Ochrana Vaší domény

Modul 4: E-mail, web a doména · Doba čtení: 11 minut

Cíl lekce: Po této lekci dokážete ochránit svou doménu před vypršením, únosem a nesprávnými DNS záznamy a zkontrolovat stav, vypršení, DNSSEC a CAA Vaší vlastní domény.
Klíčové pojmy: registrátor, držitel, vypršení, karanténa, transferový kód, registrar-lock, registry lock, 2FA u registrátora, DNSSEC, CAA, visící záznam (dangling DNS), únos subdomény

Kdo má Vaši doménu, má Váš e-mail

Doménové jméno se může zdát jako malá součást podnikání: roční faktura a pár nastavení. Ale visí na něm téměř vše. Vaše webová stránka, Vaše e-mailové adresy, a tím pádem i tlačítko "zapomenuté heslo" u všech ostatních Vašich účtů: účetní software, banka, platforma internetového obchodu, sociální sítě. Kdo získá kontrolu nad doménou example.com, může přijímat poštu pro info@example.com, a tím si kdekoli znovu nastavit Vaše heslo.

Doménu můžete ztratit nebo může být zneužita třemi způsoby:

1. vyprší a zaregistruje si ji někdo jiný;
2. někdo ji unese přes Váš účet u registrátora nebo pomocí podvodného přenosu;
3. na zapomenutý DNS záznam ukazuje něco, co už nespravujete.

V DNS kurzu (lekce 1.3) jste se naučili, kdo co zajišťuje: registr spravuje doménovou příponu (SIDN pro .nl), registrátor registruje doménu Vaším jménem a Vy jste držitel. V této lekci se na tento řetězec podíváme očima útočníka.

Souhlasí údaje o držiteli?

Držitel je právní vlastník. Pokud je tam uveden Váš webový vývojář, bývalý zaměstnanec nebo firma, která už neexistuje, bude pro Vás při sporu nebo úpadku obtížné prokázat, že doména patří Vám. Zkontrolujte proto:

• je jako držitel registrovaná Vaše firma, se správným názvem?
• je e-mailová adresa držitele dostupná a neleží na samotné doméně? Pokud example.com vyprší, upozornění na info@example.com už se možná nedoručí. Použijte druhou adresu, například na jiné doméně.
• reagujete na skutečné žádosti o potvrzení Vaší adresy? U mnoha domén ICANN vyžaduje potvrzení e-mailové adresy držitele. Pokud to neuděláte, může být doména pozastavena.

Vypršení: nejnudnější a nejčastější riziko

Domény se nejčastěji ztrácejí kvůli vypršené platební kartě, faktuře, která přišla odešlému kolegovi, nebo přechodu na jinou službu, při kterém si na doménu nikdo nevzpomněl. Co se stane potom, se liší podle domény:

Poté si ji může zaregistrovat kdokoli jiný. Existují subjekty, které automaticky registrují uvolněné domény právě proto, že na nich zůstává provoz. Pokud nový vlastník nastaví na poště catch-all, dostane vše, co Vaši zákazníci a dodavatelé ještě posílají na Vaše staré adresy, včetně e-mailů pro obnovení hesla.

Ochrana:

• zapněte automatické prodlužování a udržujte platební údaje aktuální;
• zaznamenejte si všechny domény do seznamu, včetně domén, které máte "jen pro jistotu";
• nerušte jen tak starou doménu, kterou jste někdy používali pro e-mail. Ponechte si ji a zabezpečte ji jako doménu bez pošty (lekce 4.1).

Únos: Váš účet u registrátora a transferový kód

Nejrychlejší cesta k doméně vede přes účet u Vašeho registrátora. Kdo se tam přihlásí, může změnit nameservery, a tím najednou přesměrovat Vaši webovou stránku i e-mail. Zacházejte proto s tímto účtem jako s jedním z nejdůležitějších:

• zapněte dvoufázové ověření (modul 2);
• přístup mají pouze lidé s vlastním účtem a právy, která potřebují (lekce 7.1). Váš webový vývojář by měl mít přístup raději jen k DNS, ne k celému účtu;
• dávejte pozor na phishing ohledně Vaší domény. "Vaše doména dnes vyprší, zaplaťte zde" nebo "potvrďte své údaje u ICANN" je známý trik. Nikdy nepoužívejte odkaz v e-mailu, ale přihlaste se sami přímo u svého registrátora.

Transferový kód (také autorizační kód, EPP kód nebo token) je potřeba k přenosu domény k jinému registrátorovi. Berte tento kód jako klíč: vyžádejte si ho pouze při vlastním přechodu, sdílejte ho pouze s novým registrátorem a buďte okamžitě ve střehu, pokud dostanete potvrzení přenosu, které jste neočekávali.

Kromě toho existují zámky:

• Registrar-lock nastaví stav clientTransferProhibited (často spolu s clientDeleteProhibited a clientUpdateProhibited). Registr pak odmítne přenos, dokud Vy nebo Váš registrátor zámek neodstraníte. U .com a podobných domén je to běžné; ICANN to doporučuje.
• Registry lock jde dál: změny se u samotného registru provedou až po dodatečné ruční kontrole u držitele. Pro .nl se tato služba nazývá .nl Control. Je určena hlavně pro velké značky a stojí navíc; pro většinu malých firem stačí 2FA a dobře spravovaný účet u registrátora.

Visící záznamy a únos subdomény

Toto je nejméně známé a zároveň nejzákeřnější riziko. Praktický příklad (anonymizovaný):

Pekařství Example mělo od roku 2021 do roku 2024 internetový obchod na adrese winkel.example.com, s CNAME záznamem na bakkerij-example.webwinkelplatform.example, a v roce 2024 pekařství přešlo jinam a zrušilo předplatné. CNAME záznam zůstal beze změny. O rok později si někdo jiný na stejné platformě vytvořil obchod pod uvolněným názvem bakkerij-example. Od té chvíle winkel.example.com zobrazovala podvodný obchod, s platným certifikátem a pod jménem pekařství.

Visící záznam (dangling DNS) je DNS záznam, který ukazuje na něco, co už nespravujete: zrušenou službu, smazaný cloudový server, IP adresu, která už byla přidělena někomu jinému. Pokud si tento cíl může přivlastnit někdo jiný, nazývá se to únos subdomény (subdomain takeover). Útočník tak získá Vaši subdoménu a může na ní hostovat phishingové stránky, které vypadají zcela důvěryhodně, někdy může dokonce číst cookies Vaší hlavní domény.

Ochrana:

1. Při rušení služby nejprve odstraňte DNS záznam, teprve pak zrušte samotnou službu. Zařaďte to do svého postupu pro ukončování služeb.
2. Jednou ročně projděte celou svou DNS zónu. Pokud nevíte, k čemu nějaký záznam slouží, zjistěte to. Než něco odstraníte, vytvořte si zálohu zóny.
3. Buďte obzvlášť opatrní u zástupných znaků (wildcards) (*.example.com), které ukazují na externí službu.

DNSSEC a CAA: další zámky

DNSSEC opatřuje odpovědi Vaší DNS digitálním podpisem, díky kterému resolver může ověřit, že jsou skutečné a nebyly cestou pozměněny. Pro .nl je u mnoha poskytovatelů standardně zapnutý. Chrání proti padělaným DNS odpovědím, nikoli proti převzatému účtu u registrátora. Vysvětlení běžným jazykem najdete v lekci 8.1 DNS kurzu.

CAA je DNS záznam, ve kterém určíte, které certifikační autority smí vydávat certifikát pro Vaši doménu (RFC 8659). Bez CAA to může udělat kterýkoli důvěryhodný vydavatel. S CAA útočníkovi ztížíte získání certifikátu pro Vaše jméno jinde. Pokud nastavujete CAA, nezapomeňte do něj zahrnout vydavatele, kterého používá Váš hostingový poskytovatel, jinak se Váš vlastní certifikát přestane prodlužovat. Více v lekci 5.2 DNS kurzu.

V praxi: takto to vypadá

Stav a vypršení Vaší domény uvidíte ve veřejných registračních údajích (RDAP, nástupce whois). Doména .com například zobrazuje:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registrace: 2019-03-01
Vyprší:     2027-03-01
DNSSEC:     ano

Ne každý registr zobrazuje datum vypršení: SIDN ho pro .nl v RDAP neukazuje. V takovém případě se podívejte u svého registrátora. U WebOké najdete vypršení, automatické prodloužení, karanténu, DNSSEC a CAA společně na kartě Doména / Zdraví e-mailu na stránce domény v Můj WebOké, a v nastavení DNS je tlačítko pro vytvoření zálohy Vaší zóny. U jiných poskytovatelů to funguje podobně.

Shrnutí

• Kdo spravuje Vaši doménu, přijímá Vaši poštu a tím může kdekoli obnovit Vaše heslo.
• Udržujte údaje o držiteli správné, používejte adresu držitele mimo samotnou doménu a zapněte automatické prodlužování.
• Chraňte svůj účet u registrátora pomocí 2FA a vlastních účtů; berte transferový kód jako klíč; registrar-lock blokuje nechtěné přenosy.
• Při rušení služby nejprve odstraňte DNS záznam; svou zónu jednou ročně projděte kvůli visícím záznamům.
• DNSSEC chrání proti padělaným DNS odpovědím, CAA omezuje, kdo smí vydávat certifikáty pro Vaši doménu.

Kvíz

Úkol

Úkol A4.3: Kontrola ochrany Vaší domény. Zadejte svou vlastní doménu (pokud žádnou nemáte, použijte sidn.nl). Program zjistí stav a datum vypršení u registru (RDAP) a zkontroluje DNSSEC a CAA. U každého bodu dostanete zelenou, oranžovou nebo červenou barvu, případně informativní upozornění.

Úkol D4.3: Seznam domén a kontrola zóny. Vytvořte seznam všech svých domén s registrátorem, držitelem, vypršením a tím, kdo k nim má přístup. Poté projděte DNS zónu své hlavní domény a u každého záznamu zjistěte, k čemu slouží.

Doporučené zdroje

Kroky v článcích WebOké platí pro prostředí WebOké; u jiných poskytovatelů to funguje obdobně.

• E-maily od ICANN nebo registru ohledně Vaší domény: pravé, nebo podvodné, a co máte udělat?
• Příručka WebOké 5.17: Zdraví domény a e-mailu: kontrola a náprava
• Vytvoření a obnovení zálohy DNS
• Veřejné zdraví domény: https://www.weboke.cz/zdravi-domeny
• DNS kurz, lekce 1.3 (registr, registrátor a držitel), 5.2 (CAA) a 8.1 (DNSSEC): https://www.weboke.cz/dns-cursus
• ICANN, vysvětlení EPP stavových kódů (anglicky): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, zrušení domény a karanténa: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, únos subdomény (anglicky): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers