Apsaugokite savo domeno vardą

4 modulis: El. paštas, svetainė ir domenas · Skaitymo trukmė: 11 min.

Mokymosi tikslas: Po šios pamokos galėsite apsaugoti savo domeno vardą nuo galiojimo pabaigos, užgrobimo ir klaidingų DNS įrašų, taip pat patikrinti savo domeno statusą, galiojimo pabaigos datą, DNSSEC ir CAA nustatymus.
Pagrindinės sąvokos: registratorius, turėtojas, pasibaigęs galiojimas, karantinas, perkėlimo kodas, registratoriaus užraktas (registrar lock), registro užraktas (registry lock), 2FA registratoriaus paskyroje, DNSSEC, CAA, pakibęs įrašas (dangling DNS), subdomeno užgrobimas

Kas valdo Jūsų domeną, tas valdo ir Jūsų paštą

Jūsų domeno vardas gali atrodyti kaip nereikšminga smulkmena: metinė sąskaita ir keli nustatymai. Tačiau nuo jo priklauso beveik viskas. Jūsų svetainė, Jūsų el. pašto adresai, o kartu su jais ir mygtukas „pamiršau slaptažodį" visose kitose Jūsų paskyrose: buhalterinės apskaitos programoje, banke, elektroninės parduotuvės platformoje, socialiniuose tinkluose. Kas perima example.com kontrolę, gali gauti laiškus, skirtus info@example.com, ir taip visur iš naujo nustatyti Jūsų slaptažodį.

Domeną galima prarasti arba juo piktnaudžiauti trimis būdais:

1. jo galiojimas baigiasi ir jį užregistruoja kažkas kitas;
2. kažkas jį užgrobia per Jūsų paskyrą pas registratorių arba suklastotą perkėlimą;
3. pamirštas DNS įrašas nurodo į ką nors, ko Jūs nebevaldote.

DNS kurse (1.3 pamoka) sužinojote, kas ką tvarko: registras administruoja plėtinį (SIDN domenui .nl), registratorius registruoja domeną Jūsų vardu, o Jūs esate turėtojas. Šioje pamokoje pažvelgsime į tą grandinę užpuoliko akimis.

Ar turėtojo duomenys teisingi?

Turėtojas yra teisinis savininkas. Jei ten nurodytas Jūsų svetainės kūrėjas, buvęs darbuotojas ar jau neegzistuojanti įmonė, konflikto ar bankroto atveju Jums bus sunku įrodyti, kad domenas priklauso Jums. Todėl patikrinkite:

• ar kaip turėtojas registruota Jūsų įmonė, su teisingu pavadinimu?
• ar turėtojo el. pašto adresas pasiekiamas ir nėra paties domeno adresu? Jei example.com galiojimas baigiasi, įspėjimas, siųstas į info@example.com, gali Jūsų nebepasiekti. Naudokite antrą adresą, pavyzdžiui, kitame domene;
• ar atsakote į tikrus prašymus patvirtinti savo adresą? Daugeliui plėtinių ICANN reikalauja patvirtinti turėtojo el. pašto adresą. To nepadarius, domeno veikimas gali būti sustabdytas.

Galiojimo pabaiga: nuobodžiausia ir dažniausia rizika

Domenai dažniausiai prarandami dėl pasibaigusios kredito kortelės galiojimo, sąskaitos, atėjusios jau išėjusiam kolegai, arba perėjimo pas kitą tiekėją, kai niekas nepagalvoja apie domeną. Kas vyksta toliau, priklauso nuo plėtinio:

Po to domeną gali užregistruoti kažkas kitas. Yra įmonių, kurios automatiškai registruoja atlaisvėjusius domenus būtent todėl, kad juose dar yra srauto. Jei naujasis savininkas nustato pašto catch-all, jis gaus viską, ką Jūsų klientai ir tiekėjai vis dar siunčia Jūsų senais adresais, įskaitant slaptažodžių atkūrimo laiškus.

Apsauga:

• įjunkite automatinį pratęsimą ir palaikykite atnaujintus mokėjimo duomenis;
• surašykite visus domenus į sąrašą, taip pat tuos, kuriuos turite „tiesiog atsargai";
• senai naudoto pašto domeno neatsisakykite be reikalo. Pasilikite jį ir apsaugokite kaip pašto nenaudojantį domeną (4.1 pamoka).

Užgrobimas: Jūsų registratoriaus paskyra ir perkėlimo kodas

Greičiausias kelias prie domeno veda per paskyrą pas Jūsų registratorių. Kas prie jos prisijungia, gali pakeisti vardų serverius ir taip iškart nukreipti kitur Jūsų svetainę ir paštą. Todėl su šia paskyra elkitės kaip su viena svarbiausių:

• įjunkite dviejų veiksnių autentifikavimą (2 modulis);
• leiskite prieiti tik žmonėms su savo paskyra ir tik reikalingomis teisėmis (7.1 pamoka). Jūsų svetainės kūrėjui geriau suteikti prieigą prie DNS, o ne prie visos paskyros;
• saugokitės sukčiavimo (phishing) laiškų, susijusių su Jūsų domenu. „Jūsų domeno galiojimas baigiasi šiandien, sumokėkite čia" arba „patvirtinkite savo duomenis ICANN" yra žinomos gudrybės. Niekada nesinaudokite nuoroda, o prisijunkite tiesiogiai pas savo registratorių.

Perkėlimo kodas (dar vadinamas autorizacijos kodu, EPP kodu arba token) reikalingas domenui perkelti pas kitą registratorių. Vertinkite šį kodą kaip raktą: prašykite jo tik tada, kai patys perkeliate domeną, duokite jį tik naujajam registratoriui ir būkite budrūs, jei gaunate perkėlimo patvirtinimą, kurio nesitikėjote.

Be to, yra ir užraktai:

• Registratoriaus užraktas (registrar lock) nustato statusą clientTransferProhibited (dažnai kartu su clientDeleteProhibited ir clientUpdateProhibited). Tuomet registras atsisako vykdyti perkėlimą, kol Jūs arba Jūsų registratorius nuims užraktą. Domenams .com ir panašiems plėtiniams tai įprasta praktika; ICANN tai rekomenduoja.
• Registro užraktas (registry lock) veikia griežčiau: pakeitimai pačiame registre įsigalioja tik po papildomo, rankinio patikrinimo su turėtoju. Domenui .nl ši paslauga vadinasi .nl Control. Ji skirta visų pirma dideliems prekių ženklams ir kainuoja papildomai; daugumai mažų įmonių pakanka 2FA ir gerai valdomos registratoriaus paskyros.

Pakibę įrašai ir subdomenų užgrobimas

Tai mažiausiai žinoma, bet klastingiausia rizika. Praktinis pavyzdys (anonimizuotas):

Kepyklėlė „Example" nuo 2021 iki 2024 m. turėjo internetinę parduotuvę adresu winkel.example.com, su CNAME įrašu, nukreipiančiu į bakkerij-example.webwinkelplatform.example, o 2024 m. kepyklėlė pakeitė platformą ir atsisakė prenumeratos. CNAME įrašas liko. Po metų kažkas kitas tame pačiame platformoje sukūrė parduotuvę atlaisvėjusiu pavadinimu bakkerij-example. Nuo to momento winkel.example.com rodė netikrą parduotuvę, su galiojančiu sertifikatu ir kepyklėlės vardu.

Pakibęs įrašas (dangling DNS) tai DNS įrašas, kuris nurodo į ką nors, ko Jūs nebevaldote: atsisakytą paslaugą, ištrintą debesijos serverį, IP adresą, kuris jau priskirtas kitam. Jei kažkas kitas gali pasisavinti tą tikslą, tai vadinama subdomeno užgrobimu (subdomain takeover). Užpuolikas gauna Jūsų subdomeną ir gali jame talpinti sukčiavimo (phishing) puslapius, atrodančius visiškai tikrus, kartais net skaityti pagrindinio domeno slapukus (cookies).

Apsauga:

1. Atsisakant paslaugos, pirmiausia pašalinkite DNS įrašą, tik tada nutraukite paslaugą. Įtraukite tai į savo paslaugų atsisakymo procedūrą.
2. Kartą per metus peržiūrėkite visą savo DNS zoną. Jei nežinote, kam skirtas koks nors įrašas, išsiaiškinkite. Prieš ką nors pašalindami, pasidarykite zonos atsarginę kopiją.
3. Būkite ypač atsargūs su pakaitos simboliais (wildcards) (*.example.com), kurie nurodo į išorinę paslaugą.

DNSSEC ir CAA: papildomos spynos

DNSSEC prideda skaitmeninį parašą prie Jūsų DNS atsakymų, kad resolveris galėtų patikrinti, ar jie tikri ir ar jie nebuvo suklastoti kelyje. Domenui .nl tai daugelio teikėjų numatytai įjungta. Tai apsaugo nuo suklastotų DNS atsakymų, bet ne nuo perimtos registratoriaus paskyros. Paprastas paaiškinimas pateiktas DNS kurso 8.1 pamokoje.

CAA tai DNS įrašas, kuriame nurodote, kurios sertifikavimo institucijos gali išduoti sertifikatą Jūsų domenui (RFC 8659). Be CAA bet kuris patikimas išdavėjas gali tai padaryti. Su CAA užpuolikui tampa sunkiau kitur gauti sertifikatą Jūsų vardu. Jei nustatote CAA, būtinai įtraukite ir tą išdavėją, kurį naudoja Jūsų talpinimo paslaugų teikėjas, kitaip Jūsų paties sertifikato nebus galima atnaujinti. Daugiau DNS kurso 5.2 pamokoje.

Praktikoje: taip tai atrodo

Jūsų domeno statusą ir galiojimo pabaigos datą galite pamatyti viešuose registracijos duomenyse (RDAP, whois įpėdinis). Pavyzdžiui, .com domenas rodo:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registratsioon: 2019-03-01
Galioja iki:   2027-03-01
DNSSEC:     taip

Ne kiekvienas registras rodo galiojimo pabaigos datą: SIDN jos nerodo RDAP sistemoje domenui .nl. Tokiu atveju pasitikrinkite pas savo registratorių. WebOké sistemoje galiojimo pabaiga, automatinis pratęsimas, karantinas, DNSSEC ir CAA kartu rodomi kortelėje „Domenas / El. pašto būklė" domeno puslapyje Mano WebOké, o DNS nustatymuose yra mygtukas, kuriuo galima pasidaryti savo zonos atsarginę kopiją. Kitų teikėjų sistemose veikimas panašus.

Santrauka

• Kas valdo Jūsų domeną, gauna Jūsų paštą ir gali juo visur atkurti Jūsų slaptažodį.
• Palaikykite teisingus turėtojo duomenis, naudokite turėtojo adresą ne paties domeno adresu ir įjunkite automatinį pratęsimą.
• Apsaugokite registratoriaus paskyrą su 2FA ir atskiromis paskyromis; vertinkite perkėlimo kodą kaip raktą; registratoriaus užraktas blokuoja nepageidaujamus perkėlimus.
• Atsisakydami paslaugos, pirmiausia pašalinkite DNS įrašą; kasmet peržiūrėkite zoną, ieškodami pakibusių įrašų.
• DNSSEC apsaugo nuo suklastotų DNS atsakymų, CAA apriboja, kas gali išduoti sertifikatus Jūsų domenui.

Testas (quiz)

Užduotis

Užduotis A4.3: Jūsų domeno apsaugos patikrinimas. Įveskite savo domeno vardą (jei jo neturite, naudokite sidn.nl). Programa paims statusą ir galiojimo pabaigos datą iš registro (RDAP) ir patikrins DNSSEC bei CAA. Už kiekvieną punktą gausite žalią, oranžinę ar raudoną spalvą, arba informacinį pranešimą.

Užduotis D4.3: Domenų sąrašas ir zonos patikra. Sudarykite visų savo domenų sąrašą su registratoriumi, turėtoju, galiojimo pabaiga ir tuo, kas turi prieigą. Tada peržiūrėkite savo pagrindinio domeno DNS zoną ir kiekvienam įrašui išsiaiškinkite, kam jis skirtas.

Skaitykite daugiau

Veiksmai WebOké straipsniuose galioja WebOké aplinkai; kitų teikėjų atveju veikimas panašus.

• ICANN arba registro laiškai apie Jūsų domeną: tikri ar netikri, ir ką reikėtų daryti?
• WebOké vadovas 5.17: Domeno ir el. pašto būklė: tikrinimas ir sutvarkymas
• DNS atsarginės kopijos kūrimas ir atkūrimas
• Vieša domeno būklės patikra: https://www.weboke.lt/domeno-bukle
• DNS kursas, pamokos 1.3 (registras, registratorius ir turėtojas), 5.2 (CAA) ir 8.1 (DNSSEC): https://www.weboke.lt/dns-cursus
• ICANN, EPP statuso kodai paaiškinti (anglų k.): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, Jūsų domeno vardo panaikinimas ir karantinas: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, subdomeno užgrobimas (anglų k.): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers