A domain nevének védelme

Modul 4: E-mail, weboldal és domain · Olvasási idő: 11 perc

Tanulási cél: E lecke után képes lesz megvédeni domain nevét a lejárattól, az eltérítéstől és a hibás DNS-rekordoktól, valamint ellenőrizni saját domainje állapotát, lejáratát, DNSSEC és CAA beállítását.
Kulcsfogalmak: regisztrátor, jogosult (houder), lejárat, karantén, költöztetési kód, regisztrátor-zár (registrar-lock), registry lock, 2FA a regisztrátornál, DNSSEC, CAA, lebegő rekord (dangling DNS), aldomain-eltérítés

Akié a domain, azé a levelezése is

A domain neve apró részletnek tűnik: egy éves számla és néhány beállítás. Pedig szinte minden ehhez kapcsolódik. A weboldala, az e-mail címei, és ezáltal az összes többi fiókjának "elfelejtett jelszó" gombja is: a könyvelőprogramja, a bankja, a webáruház-platformja, a közösségi média fiókjai. Aki megszerzi az irányítást a example.com felett, az fogadhatja a info@example.com címre érkező leveleket, és ezzel bárhol újra beállíthatja a jelszavát.

Egy domain háromféleképpen veszhet el vagy kerülhet rossz kezekbe:

1. lejár, és valaki más regisztrálja;
2. valaki eltéríti a regisztrátornál lévő fiókján keresztül, vagy egy hamisított költöztetéssel;
3. egy elfelejtett DNS-rekord olyasvalamire mutat, amit már nem Ön kezel.

A DNS-tanfolyamon (1.3. lecke) megtanulta, ki miért felel: a registry kezeli a kiterjesztést (a .nl esetében ez az SIDN), a regisztrátor végzi a regisztrációt az Ön nevében, Ön pedig a jogosult (houder). Ebben a leckében egy támadó szemszögéből nézzük meg ezt a láncot.

Stimmel a jogosult adata?

A jogosult a jogi tulajdonos. Ha ott a webfejlesztője, egy volt alkalmazott vagy egy már nem létező cég szerepel, akkor egy vita vagy csőd esetén nehezen tudja majd bizonyítani, hogy a domain az Öné. Ezért ellenőrizze:

• az Ön vállalkozása szerepel-e jogosultként, a megfelelő névvel?
• elérhető-e a jogosult e-mail címe, és nem magán a domainen van-e? Ha a example.com lejár, a figyelmeztetés talán már nem érkezik meg az info@example.com címre. Használjon egy másodlagos címet, például egy másik domainen.
• válaszol-e a valódi felkérésekre, hogy erősítse meg a címét? Sok kiterjesztés esetében az ICANN megköveteli, hogy a jogosult e-mail címét megerősítsék. Ha ezt elmulasztja, a domain felfüggeszthető.

Lejárat: a legunalmasabb és leggyakoribb kockázat

A domainek leggyakrabban egy lejárt bankkártya, egy távozott kollégának küldött számla vagy egy váltás miatt vesznek el, amikor senki nem gondolt a domainre. Ami ezután történik, kiterjesztésenként eltér:

Ezután valaki más regisztrálhatja. Léteznek szolgáltatók, amelyek automatikusan regisztrálják a felszabaduló domaineket, pont azért, mert még van rajtuk forgalom. Ha az új tulajdonos egy catch-all beállítást tesz a levelezésre, akkor megkapja mindazt, amit az Ön ügyfelei és beszállítói még a régi címeire küldenek, beleértve a jelszó-visszaállító leveleket is.

Védekezés:

• kapcsolja be az automatikus megújítást, és tartsa naprakészen a fizetési adatokat;
• vezessen listát az összes domainjéről, azokról is, amelyeket "csak a biztonság kedvéért" tart fenn;
• egy régi domaint, amelyet valaha levelezésre használt, ne mondjon fel csak úgy. Tartsa meg, és védje nem levelező domainként (4.1. lecke).

Eltérítés: a regisztrátori fiókja és a költöztetési kód

A leggyorsabb út egy domainhez a regisztrátornál lévő fiókon keresztül vezet. Aki oda be tud jelentkezni, megváltoztathatja a névszervereket, és ezzel egyetlen lépésben átirányíthatja a weboldalát és a levelezését. Kezelje tehát ezt a fiókot az egyik legfontosabbként:

• kapcsolja be a kétlépcsős azonosítást (2. modul);
• csak olyan személyek férjenek hozzá saját fiókkal, akiknek szükségük van rá, és csak a szükséges jogosultságokkal (7.1. lecke). A webfejlesztője lehetőleg csak a DNS-hez kapjon hozzáférést, ne a teljes fiókhoz;
• figyeljen a domainnel kapcsolatos adathalászatra. "A domainje ma lejár, fizessen itt" vagy "erősítse meg adatait az ICANN-nál" egy ismert trükk. Soha ne a levélben lévő linken keresztül intézze, hanem saját maga jelentkezzen be a regisztrátornál.

A költöztetési kód (más néven authorizációs kód, EPP-kód vagy token) szükséges ahhoz, hogy egy domaint másik regisztrátorhoz vigyen át. Kezelje ezt a kódot kulcsként: csak akkor kérje le, ha Ön maga költözik, csak az új regisztrátorral ossza meg, és azonnal legyen gyanakvó, ha olyan költöztetési megerősítést kap, amire nem számított.

Ezenkívül léteznek zárolások is:

• A regisztrátor-zár (registrar-lock) beállítja a clientTransferProhibited státuszt (gyakran a clientDeleteProhibited és clientUpdateProhibited státuszokkal együtt). A registry ekkor elutasítja a költöztetést, amíg Ön vagy a regisztrátora el nem távolítja a zárat. A .com és hasonló kiterjesztéseknél ez általános gyakorlat; az ICANN is ajánlja.
• A registry lock ennél tovább megy: a módosításokat magánál a registry-nél csak egy további, kézi ellenőrzés után hajtják végre a jogosultnál. A .nl esetében ezt a szolgáltatást .nl Control-nak hívják. Elsősorban nagy márkáknak szól, és külön költséggel jár; a legtöbb kisvállalkozás számára a 2FA és egy jól kezelt regisztrátori fiók elegendő.

Lebegő rekordok és aldomain-eltérítés

Ez a legkevésbé ismert és legalattomosabb kockázat. Egy gyakorlati példa (anonimizálva):

Az Example Pékség 2021-től 2024-ig üzemeltetett egy webáruházat a winkel.example.com címen, egy CNAME-rekorddal, amely a bakkerij-example.webwinkelplatform.example címre mutatott, majd 2024-ben a pékség váltott, és felmondta az előfizetést. A CNAME-rekord azonban megmaradt. Egy évvel később valaki más ugyanazon a platformon létrehozott egy boltot a felszabadult bakkerij-example néven. Ettől a pillanattól kezdve a winkel.example.com egy hamis boltot mutatott, érvényes tanúsítvánnyal, a pékség neve alatt.

A lebegő rekord (dangling DNS) egy olyan DNS-rekord, amely olyasvalamire mutat, amit már nem Ön kezel: egy felmondott szolgáltatásra, egy törölt felhőszerverre, egy IP-címre, amelyet időközben másnak osztottak ki. Ha valaki más igényt tarthat erre a célpontra, azt aldomain-eltérítésnek (subdomain takeover) hívjuk. A támadó ekkor megkapja az Ön egyik aldomainjét, és ezzel phishing oldalakat üzemeltethet, amelyek teljesen valódinak tűnnek, néha még az Ön fődomainjéhez tartozó sütiket is kiolvashatja.

Védekezés:

1. Felmondáskor: először a DNS-rekordot távolítsa el, csak utána mondja fel a szolgáltatást. Illessze ezt be a szolgáltatások leépítési eljárásába.
2. Évente egyszer nézze át a teljes DNS-zónáját. Ha nem tudja, mire való egy rekord, derítse ki. Mielőtt bármit eltávolít, készítsen biztonsági mentést a zónáról.
3. Legyen különösen óvatos a wildcard rekordokkal (*.example.com), amelyek külső szolgáltatásra mutatnak.

DNSSEC és CAA: további zárak

A DNSSEC digitális aláírást helyez a DNS-válaszokra, így egy resolver ellenőrizni tudja, hogy azok valódiak, és útközben nem hamisították meg őket. A .nl esetében sok szolgáltatónál ez alapértelmezetten be van kapcsolva. Hamisított DNS-válaszok ellen véd, de egy átvett regisztrátori fiók ellen nem. Közérthető magyarázatot a DNS-tanfolyam 8.1. leckéjében talál.

A CAA egy DNS-rekord, amelyben megadja, mely tanúsítványkiadók (certificate authority) állíthatnak ki tanúsítványt az Ön domainjéhez (RFC 8659). CAA nélkül bármely megbízható kiadó kiállíthat ilyet. CAA beállításával megnehezíti egy támadó dolgát abban, hogy máshol szerezzen tanúsítványt az Ön nevére. Ha beállítja a CAA-t, vegye fel abba azt a kiadót is, amelyet a tárhelyszolgáltatója használ, különben a saját tanúsítványa nem lesz meghosszabbítható. Bővebben a DNS-tanfolyam 5.2. leckéjében.

A gyakorlatban: így néz ki

A domainje állapotát és lejáratát a nyilvános regisztrációs adatokban (RDAP, a whois utódja) láthatja. Egy .com domain például ezt mutatja:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Regisztráció: 2019-03-01
Lejár:   2027-03-01
DNSSEC:     igen

Nem minden registry mutat lejárati dátumot: az SIDN a .nl esetében ezt nem jeleníti meg az RDAP-ban. Ebben az esetben a regisztrátorát kell megnéznie. A WebOké-nál a lejárat, az automatikus megújítás, a karantén, a DNSSEC és a CAA egy helyen, a Domain név / E-mail állapota kártyán találhatók a domain oldalon a Fiókom felületen, a DNS-beállításoknál pedig egy gomb segítségével készíthet biztonsági mentést a zónájáról. Más szolgáltatóknál ez hasonlóan működik.

Összefoglalás

• Aki az Ön domainjét kezeli, megkapja a levelezését, és ezzel bárhol visszaállíthatja a jelszavát.
• Tartsa pontosan a jogosulti adatokat, használjon a domainen kívüli jogosulti e-mail címet, és kapcsolja be az automatikus megújítást.
• Védje a regisztrátori fiókját 2FA-val és saját fiókokkal; kezelje a költöztetési kódot kulcsként; egy regisztrátor-zár blokkolja a nemkívánatos költöztetéseket.
• Egy szolgáltatás felmondásakor először a DNS-rekordot távolítsa el; évente nézze át a zónáját a lebegő rekordok ellen.
• A DNSSEC a hamisított DNS-válaszok ellen véd, a CAA pedig korlátozza, ki állíthat ki tanúsítványt az Ön domainjéhez.

Kvíz

Feladat

A4.3 feladat: A domén védelmének ellenőrzése. Adja meg saját domain nevét (ha nincs, használja a sidn.nl címet). A program lekéri a státuszt és a lejárati dátumot a registry-től (RDAP), és ellenőrzi a DNSSEC-et és a CAA-t. Pontonként zöld, narancssárga vagy piros jelzést, vagy egy informatív üzenetet kap.

D4.3 feladat: Domainlista és zónaellenőrzés. Készítsen listát az összes domainjéről a regisztrátorral, a jogosulttal, a lejárattal és azzal, hogy ki rendelkezik hozzáféréssel. Ezután nézze át a fődomainje DNS-zónáját, és derítse ki minden rekordnál, mire szolgál.

Továbbolvasás

A WebOké-cikkekben leírt lépések a WebOké környezetére vonatkoznak; más szolgáltatóknál ez hasonlóan működik.

• Az ICANN vagy a registry által küldött e-mailek a domainnel kapcsolatban: valódiak vagy hamisak, és mi a teendő?
• WebOké útmutató 5.17: Domain és e-mail állapota: ellenőrzés és javítás
• A DNS biztonsági mentése és visszaállítása
• Nyilvános domain-állapot: https://www.weboke.hu/domain-allapot
• DNS-tanfolyam, 1.3. lecke (registry, regisztrátor és jogosult), 5.2. lecke (CAA) és 8.1. lecke (DNSSEC): https://www.weboke.hu/dns-cursus
• ICANN, az EPP-státuszkódok magyarázata (angol nyelven): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, domain név megszüntetése és karantén: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, aldomain-eltérítés (angol nyelven): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers