājumu datus;
• reģistrējiet visus domēnus sarakstā, arī tos, kurus paturat "tikai drošības dēļ";
• neatceliet vienkārši veco domēnu, ko kādreiz izmantojāt e-pastam. Paturiet to un aizsargājiet to kā domēnu bez e-pasta (4.1. nodarbība).

Nolaupīšana: Jūsu reģistratora konts un pārvākšanās kods

Ātrākais ceļš pie domēna ved caur kontu pie Jūsu reģistratora. Tas, kurš tur pieteicas, var mainīt nosaukumu serverus un ar to vienā reizē novirzīt Jūsu tīmekļa vietni un e-pastu. Tāpēc izturieties pret šo kontu kā pret vienu no svarīgākajiem:

• ieslēgta divu faktoru autentifikācija (modulis 2);
• tikai cilvēki ar pašiem savu kontu un tiesībām, kas viņiem nepieciešamas (7.1. nodarbība). Jūsu tīmekļa vietnes izstrādātājam vēlams piešķirt piekļuvi tikai DNS, nevis visam kontam;
• pievērsiet uzmanību pikšķerēšanai par Jūsu domēnu. "Jūsu domēna termiņš beidzas šodien, maksājiet šeit" vai "apstipriniet savus datus ICANN" ir zināms triks. Nekad neejiet caur saiti, bet piesakieties pats pie sava reģistratora.

Pārvākšanās kods (saukts arī par autorizācijas kodu, EPP kodu vai žetonu) ir nepieciešams, lai pārvāktu domēnu pie cita reģistratora. Uzskatiet šo kodu par atslēgu: pieprasiet to tikai tad, kad paši vācaties, kopīgojiet to tikai ar jauno reģistratoru, un nekavējoties esiet modri, ja saņemat pārvākšanās apstiprinājumu, ko negaidījāt.

Papildus pastāv bloķēšanas:

• Registrar-lock iestata statusu clientTransferProhibited (bieži kopā ar clientDeleteProhibited un clientUpdateProhibited). Reģistrs tad noraida pārvākšanu, līdz Jūs vai Jūsu reģistrators noņem šo bloķēšanu. Domēnam .com un līdzīgiem paplašinājumiem tas ir ierasts; ICANN to iesaka.
• Registry lock iet tālāk: izmaiņas pašā reģistrā tiek piemērotas tikai pēc papildu, manuālas pārbaudes ar turētāju. Domēnam .nl šis pakalpojums saucas .nl Control. Tas galvenokārt paredzēts lielām zīmoliem un maksā papildu; lielākajai daļai mazo uzņēmumu pietiek ar 2FA un labi pārvaldītu reģistratora kontu.

Karājošies ieraksti un apakšdomēna nolaupīšana

Šis ir mazāk zināms risks un visviltīgākais. Prakses piemērs (anonimizēts):

Konditorejai Example no 2021. līdz 2024. gadam bija tiešsaistes veikals winkel.example.com ar CNAME ierakstu uz bakkerij-example.webwinkelplatform.example, un 2024. gadā konditoreja mainīja platformu un atcēla abonementu. CNAME ieraksts palika. Gadu vēlāk kāds cits tajā pašā platformā izveidoja veikalu zem atbrīvotā nosaukuma bakkerij-example. No tā brīža winkel.example.com rādīja viltus veikalu ar derīgu sertifikātu un konditorejas vārdā.

Karājošies ieraksti (dangling DNS) ir DNS ieraksts, kas norāda uz kaut ko, ko Jūs vairs nepārvaldāt: atceltu pakalpojumu, dzēstu mākoņa serveri, IP adresi, kas jau piešķirta kādam citam. Ja kāds cits var pieprasīt šo mērķi, to sauc par apakšdomēna nolaupīšanu (subdomain takeover). Uzbrucējs iegūst Jūsu apakšdomēnu un ar to var mitināt pikšķerēšanas lapas, kas izskatās pilnīgi īstas, dažkārt pat var nolasīt Jūsu galvenā domēna sīkdatnes.

Aizsardzība:

1. Atcelšana = vispirms noņemiet DNS ierakstu, pēc tam atceliet pakalpojumu. Iekļaujiet to savā pakalpojumu izbeigšanas procedūrā.
2. Reizi gadā izskatiet visu savu DNS zonu. Ja nezināt, kam domāts kāds ieraksts, noskaidrojiet to. Pirms kaut ko noņemat, izveidojiet zonas rezerves kopiju.
3. Esiet īpaši piesardzīgi ar aizstājējzīmēm (wildcards) (*.example.com), kas norāda uz ārēju pakalpojumu.

DNSSEC un CAA: papildu slēdzenes

DNSSEC uzliek digitālu parakstu Jūsu DNS atbildēm, lai resolveris varētu pārbaudīt, ka tās ir īstas un nav viltotas ceļā. Domēnam .nl tas daudziem pakalpojumu sniedzējiem ir noklusējumā ieslēgts. Tas aizsargā pret viltotām DNS atbildēm, nevis pret pārņemtu reģistratora kontu. Skaidrojums vienkāršā valodā ir DNS kursa 8.1. nodarbībā.

CAA ir DNS ieraksts, kurā Jūs norādāt, kurām sertifikātu iestādēm ir atļauts izsniegt sertifikātu Jūsu domēnam (RFC 8659). Bez CAA to drīkst darīt jebkurš uzticams izsniedzējs. Ar CAA Jūs uzbrucējam apgrūtināt sertifikāta iegūšanu citur Jūsu vārdā. Ja iestatāt CAA, noteikti iekļaujiet izsniedzēju, ko izmanto Jūsu mitināšanas sniedzējs, pretējā gadījumā Jūsu paša sertifikātu vairs nevarēs pagarināt. Vairāk DNS kursa 5.2. nodarbībā.

Praksē: kā tas izskatās

Jūsu domēna statusu un derīguma termiņu var redzēt publiskajos reģistrācijas datos (RDAP, whois pēctecis). Piemēram, .com domēns rāda:

Statuss:     client delete prohibited, client transfer prohibited, client update prohibited
Reģistrācija: 2019-03-01
Derīgs līdz:   2027-03-01
DNSSEC:     jā

Ne katrs reģistrs rāda derīguma termiņa beigu datumu: SIDN to domēnam .nl RDAP neuzrāda. Tad apskatiet savu reģistratoru. WebOké vidē derīguma termiņš, automātiskā pagarināšana, karantīna, DNSSEC un CAA ir apkopoti kopā kartē Domain / Email veselība domēna lapā sadaļā Mans WebOké, un DNS iestatījumos ir poga, lai izveidotu zonas rezerves kopiju. Pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

Kopsavilkums

• Tas, kurš pārvalda Jūsu domēnu, saņem Jūsu e-pastu un ar to var atjaunot paroles visur.
• Uzturiet pareizus turētāja datus, izmantojiet turētāja adresi ārpus paša domēna un ieslēdziet automātisko pagarināšanu.
• Aizsargājiet savu reģistratora kontu ar 2FA un individuāliem kontiem; uzskatiet pārvākšanās kodu par atslēgu; registrar-lock bloķē nevēlamas pārvākšanas.
• Atceļot pakalpojumu, vispirms noņemiet DNS ierakstu; reizi gadā izskatiet savu zonu, lai atrastu karājošos ierakstus.
• DNSSEC aizsargā pret viltotām DNS atbildēm, CAA ierobežo, kam atļauts izsniegt sertifikātus Jūsu domēnam.

Tests

Uzdevums

Uzdevums A4.3: Jūsu domēna aizsardzības pārbaude. Ievadiet savu domēna nosaukumu (ja Jums tāda nav, izmantojiet sidn.nl). Programma iegūst statusu un derīguma termiņu no reģistra (RDAP) un pārbauda DNSSEC un CAA. Par katru punktu saņemsiet zaļu, oranžu vai sarkanu atzīmi, vai informatīvu paziņojumu.

Uzdevums D4.3: Domēnu saraksts un zonas pārbaude. Izveidojiet sarakstu ar visiem saviem domēniem, norādot reģistratoru, turētāju, derīguma termiņu un to, kam ir piekļuve. Pēc tam izskatiet sava galvenā domēna DNS zonu un noskaidrojiet, kam domāts katrs ieraksts.

Vairāk lasīt

Soļi WebOké rakstos attiecas uz WebOké vidi; pie citiem pakalpojumu sniedzējiem tas darbojas līdzīgi.

• ICANN vai reģistra e-pasta vēstules par Jūsu domēnu: īstas vai viltotas, un ko Jums vajadzētu darīt?
• WebOké rokasgrāmata 5.17: Domēna un e-pasta veselība: pārbaude un novēršana
• DNS rezerves kopijas izveide un atjaunošana
• Publiskā domēna veselība: https://www.weboke.lv/domena-veseliba
• DNS kurss, nodarbības 1.3 (reģistrs, reģistrators un turētājs), 5.2 (CAA) un 8.1 (DNSSEC): https://www.weboke.lv/dns-cursus
• ICANN, EPP statusa kodi izskaidroti (angļu valodā): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, Jūsu domēna nosaukuma atcelšana un karantīna: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, apakšdomēna nolaupīšana (angļu valodā): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers