Zaštita Vaše domene

Modul 4: E-pošta, web stranica i domena · Vrijeme čitanja: 11 minuta

Cilj učenja: Nakon ove lekcije moći ćete zaštititi svoju domenu od isteka, otmice i pogrešnih DNS zapisa, te provjeriti status, istek, DNSSEC i CAA svoje domene.
Ključni pojmovi: registrar, nositelj, istek, karantena, kod za prijenos, registrar-lock, registry lock, 2FA kod registrara, DNSSEC, CAA, visjeći zapis (dangling DNS), otmica poddomene

Tko ima Vašu domenu, ima i Vašu poštu

Vaš naziv domene djeluje kao mala stavka: godišnji račun i nekoliko postavki. No gotovo sve o njoj ovisi. Vaša web stranica, Vaše adrese e-pošte, a time i gumb "zaboravljena lozinka" na svim drugim računima: Vašem računovodstvenom programu, banci, platformi web trgovine, društvenim mrežama. Tko dobije kontrolu nad domenom example.com, može primati poštu za info@example.com i time svugdje ponovno postaviti Vašu lozinku.

Domenu možete izgubiti ili je ona može biti zloupotrijebljena na tri načina:

1. istekne i netko drugi je registrira;
2. otme putem Vašeg računa kod registrara ili putem krivotvorenog prijenosa;
3. zaboravljeni DNS zapis upućuje na nešto što više ne upravljate.

U DNS tečaju (lekcija 1.3) naučili ste tko što regulira: registry upravlja ekstenzijom (SIDN za .nl), registrar registrira u Vaše ime, a Vi ste nositelj. U ovoj lekciji gledamo na taj lanac očima napadača.

Je li nositelj ispravan?

Nositelj je pravni vlasnik. Ako je kao nositelj upisan Vaš izrađivač web stranice, bivši zaposlenik ili tvrtka koja više ne postoji, u slučaju spora ili stečaja teško ćete dokazati da je domena Vaša. Zato provjerite:

• je li Vaša tvrtka registrirana kao nositelj, s točnim nazivom?
• adresa e-pošte nositelja dostupna, i ne nalazi li se na samoj domeni? Istekne li example.com, upozorenje na info@example.com možda više neće stizati. Koristite drugu adresu, primjerice na drugoj domeni.

Istek: najdosadniji i najčešći rizik

Domene se najčešće gube zbog isteklog kreditnog kartice, računa koji je stigao kolegi koji je otišao iz tvrtke ili prelaska na drugu uslugu pri čemu nitko nije mislio na domenu. Ono što se nakon toga događa razlikuje se ovisno o ekstenziji:

Nakon toga je netko drugi može registrirati. Postoje strane koje automatski registriraju domene koje postaju slobodne, upravo zato što na njima još ima prometa. Postavi li novi vlasnik catch-all na poštu, primat će sve što Vaši klijenti i dobavljači još šalju na Vaše stare adrese, uključujući i poruke za obnovu lozinke.

Zaštita:

• uključite automatsko produljenje i održavajte podatke za plaćanje ažurnima;
• nemojte olako otkazati staru domenu koju ste nekad koristili za poštu. Zadržite je i zaštitite kao domenu koja ne šalje poštu (lekcija 4.1).

Otmica: Vaš račun kod registrara i kod za prijenos

Najbrži put do domene vodi preko računa kod Vašeg registrara. Tko se ondje prijavi, može promijeniti imenske poslužitelje (nameservers) i time u jednom potezu preusmjeriti Vašu web stranicu i poštu. Zato s tim računom postupajte kao s jednim od najvažnijih:

• uključite dvofaktorsku autentifikaciju (2FA) (modul 2);
• vlastitim računom i pravima koja su im potrebna (lekcija 7.1). Vašem izrađivaču web stranice po mogućnosti dajte pristup DNS-u, a ne cijelom računu;

Kod za prijenos (i autorizacijski kod, EPP kod ili token) potreban je za prijenos domene drugom registraru. Promatrajte taj kod kao ključ: tražite ga samo kad sami prelazite, podijelite ga samo s novim registrarom i budite odmah oprezni ako dobijete potvrdu prijenosa koju niste očekivali.

Osim toga postoje i zaključavanja:

• Registrar-lock postavlja status clientTransferProhibited (često zajedno s clientDeleteProhibited i clientUpdateProhibited). Registry tada odbija prijenos sve dok Vi ili Vaš registrar ne uklonite zaključavanje. Kod .com i sličnih ekstenzija to je uobičajeno; ICANN to preporučuje.
• Registry lock ide korak dalje: izmjene se kod samog registryja provode tek nakon dodatne, ručne provjere kod nositelja. Za .nl ta se usluga zove .nl Control. Namijenjena je prvenstveno velikim brendovima i dodatno košta; za većinu malih poduzeća dovoljni su 2FA i dobro upravljan račun kod registrara.

Visjeći zapisi i otmica poddomene

Ovo je najmanje poznat i najpodmukliji rizik. Primjer iz prakse (anonimiziran):

Pekara Example je od 2021. do 2024. imala web trgovinu na winkel.example.com, s CNAME zapisom koji je upućivao na bakkerij-example.webwinkelplatform.example, a 2024. pekara je prešla na drugu uslugu i otkazala pretplatu. CNAME zapis je ostao. Godinu dana kasnije netko drugi je na istoj platformi otvorio trgovinu pod oslobođenim nazivom bakkerij-example. Od tog trenutka winkel.example.com prikazivao je lažnu trgovinu, s valjanim certifikatom i pod imenom pekare.

Visjeći zapis (dangling DNS) je DNS zapis koji upućuje na nešto čime više ne upravljate: otkazanu uslugu, izbrisani cloud poslužitelj, IP adresu koja je u međuvremenu dodijeljena nekom drugom. Može li netko drugi preuzeti to odredište, to se naziva otmica poddomene (subdomain takeover). Napadač time dobiva Vašu poddomenu i na njoj može hostirati phishing stranice koje izgledaju potpuno autentično, ponekad čak mogu čitati kolačiće s Vaše glavne domene.

Zaštita:

1. Otkazivanje = prvo uklonite DNS zapis, tek zatim otkažite uslugu. Uvrstite to u svoj postupak za prestanak korištenja usluga.
2. Jednom godišnje pregledajte cijelu svoju DNS zonu. Ne znate li čemu neki zapis služi, istražite to. Prije nego nešto uklonite, izradite sigurnosnu kopiju zone.
3. wildcard zapisima (*.example.com) koji upućuju na vanjsku uslugu.

DNSSEC i CAA: dodatne brave

DNSSEC stavlja digitalni potpis na odgovore Vašeg DNS-a, tako da resolver može provjeriti jesu li pravi i nisu li usput krivotvoreni. Za .nl je kod mnogih pružatelja usluga standardno uključen. Štiti od krivotvorenih DNS odgovora, ali ne i od preuzetog računa kod registrara. Objašnjenje jednostavnim jezikom nalazi se u lekciji 8.1 DNS tečaja.

CAA je DNS zapis u kojem određujete koja tijela za izdavanje certifikata (certificate authorities) smiju izdati certifikat za Vašu domenu (RFC 8659). Bez CAA zapisa, svaki pouzdani izdavatelj to smije. S CAA zapisom napadaču otežavate da negdje drugdje dobije certifikat za Vaše ime. Postavite li CAA, svakako uvrstite izdavatelja kojeg koristi Vaš hosting partner, inače se Vaš vlastiti certifikat više neće moći obnoviti. Više o tome u lekciji 5.2 DNS tečaja.

U praksi: ovako to izgleda

Status i istek Vaše domene vidljivi su u javnim registracijskim podacima (RDAP, nasljedniku whois servisa). Domena .com primjerice prikazuje:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registracija: 2019-03-01
Istječe:    2027-03-01
DNSSEC:     da

Ne prikazuje svaki registry datum isteka: SIDN ga za .nl ne prikazuje u RDAP-u. Tada provjerite kod svog registrara. Kod WebOké, istek, automatsko produljenje, karantena, DNSSEC i CAA prikazani su zajedno na kartici Domain / Email gezondheid na stranici domene u Moj WebOké, a u DNS postavkama nalazi se gumb za izradu sigurnosne kopije Vaše zone. Kod drugih pružatelja usluga to funkcionira slično.

Sažetak

• Tko upravlja Vašom domenom, prima Vašu poštu i time može svugdje vratiti Vašu lozinku.
• Održavajte podatke o nositelju točnima, koristite adresu nositelja izvan same domene i uključite automatsko produljenje.
• Zaštitite svoj račun kod registrara pomoću 2FA i vlastitih korisničkih računa; promatrajte kod za prijenos kao ključ; registrar-lock blokira neželjene prijenose.
• Pri otkazivanju usluge prvo uklonite DNS zapis; jednom godišnje pregledajte svoju zonu zbog visjećih zapisa.
• DNSSEC štiti od krivotvorenih DNS odgovora, CAA ograničava tko smije izdavati certifikate za Vašu domenu.

Kviz

Zadatak

Zadatak A4.3: Provjera zaštite Vaše domene. Upišite svoj naziv domene (nemate li ga, upotrijebite sidn.nl). Program dohvaća status i datum isteka kod registryja (RDAP) i provjerava DNSSEC i CAA. Za svaku stavku dobivate zeleno, narančasto ili crveno, ili informativnu obavijest.

Zadatak D4.3: Popis domena i provjera zone. Napravite popis svih svojih domena s registrarom, nositeljem, istekom i tko ima pristup. Zatim pregledajte DNS zonu svoje glavne domene i za svaki zapis provjerite čemu služi.

Dodatno štivo

Koraci u WebOké člancima vrijede za okruženje WebOké; kod drugih pružatelja usluga to funkcionira slično.

• E-poruke od ICANN-a ili registra o Vašoj domeni: prave ili lažne, i što trebate učiniti?
• Priručnik za WebOké 5.17: Zdravlje domene i e-pošte: provjera i popravak
• Izrada i vraćanje sigurnosne kopije DNS-a
• Javno zdravlje domene: https://www.weboke.hr/zdravlje-domene
• DNS tečaj, lekcije 1.3 (registry, registrar i nositelj), 5.2 (CAA) i 8.1 (DNSSEC): https://www.weboke.hr/dns-cursus
• ICANN, objašnjenje EPP statusnih kodova (na engleskom): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, ukidanje Vaše domene i karantena: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, otmica poddomene (na engleskom): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers