Ochrana vašej domény

Modul 4: E-mail, webová stránka a doména · Čas čítania: 11 minút

Cieľ lekcie: Po tejto lekcii dokážete ochrániť svoju doménu pred vypršaním, únosom a nesprávnymi DNS záznamami a skontrolovať stav, vypršanie, DNSSEC a CAA vašej vlastnej domény.
Kľúčové pojmy: registrátor, držiteľ, vypršanie, karanténa, prenosový kód, registrar-lock, registry lock, 2FA u registrátora, DNSSEC, CAA, visiaci záznam (dangling DNS), únos subdomény

Kto má vašu doménu, má vašu poštu

Vaša doména sa môže zdať ako malá súčasť podnikania: ročná faktúra a pár nastavení. V skutočnosti na nej závisí takmer všetko. Vaša webová stránka, vaše e-mailové adresy, a tým aj tlačidlo „zabudnuté heslo“ pre všetky vaše ostatné účty: účtovný program, banku, platformu e-shopu, sociálne siete. Kto získa kontrolu nad doménou example.com, môže prijímať poštu pre info@example.com a tým si kdekoľvek znovu nastaviť vaše heslo.

Doménu môžete stratiť alebo môže byť zneužitá tromi spôsobmi:

1. vyprší a zaregistruje ju niekto iný;
2. niekto ju unesie cez váš účet u registrátora alebo cez falošný prenos;
3. zabudnutý DNS záznam ukazuje na niečo, čo už nespravujete.

V DNS kurze (lekcia 1.3) ste sa naučili, kto čo zabezpečuje: registry spravuje koncovku (SIDN pre .nl), registrátor registruje v mene vás a vy ste držiteľ. V tejto lekcii sa na tento reťazec pozrieme očami útočníka.

Sedí údaj o držiteľovi?

Držiteľ je právny vlastník. Ak je tam uvedený váš tvorca webu, bývalý zamestnanec alebo firma, ktorá už neexistuje, pri spore alebo konkurze ťažko preukážete, že doména patrí vám. Preto skontrolujte:

• je ako držiteľ registrovaná vaša firma, so správnym názvom?
• je e-mailová adresa držiteľa dostupná a nie je na samotnej doméne? Ak example.com vyprší, upozornenie na info@example.com sa už možno nedoručí. Použite druhú adresu, napríklad na inej doméne.
• reagujete na skutočné žiadosti o potvrdenie vašej adresy? Pre mnohé koncovky vyžaduje ICANN potvrdenie e-mailovej adresy držiteľa. Ak tak neurobíte, doména môže byť pozastavená.

Vypršanie: najnudnejšie a najčastejšie riziko

Domény sa najčastejšie strácajú kvôli vypršanej kreditnej karte, faktúre, ktorá prišla bývalému kolegovi, alebo prechodu na iné riešenie, pri ktorom na doménu nikto nemyslel. Čo sa stane potom, závisí od koncovky:

Potom ju môže zaregistrovať ktokoľvek iný. Existujú subjekty, ktoré automaticky registrujú uvoľnené domény práve preto, že na nich stále prebieha prevádzka. Ak nový vlastník nastaví na poštu catch-all, dostane všetko, čo vaši zákazníci a dodávatelia ešte posielajú na vaše staré adresy, vrátane e-mailov na obnovu hesla.

Ochrana:

• zapnite automatické predlžovanie a udržujte platobné údaje aktuálne;
• veďte si zoznam všetkých domén, aj tých, ktoré máte „len pre istotu“;
• starú doménu, ktorú ste kedysi používali na poštu, nerušte len tak. Ponechajte si ju a zabezpečte ju ako doménu bez pošty (lekcia 4.1).

Únos: váš účet u registrátora a prenosový kód

Najrýchlejšia cesta k doméne vedie cez účet u vášho registrátora. Kto sa tam prihlási, môže zmeniť nameservery a tým naraz presmerovať vašu webovú stránku aj poštu. Preto s týmto účtom zaobchádzajte ako s jedným z najdôležitejších:

• zapnite dvojfaktorové overenie (2FA) (modul 2);
• prístup majú len ľudia s vlastným účtom a právami, ktoré skutočne potrebujú (lekcia 7.1). Váš tvorca webu by mal dostať prístup k DNS, nie k celému účtu;
• dávajte pozor na phishing týkajúci sa vašej domény. „Vaša doména dnes vyprší, zaplaťte tu“ alebo „potvrďte svoje údaje u ICANN“ je známy trik. Nikdy neklikajte na odkaz, ale prihláste sa priamo u svojho registrátora.

Prenosový kód (nazývaný aj autorizačný kód, EPP kód alebo token) je potrebný na presun domény k inému registrátorovi. Berte ho ako kľúč: vyžiadajte si ho len vtedy, keď sami meníte registrátora, zdieľajte ho len s novým registrátorom a buďte okamžite ostražití, ak dostanete potvrdenie presunu, ktoré ste neočakávali.

Okrem toho existujú zámky:

• Registrar-lock nastaví stav clientTransferProhibited (často spolu s clientDeleteProhibited a clientUpdateProhibited). Registry potom odmietne presun, kým vy alebo váš registrátor zámok neodstránite. Pri .com a podobných koncovkách je to bežné; ICANN to odporúča.
• Registry lock ide ešte ďalej: zmeny sa priamo u registry vykonajú až po dodatočnej manuálnej kontrole u držiteľa. Pre .nl sa táto služba volá .nl Control. Je určená najmä pre veľké značky a stojí navyše; pre väčšinu malých firiem postačuje 2FA a dobre spravovaný účet u registrátora.

Visiace záznamy a únos subdomény

Toto je najmenej známe a zároveň najzákernejšie riziko. Príklad z praxe (anonymizovaný):

Pekáreň Example mala od roku 2021 do roku 2024 e-shop na adrese winkel.example.com, s CNAME záznamom smerujúcim na bakkerij-example.webwinkelplatform.example, a v roku 2024 pekáreň prešla na iné riešenie a zrušila predplatné. CNAME záznam zostal zachovaný. O rok neskôr si niekto iný na tej istej platforme vytvoril obchod pod uvoľneným názvom bakkerij-example. Od toho okamihu adresa winkel.example.com zobrazovala falošný obchod, s platným certifikátom a pod menom pekárne.

Visiaci záznam (dangling DNS) je DNS záznam, ktorý ukazuje na niečo, čo už nespravujete: zrušenú službu, odstránený cloudový server, IP adresu, ktorá medzičasom bola pridelená niekomu inému. Ak si daný cieľ môže niekto nárokovať, hovoríme o únose subdomény (subdomain takeover). Útočník tak získa subdoménu, ktorá patrí vám, a môže na nej hostovať phishingové stránky, ktoré pôsobia úplne vierohodne, niekedy dokonca dokáže čítať cookies vašej hlavnej domény.

Ochrana:

1. Zrušenie služby = najprv odstráňte DNS záznam, až potom zrušte službu. Zahrňte to do svojho postupu pri ukončovaní služieb.
2. Raz ročne skontrolujte celú svoju DNS zónu. Ak neviete, na čo nejaký záznam slúži, zistite to. Pred odstránením vytvorte zálohu zóny.
3. Buďte obzvlášť opatrní so zástupnými záznamami (wildcards, *.example.com), ktoré ukazujú na externú službu.

DNSSEC a CAA: ďalšie zámky

DNSSEC pridáva digitálny podpis na odpovede vášho DNS, aby resolver mohol overiť, že sú skutočné a neboli cestou sfalšované. Pre .nl je u mnohých poskytovateľov predvolene zapnutý. Chráni pred sfalšovanými DNS odpoveďami, nie pred prevzatým účtom u registrátora. Vysvetlenie v bežnej reči nájdete v lekcii 8.1 DNS kurzu.

CAA je DNS záznam, v ktorom určíte, ktoré certifikačné autority smú vydávať certifikát pre vašu doménu (RFC 8659). Bez CAA to môže urobiť ktorýkoľvek dôveryhodný vydavateľ. S CAA sťažíte útočníkovi získanie certifikátu pre váš názov inde. Ak CAA nastavíte, nezabudnite doň zahrnúť vydavateľa, ktorého používa váš hosting, inak sa váš vlastný certifikát nebude môcť predĺžiť. Viac v lekcii 5.2 DNS kurzu.

V praxi: ako to vyzerá

Stav a vypršanie vašej domény nájdete vo verejných registračných údajoch (RDAP, nástupca whois). Doména .com napríklad zobrazuje:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registrácia: 2019-03-01
Platnosť do: 2027-03-01
DNSSEC:     áno

Nie každá registry zobrazuje dátum vypršania: SIDN ho pre .nl v RDAP nezobrazuje. Vtedy sa pozriete u svojho registrátora. Vo WebOké nájdete vypršanie, automatické predlžovanie, karanténu, DNSSEC a CAA spolu na karte Domain / Email gezondheid na stránke domény v Môj WebOké, a v nastaveniach DNS je tlačidlo na vytvorenie zálohy vašej zóny. U iných poskytovateľov to funguje podobne.

Zhrnutie

• Kto spravuje vašu doménu, prijíma vašu poštu a tým môže kdekoľvek obnoviť vaše heslo.
• Udržujte údaje o držiteľovi správne, použite adresu držiteľa mimo samotnej domény a zapnite automatické predlžovanie.
• Chráňte si účet u registrátora pomocou 2FA a vlastných účtov; prenosový kód berte ako kľúč; registrar-lock blokuje nežiaduce presuny.
• Pri rušení služby najprv odstráňte DNS záznam; zónu kontrolujte raz ročne kvôli visiacim záznamom.
• DNSSEC chráni pred sfalšovanými DNS odpoveďami, CAA obmedzuje, kto smie vydávať certifikáty pre vašu doménu.

Kvíz

Úloha

Úloha A4.3: Kontrola ochrany vášho domény. Zadajte svoju vlastnú doménu (ak žiadnu nemáte, použite sidn.nl). Program získa stav a dátum vypršania z registry (RDAP) a skontroluje DNSSEC a CAA. Ku každému bodu dostanete zelenú, oranžovú alebo červenú farbu, alebo informatívne upozornenie.

Úloha D4.3: Zoznam domén a kontrola zóny. Vytvorte zoznam všetkých svojich domén s registrátorom, držiteľom, vypršaním a tým, kto k nim má prístup. Potom skontrolujte DNS zónu svojej hlavnej domény a pri každom zázname zistite, na čo slúži.

Ďalšie čítanie

Kroky v článkoch WebOké platia pre prostredie WebOké; u iných poskytovateľov to funguje podobne.

• E-maily od ICANN alebo registra o vašej doméne: skutočné alebo podvodné, a čo máte urobiť?
• Príručka WebOké 5.17: Zdravie domény a e-mailu: kontrola a náprava
• Vytvorenie a obnovenie zálohy DNS
• Verejný stav zdravia domény: https://www.weboke.sk/zdravie-domeny
• DNS kurz, lekcie 1.3 (registry, registrátor a držiteľ), 5.2 (CAA) a 8.1 (DNSSEC): https://www.weboke.sk/dns-cursus
• ICANN, vysvetlenie EPP stavových kódov (po anglicky): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, zrušenie vašej domény a karanténa: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, únos subdomény (po anglicky): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers