Προστασία του domain σας

Ενότητα 4: Email, ιστότοπος και domain · Χρόνος ανάγνωσης: 11 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να προστατεύσετε το domain σας από λήξη, κατάληψη και λανθασμένες εγγραφές DNS, και να ελέγξετε την κατάσταση, τη λήξη, το DNSSEC και το CAA του δικού σας domain.
Βασικές έννοιες: registrar, κάτοχος, λήξη, καραντίνα, κωδικός μεταφοράς, registrar-lock, registry lock, 2FA στον registrar, DNSSEC, CAA, μετέωρη εγγραφή (dangling DNS), κατάληψη subdomain

Όποιος έχει το domain σας, έχει και το email σας

Το domain σας μοιάζει με μικρή λεπτομέρεια: ένα ετήσιο τιμολόγιο και μερικές ρυθμίσεις. Όμως σχεδόν τα πάντα εξαρτώνται από αυτό. Ο ιστότοπός σας, οι διευθύνσεις email σας, και μαζί με αυτές και το κουμπί "ξέχασα τον κωδικό πρόσβασης" όλων των άλλων λογαριασμών σας: το πρόγραμμα λογιστικής σας, η τράπεζά σας, η πλατφόρμα ηλεκτρονικού καταστήματός σας, τα μέσα κοινωνικής δικτύωσής σας. Όποιος αποκτήσει τον έλεγχο του example.com, μπορεί να λαμβάνει email για το info@example.com και έτσι να επαναφέρει τον κωδικό πρόσβασης παντού.

Ένα domain μπορεί να χαθεί ή να γίνει αντικείμενο κατάχρησης με τρεις τρόπους:

1. να λήξει και να το καταχωρίσει κάποιος άλλος·
2. κάποιος να το καταλάβει μέσω του λογαριασμού σας στον registrar ή μέσω πλαστής μεταφοράς·
3. μια ξεχασμένη εγγραφή DNS να δείχνει σε κάτι που δεν διαχειρίζεστε πλέον.

Στο μάθημα DNS (μάθημα 1.3) μάθατε ποιος ρυθμίζει τι: το registry διαχειρίζεται την επέκταση (SIDN για το .nl), ο registrar κάνει την καταχώριση εξ ονόματός σας, και εσείς είστε ο κάτοχος. Σε αυτό το μάθημα εξετάζουμε αυτήν την αλυσίδα με τα μάτια ενός επιτιθέμενου.

Είναι σωστός ο κάτοχος;

Ο κάτοχος είναι ο νομικός ιδιοκτήτης. Αν εκεί αναγράφεται ο κατασκευαστής του ιστότοπού σας, ένας πρώην υπάλληλος ή μια εταιρεία που δεν υπάρχει πια, τότε σε περίπτωση διαφωνίας ή πτώχευσης θα δυσκολευτείτε να αποδείξετε ότι το domain είναι δικό σας. Γι' αυτό ελέγξτε:

• είναι καταχωρισμένη ως κάτοχος η δική σας επιχείρηση, με το σωστό όνομα;
• είναι προσβάσιμη η διεύθυνση email του κατόχου, και δεν βρίσκεται στο ίδιο το domain; Αν λήξει το example.com, η προειδοποίηση στο info@example.com ενδέχεται να μην φτάσει πια. Χρησιμοποιήστε μια δεύτερη διεύθυνση, για παράδειγμα σε άλλο domain.
• απαντάτε σε πραγματικά αιτήματα επιβεβαίωσης της διεύθυνσής σας; Για πολλές επεκτάσεις, ο ICANN απαιτεί να επιβεβαιώνεται η διεύθυνση email του κατόχου. Αν δεν το κάνετε, το domain μπορεί να ανασταλεί.

Λήξη: ο πιο βαρετός και πιο συχνός κίνδυνος

Τα domains χάνονται πιο συχνά λόγω μιας πιστωτικής κάρτας που έληξε, ενός τιμολογίου που έφτασε σε έναν συνάδελφο που έχει αποχωρήσει, ή μιας αλλαγής κατά την οποία κανείς δεν σκέφτηκε το domain. Τι συμβαίνει μετά διαφέρει ανά επέκταση:

Μετά μπορεί κάποιος άλλος να το καταχωρίσει. Υπάρχουν φορείς που καταχωρίζουν αυτόματα domains που ελευθερώνονται, ακριβώς επειδή υπάρχει ακόμη κίνηση σε αυτά. Αν ο νέος ιδιοκτήτης ρυθμίσει catch-all στο email, θα λαμβάνει όλα όσα οι πελάτες και οι προμηθευτές σας εξακολουθούν να στέλνουν στις παλιές σας διευθύνσεις, συμπεριλαμβανομένων των email επαναφοράς κωδικού πρόσβασης.

Προστασία:

• ενεργοποιήστε την αυτόματη ανανέωση και διατηρήστε ενημερωμένα τα στοιχεία πληρωμής·
• καταγράψτε όλα τα domains σε μια λίστα, ακόμη και αυτά που έχετε "μόνο για σιγουριά"·
• μην ακυρώνετε απλώς ένα παλιό domain που κάποτε χρησιμοποιούσατε για email. Κρατήστε το και ασφαλίστε το ως domain χωρίς email (μάθημα 4.1).

Κατάληψη: ο λογαριασμός σας στον registrar και ο κωδικός μεταφοράς

Ο ταχύτερος δρόμος προς ένα domain περνάει μέσα από τον λογαριασμό στον registrar σας. Όποιος συνδεθεί εκεί, μπορεί να αλλάξει τους nameservers και έτσι να ανακατευθύνει αμέσως τον ιστότοπο και το email σας. Αντιμετωπίστε λοιπόν αυτόν τον λογαριασμό ως έναν από τους πιο σημαντικούς σας:

• ενεργοποιήστε τον έλεγχο ταυτότητας δύο παραγόντων (ενότητα 2)·
• μόνο άτομα με δικό τους λογαριασμό και τα δικαιώματα που χρειάζονται (μάθημα 7.1). Ο κατασκευαστής του ιστότοπού σας θα πρέπει κατά προτίμηση να έχει πρόσβαση μόνο στο DNS, όχι σε ολόκληρο τον λογαριασμό·
• προσέξτε για phishing σχετικά με το domain σας. Το "Το domain σας λήγει σήμερα, πληρώστε εδώ" ή "επιβεβαιώστε τα στοιχεία σας στον ICANN" είναι γνωστά κόλπα. Μην ακολουθείτε ποτέ τον σύνδεσμο, αλλά συνδεθείτε μόνοι σας στον registrar σας.

Ένας κωδικός μεταφοράς (επίσης κωδικός εξουσιοδότησης, κωδικός EPP ή token) χρειάζεται για να μεταφερθεί ένα domain σε άλλον registrar. Αντιμετωπίστε αυτόν τον κωδικό σαν κλειδί: ζητήστε τον μόνο όταν μεταφέρετε εσείς οι ίδιοι, μοιραστείτε τον μόνο με τον νέο registrar, και να είστε αμέσως σε επιφυλακή αν λάβετε επιβεβαίωση μεταφοράς που δεν περιμένατε.

Επιπλέον υπάρχουν κλειδώματα:

• Ένα registrar-lock θέτει την κατάσταση clientTransferProhibited (συχνά μαζί με clientDeleteProhibited και clientUpdateProhibited). Το registry τότε αρνείται τη μεταφορά μέχρι εσείς ή ο registrar σας να αφαιρέσετε το κλείδωμα. Στο .com και σε παρόμοιες επεκτάσεις αυτό είναι συνηθισμένο· ο ICANN το συνιστά.
• Ένα registry lock πηγαίνει ένα βήμα παραπέρα: οι αλλαγές εφαρμόζονται στο ίδιο το registry μόνο μετά από επιπλέον, χειροκίνητο έλεγχο στον κάτοχο. Για το .nl αυτή η υπηρεσία ονομάζεται .nl Control. Προορίζεται κυρίως για μεγάλα brands και κοστίζει επιπλέον· για τις περισσότερες μικρές επιχειρήσεις αρκούν το 2FA και ένας καλά διαχειριζόμενος λογαριασμός registrar.

Μετέωρες εγγραφές και κατάληψη subdomain

Αυτός είναι ο λιγότερο γνωστός κίνδυνος και ο πιο ύπουλος. Ένα παράδειγμα από την πράξη (ανωνυμοποιημένο):

Ο Φούρνος Example είχε από το 2021 έως το 2024 ένα ηλεκτρονικό κατάστημα στο winkel.example.com, με μια εγγραφή CNAME προς το bakkerij-example.webwinkelplatform.example, και το 2024 ο φούρνος άλλαξε πλατφόρμα και ακύρωσε τη συνδρομή. Η εγγραφή CNAME παρέμεινε. Έναν χρόνο αργότερα, κάποιος άλλος δημιούργησε στην ίδια πλατφόρμα ένα κατάστημα με το όνομα bakkerij-example που είχε ελευθερωθεί. Από τότε, το winkel.example.com εμφάνιζε ένα ψεύτικο κατάστημα, με έγκυρο πιστοποιητικό και στο όνομα του φούρνου.

Μια μετέωρη εγγραφή (dangling DNS) είναι μια εγγραφή DNS που δείχνει σε κάτι που δεν διαχειρίζεστε πλέον: μια ακυρωμένη υπηρεσία, έναν διαγραμμένο cloud server, μια διεύθυνση IP που έχει πλέον εκχωρηθεί σε κάποιον άλλο. Αν κάποιος άλλος μπορεί να διεκδικήσει αυτόν τον στόχο, τότε αυτό ονομάζεται κατάληψη subdomain (subdomain takeover). Ο επιτιθέμενος αποκτά ένα subdomain δικό σας, και μπορεί έτσι να φιλοξενεί σελίδες phishing που φαίνονται απολύτως αληθινές, μερικές φορές ακόμη και να διαβάζει cookies του κύριου domain σας.

Προστασία:

1. Ακύρωση = πρώτα αφαιρείτε την εγγραφή DNS, μετά ακυρώνετε την υπηρεσία. Συμπεριλάβετε αυτό στη διαδικασία αποχώρησης από υπηρεσίες.
2. Ελέγχετε ολόκληρη τη ζώνη DNS σας μία φορά τον χρόνο. Αν δεν γνωρίζετε σε τι χρησιμεύει μια εγγραφή, διερευνήστε το. Πριν αφαιρέσετε κάτι, κρατήστε αντίγραφο ασφαλείας της ζώνης.
3. Να είστε ιδιαίτερα προσεκτικοί με wildcards (*.example.com) που δείχνουν σε εξωτερική υπηρεσία.

DNSSEC και CAA: επιπλέον κλειδαριές

Το DNSSEC τοποθετεί ψηφιακή υπογραφή στις απαντήσεις του DNS σας, ώστε ένας resolver να μπορεί να ελέγξει ότι είναι γνήσιες και δεν έχουν παραποιηθεί στη διαδρομή. Για το .nl είναι ενεργοποιημένο εξ ορισμού σε πολλούς παρόχους. Προστατεύει από παραποιημένες απαντήσεις DNS, όχι από κατάληψη λογαριασμού registrar. Εξήγηση σε απλή γλώσσα υπάρχει στο μάθημα 8.1 του μαθήματος DNS.

Το CAA είναι μια εγγραφή DNS στην οποία ορίζετε ποιες αρχές πιστοποίησης επιτρέπεται να εκδίδουν πιστοποιητικό για το domain σας (RFC 8659). Χωρίς CAA, κάθε αξιόπιστος εκδότης μπορεί να το κάνει αυτό. Με CAA δυσκολεύετε έναν επιτιθέμενο να αποκτήσει πιστοποιητικό για το όνομά σας από αλλού. Αν ορίσετε CAA, συμπεριλάβετε τον εκδότη που χρησιμοποιεί ο πάροχος φιλοξενίας σας, διαφορετικά δεν θα μπορεί πλέον να ανανεωθεί το δικό σας πιστοποιητικό. Περισσότερα στο μάθημα 5.2 του μαθήματος DNS.

Στην πράξη: έτσι μοιάζει

Την κατάσταση και τη λήξη του domain σας τις βλέπετε στα δημόσια στοιχεία καταχώρισης (RDAP, ο διάδοχος του whois). Ένα domain .com δείχνει για παράδειγμα:

Κατάσταση:  client delete prohibited, client transfer prohibited, client update prohibited
Εγγραφή:    2019-03-01
Λήγει:      2027-03-01
DNSSEC:     ναι

Δεν δείχνει κάθε registry ημερομηνία λήξης: η SIDN δεν την εμφανίζει για το .nl στο RDAP. Τότε κοιτάτε στον registrar σας. Στο WebOké, η λήξη, η αυτόματη ανανέωση, η καραντίνα, το DNSSEC και το CAA βρίσκονται μαζί στην κάρτα Domain / Υγεία Email στη σελίδα του domain στο Το WebOké μου, και στις ρυθμίσεις DNS υπάρχει ένα κουμπί για να δημιουργήσετε αντίγραφο ασφαλείας της ζώνης σας. Σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.

Σύνοψη

• Όποιος διαχειρίζεται το domain σας, λαμβάνει το email σας και μπορεί έτσι να επαναφέρει τον κωδικό πρόσβασής σας παντού.
• Διατηρήστε σωστά τα στοιχεία κατόχου, χρησιμοποιήστε διεύθυνση κατόχου εκτός του ίδιου του domain και ενεργοποιήστε την αυτόματη ανανέωση.
• Προστατέψτε τον λογαριασμό σας στον registrar με 2FA και ξεχωριστούς λογαριασμούς· αντιμετωπίστε τον κωδικό μεταφοράς σαν κλειδί· ένα registrar-lock μπλοκάρει ανεπιθύμητες μεταφορές.
• Κατά την ακύρωση μιας υπηρεσίας, αφαιρέστε πρώτα την εγγραφή DNS· ελέγχετε τη ζώνη σας ετησίως για μετέωρες εγγραφές.
• Το DNSSEC προστατεύει από παραποιημένες απαντήσεις DNS, το CAA περιορίζει ποιος μπορεί να εκδώσει πιστοποιητικά για το domain σας.

Κουίζ

Άσκηση

Άσκηση A4.3: Έλεγχος της προστασίας του domain σας. Εισαγάγετε το δικό σας domain (αν δεν έχετε, χρησιμοποιήστε το sidn.nl). Το πρόγραμμα ανακτά την κατάσταση και την ημερομηνία λήξης από το registry (RDAP) και ελέγχει το DNSSEC και το CAA. Λαμβάνετε για κάθε σημείο πράσινο, πορτοκαλί ή κόκκινο, ή μια ενημερωτική ειδοποίηση.

Άσκηση D4.3: Λίστα domains και έλεγχος ζώνης. Δημιουργήστε μια λίστα με όλα τα domains σας με τον registrar, τον κάτοχο, τη λήξη και το ποιος έχει πρόσβαση. Στη συνέχεια, ελέγξτε τη ζώνη DNS του κύριου domain σας και διερευνήστε για κάθε εγγραφή σε τι χρησιμεύει.

Για περαιτέρω μελέτη

Τα βήματα στα άρθρα του WebOké ισχύουν για το περιβάλλον του WebOké· σε άλλους παρόχους λειτουργεί με παρόμοιο τρόπο.

• Μηνύματα email από την ICANN ή το registry σχετικά με το domain σας: πραγματικά ή ψεύτικα, και τι πρέπει να κάνετε;
• Εγχειρίδιο WebOké 5.17: Υγεία domain και email: έλεγχος και επιδιόρθωση
• Δημιουργία και επαναφορά backup του DNS σας
• Δημόσια υγεία domain: https://www.weboke.gr/ygeia-domain
• Μάθημα DNS, μαθήματα 1.3 (registry, registrar και κάτοχος), 5.2 (CAA) και 8.1 (DNSSEC): https://www.weboke.gr/dns-cursus
• ICANN, εξήγηση κωδικών κατάστασης EPP (στα αγγλικά): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, ακύρωση του domain σας και καραντίνα: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, κατάληψη subdomain (στα αγγλικά): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers