Beskytt domenenavnet ditt

Modul 4: E-post, nettside og domene · Lesetid: 11 minutter

Læringsmål: Etter denne leksjonen kan du beskytte domenenavnet ditt mot utløp, kapring og feil DNS-oppføringer, og kontrollere status, utløpsdato, DNSSEC og CAA for ditt eget domene.
Nøkkelbegreper: registrar, innehaver, utløpt, karantene, flyttekode, registrar-lock, registry lock, 2FA hos registraren, DNSSEC, CAA, svevende oppføring (dangling DNS), kapring av underdomene

Den som har domenet ditt, har e-posten din

Domenenavnet ditt kan virke som en liten detalj: en årlig faktura og noen innstillinger. Men nesten alt henger på det. Nettstedet ditt, e-postadressene dine, og dermed også knappen «glemt passord» for alle de andre kontoene dine: regnskapsprogrammet, banken, nettbutikkplattformen, sosiale medier. Den som får kontroll over example.com, kan motta e-post til info@example.com og dermed tilbakestille passordet ditt overalt.

Et domene kan gå tapt eller misbrukes på tre måter:

1. det utløper, og noen andre registrerer det;
2. noen kaprer det via kontoen din hos registraren eller via en forfalsket flytting;
3. en glemt DNS-oppføring peker på noe du ikke lenger kontrollerer.

I DNS-kurset (leksjon 1.3) lærte du hvem som gjør hva: registeret (registry) forvalter toppdomenet (SIDN (.nl) for .nl), registraren registrerer på dine vegne, og du er innehaveren. I denne leksjonen ser vi på denne kjeden med en angripers øyne.

Stemmer innehaveropplysningene?

Innehaveren er den juridiske eieren. Står webutvikleren din, en tidligere ansatt eller et selskap som ikke lenger finnes der, kan det bli vanskelig å bevise at domenet er ditt ved en konflikt eller konkurs. Kontroller derfor:

• står bedriften din registrert som innehaver, med riktig navn?
• er e-postadressen til innehaveren tilgjengelig, og ligger den ikke på selve domenet? Hvis example.com utløper, kommer kanskje ikke varselet til info@example.com lenger frem. Bruk en annen adresse, for eksempel på et annet domene.
• svarer du på ekte forespørsler om å bekrefte adressen din? For mange toppdomener krever ICANN at innehaverens e-postadresse bekreftes. Gjør du ikke det, kan domenet bli suspendert.

Utløpt: den kjedeligste og vanligste risikoen

Domener går oftest tapt på grunn av et utløpt betalingskort, en faktura som havnet hos en kollega som har sluttet, eller et systembytte der ingen tenkte på domenet. Det som skjer etterpå, varierer etter toppdomene:

Etter dette kan noen andre registrere det. Det finnes aktører som automatisk registrerer domener som blir ledige, nettopp fordi det fortsatt er trafikk til dem. Setter den nye eieren opp en catch-all på e-posten, mottar han alt kundene og leverandørene dine fortsatt sender til de gamle adressene dine, inkludert e-poster for tilbakestilling av passord.

Beskyttelse:

• slå på automatisk fornyelse, og hold betalingsopplysningene oppdaterte;
• før alle domener i en liste, også domenene du har «bare for sikkerhets skyld»;
• ikke si opp et gammelt domene du en gang brukte til e-post, uten videre. Behold det, og sikre det som et domene uten e-post (leksjon 4.1).

Kapring: registrar-kontoen og flyttekoden

Den raskeste veien til et domene går via kontoen hos registraren din. Den som logger inn der, kan endre navneserverne og dermed omdirigere både nettstedet og e-posten din på én gang. Behandle derfor den kontoen som en av de viktigste du har:

• skru på tofaktorautentisering (2FA) (modul 2);
• kun personer med en egen konto og de rettighetene de trenger (leksjon 7.1). Webutvikleren din bør helst få tilgang til DNS, ikke til hele kontoen;
• vær oppmerksom på phishing om domenet ditt. «Domenet ditt utløper i dag, betal her» eller «bekreft opplysningene dine hos ICANN» er et kjent triks. Gå aldri via lenken, men logg deg inn hos registraren selv.

En flyttekode (også kalt autorisasjonskode, EPP-kode eller token) trengs for å flytte et domene til en annen registrar. Se på denne koden som en nøkkel: be bare om den når du selv skal flytte, del den kun med den nye registraren, og vær ekstra på vakt hvis du får en flyttebekreftelse du ikke ventet.

I tillegg finnes det låser:

• En registrar-lock setter statusen clientTransferProhibited (ofte sammen med clientDeleteProhibited og clientUpdateProhibited). Registeret nekter da en flytting helt til du eller registraren din fjerner låsen. For .com og lignende toppdomener er dette vanlig; ICANN anbefaler det.
• En registry lock går lenger: endringer hos selve registeret gjennomføres først etter en ekstra, manuell kontroll hos innehaveren. For .nl heter denne tjenesten .nl Control. Den er først og fremst ment for store merkevarer og koster ekstra; for de fleste små bedrifter er 2FA og en godt forvaltet registrar-konto nok.

Svevende oppføringer og kapring av underdomener

Dette er den minst kjente risikoen, og den mest lumske. Et eksempel fra praksis (anonymisert):

Bakeriet Example hadde fra 2021 til 2024 en nettbutikk på winkel.example.com, med en CNAME-oppføring til bakkerij-example.webwinkelplatform.example, og i 2024 byttet bakeriet system og sa opp abonnementet. CNAME-oppføringen ble stående. Et år senere opprettet noen andre en butikk hos samme plattform under det ledige navnet bakkerij-example. Fra det øyeblikket viste winkel.example.com en falsk butikk, med et gyldig sertifikat og under navnet til bakeriet.

En svevende oppføring (dangling DNS) er en DNS-oppføring som peker på noe du ikke lenger kontrollerer: en oppsagt tjeneste, en slettet skyserver, en IP-adresse som i mellomtiden er tildelt noen andre. Kan noen andre kreve dette målet, kalles det kapring av underdomene (subdomain takeover). Angriperen får dermed et underdomene av deg, og kan bruke det til å være vert for phishingsider som ser helt ekte ut, noen ganger kan de til og med lese informasjonskapsler fra hoveddomenet ditt.

Beskyttelse:

1. Oppsigelse = fjern DNS-oppføringen først, deretter sier du opp tjenesten. Legg dette inn i avslutningsrutinen din for tjenester.
2. Gå gjennom hele DNS-sonen én gang i året. Vet du ikke hva en oppføring er til for, finn det ut. Ta en sikkerhetskopi av sonen før du fjerner noe.
3. Vær ekstra forsiktig med wildcard-oppføringer (*.example.com) som peker til en ekstern tjeneste.

DNSSEC og CAA: ekstra låser

DNSSEC setter en digital signatur på svarene fra DNS-et ditt, slik at en resolver kan kontrollere at de er ekte og ikke er forfalsket underveis. For .nl er det standard på hos mange leverandører. Det beskytter mot forfalskede DNS-svar, ikke mot en overtatt registrar-konto. En forklaring i vanlig språk finner du i leksjon 8.1 i DNS-kurset.

CAA er en DNS-oppføring der du angir hvilke sertifikatutstedere som har lov til å utstede et sertifikat for domenet ditt (RFC 8659). Uten CAA kan enhver godkjent utsteder gjøre det. Med CAA gjør du det vanskeligere for en angriper å skaffe seg et sertifikat for navnet ditt et annet sted. Setter du opp CAA, må du ta med utstederen som webhotell-leverandøren din bruker, ellers kan ikke ditt eget sertifikat fornyes lenger. Mer om dette i leksjon 5.2 i DNS-kurset.

I praksis: slik ser det ut

Status og utløpsdato for domenet ditt finner du i de offentlige registreringsopplysningene (RDAP, etterfølgeren til whois). Et .com-domene kan for eksempel vise:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registrering: 2019-03-01
Utløper:    2027-03-01
DNSSEC:     ja

Ikke alle registre viser en utløpsdato: SIDN (.nl) viser den ikke for .nl i RDAP. Da sjekker du hos registraren din. Hos WebOké finner du utløp, automatisk fornyelse, karantene, DNSSEC og CAA samlet på kortet Domain / Email gezondheid på domenesiden i Min side, og i DNS-innstillingene finner du en knapp for å ta en sikkerhetskopi av sonen din. Hos andre leverandører fungerer det på lignende måte.

Oppsummering

• Den som forvalter domenet ditt, mottar e-posten din og kan dermed tilbakestille passordet ditt overalt.
• Hold innehaveropplysningene korrekte, bruk en innehaveradresse utenfor selve domenet, og skru på automatisk fornyelse.
• Beskytt registrar-kontoen din med 2FA og egne kontoer; se flyttekoden som en nøkkel; en registrar-lock blokkerer uønskede flyttinger.
• Fjern DNS-oppføringen først når du sier opp en tjeneste; gå gjennom sonen din årlig for å avdekke svevende oppføringer.
• DNSSEC beskytter mot forfalskede DNS-svar, CAA begrenser hvem som kan utstede sertifikater for domenet ditt.

Quiz

Oppgave

Oppgave A4.3: Kontroller beskyttelsen av domenet ditt. Fyll inn ditt eget domenenavn (har du ikke noe, bruk sidn.nl). Programmet henter statusen og utløpsdatoen fra registeret (RDAP) og kontrollerer DNSSEC og CAA. Du får grønt, oransje eller rødt for hvert punkt, eller en informativ melding.

Oppgave D4.3: Domeneliste og sonekontroll. Lag en liste over alle domenene dine med registrar, innehaver, utløp og hvem som har tilgang. Gå deretter gjennom DNS-sonen til hoveddomenet ditt, og finn ut hva hver oppføring er til for.

Les mer

Trinnene i WebOké-artiklene gjelder for miljøet til WebOké; hos andre leverandører fungerer det på lignende måte.

• E-poster fra ICANN eller registeret om domenet ditt: ekte eller falske, og hva bør du gjøre?
• WebOké-veiledning 5.17: Domene og e-posthelse: kontroller og reparer
• Ta en backup av DNS-en din og gjenopprett den
• Offentlig domenehelse: https://www.weboke.no/domenehelse
• DNS-kurs, leksjon 1.3 (registry, registrar og innehaver), 5.2 (CAA) og 8.1 (DNSSEC): https://www.weboke.no/dns-cursus
• ICANN, EPP-statuskoder forklart (engelsk): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN (.nl), si opp domenenavnet ditt og karantene: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, kapring av underdomene (engelsk): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers