Skydda ditt domännamn

Modul 4: E-post, webbplats och domän · Lästid: 11 minuter

Lärandemål: Efter den här lektionen kan du skydda ditt domännamn mot förfall, kapning och felaktiga DNS-poster, och kontrollera status, förfallodatum, DNSSEC och CAA för ditt eget domän.
Nyckelbegrepp: registrar, innehavare, förfallet, karantän, flyttkod, registrar-lock, registry lock, 2FA hos registraren, DNSSEC, CAA, svävande post (dangling DNS), subdomänkapning

Den som har ditt domän har din e-post

Ditt domännamn kan verka som en liten detalj: en årlig faktura och några inställningar. Men nästan allt hänger ihop med det. Din webbplats, dina e-postadresser, och därmed också knappen "glömt lösenord" för alla dina andra konton: ditt bokföringsprogram, din bank, din e-handelsplattform, dina sociala medier. Den som får kontroll över example.com kan ta emot e-post till info@example.com och därmed återställa ditt lösenord var som helst.

Ett domän kan gå förlorat eller missbrukas på tre sätt:

1. det förfaller och någon annan registrerar det;
2. någon kapar det via ditt konto hos registraren eller via en förfalskad flytt;
3. en glömd DNS-post pekar på något du inte längre äger eller kontrollerar.

I DNS-kursen (lektion 1.3) lärde du dig vem som sköter vad: registryt förvaltar toppdomänen (SIDN (.nl) för .nl), registraren registrerar å dina vägnar, och du är innehavaren. I den här lektionen tittar vi på den kedjan med en angripares ögon.

Stämmer innehavaruppgifterna?

Innehavaren är den juridiska ägaren. Står din webbyrå, en före detta anställd eller ett företag som inte längre finns registrerat där, blir det svårt att vid en konflikt eller konkurs visa att domänet är ditt. Kontrollera därför:

• är det ditt företag som är registrerat som innehavare, med rätt namn?
• går det att nå innehavarens e-postadress, och ligger den inte på domänet självt? Förfaller example.com kanske varningen till info@example.com inte längre kommer fram. Använd en andra adress, till exempel på ett annat domän.
• svarar du på äkta förfrågningar om att bekräfta din adress? För många toppdomäner kräver ICANN att innehavarens e-postadress bekräftas. Gör du inte det kan domänet spärras.

Förfallet: den tråkigaste och vanligaste risken

Domäner går oftast förlorade på grund av ett förfallet kreditkort, en faktura som kom till en kollega som slutat, eller ett byte där ingen tänkte på domänet. Vad som händer sedan skiljer sig åt mellan toppdomäner:

Därefter kan någon annan registrera det. Det finns aktörer som automatiskt registrerar domäner som blir lediga, just för att det fortfarande finns trafik till dem. Sätter den nya ägaren upp en catch-all på e-posten, tar han emot allt som dina kunder och leverantörer fortfarande skickar till dina gamla adresser, inklusive e-post för lösenordsåterställning.

Skydd:

• slå på automatisk förnyelse och håll betaluppgifterna uppdaterade;
• för en lista över alla domäner, även de du har "bara för säkerhets skull";
• säg inte bara upp ett gammalt domän du en gång använde för e-post. Behåll det, och säkra det som ett icke e-postande domän (lektion 4.1).

Kapning: ditt registrarkonto och flyttkoden

Den snabbaste vägen till ett domän går via kontot hos din registrar. Den som loggar in där kan ändra namnservrarna och därmed på en gång omdirigera din webbplats och e-post. Behandla alltså det kontot som ett av dina viktigaste:

• slå på tvåfaktorsautentisering (2FA) (modul 2);
• bara personer med ett eget konto och de rättigheter de behöver (lektion 7.1). Din webbyrå bör helst bara få tillgång till DNS, inte till hela kontot;
• var uppmärksam på phishing kring ditt domän. "Ditt domän förfaller idag, betala här" eller "bekräfta dina uppgifter hos ICANN" är ett känt knep. Klicka aldrig på länken, utan logga in hos din registrar på egen hand.

En flyttkod (även kallad auktoriseringskod, EPP-kod eller token) krävs för att flytta ett domän till en annan registrar. Se den koden som en nyckel: begär den bara när du själv flyttar, dela den bara med den nya registraren, och var direkt uppmärksam om du får en flyttbekräftelse du inte väntat dig.

Dessutom finns det spärrar:

• En registrar-lock sätter statusen clientTransferProhibited (ofta tillsammans med clientDeleteProhibited och clientUpdateProhibited). Registryt vägrar då en flytt tills du eller din registrar tar bort spärren. För .com och liknande toppdomäner är detta vanligt; ICANN rekommenderar det.
• En registry lock går längre: ändringar hos registryt självt genomförs först efter en extra, manuell kontroll hos innehavaren. För .nl heter den tjänsten .nl Control. Den är främst avsedd för stora varumärken och kostar extra; för de flesta små företag räcker 2FA och ett väl förvaltat registrarkonto.

Svävande poster och subdomänkapning

Det här är den minst kända risken och den mest lömska. Ett exempel från verkligheten (anonymiserat):

Bakery Example hade från 2021 till 2024 en webbutik på winkel.example.com, med en CNAME-post till bakkerij-example.webwinkelplatform.example, och 2024 bytte bageriet plattform och sa upp abonnemanget. CNAME-posten blev kvar. Ett år senare skapade någon annan en butik hos samma plattform under det nu lediga namnet bakkerij-example. Från den stunden visade winkel.example.com en falsk butik, med ett giltigt certifikat och under bageriets namn.

En svävande post (dangling DNS) är en DNS-post som pekar på något du inte längre äger eller kontrollerar: en uppsagd tjänst, en borttagen molnserver, en IP-adress som nu tilldelats någon annan. Kan någon annan göra anspråk på det målet kallas det subdomänkapning (subdomain takeover). Angriparen får ett subdomän som tillhör dig, och kan använda det för att hosta phishingsidor som ser helt äkta ut, ibland till och med läsa cookies från ditt huvuddomän.

Skydd:

1. Uppsägning = ta bort DNS-posten först, säg sedan upp tjänsten. Lägg in det i din avvecklingsrutin för tjänster.
2. Gå igenom hela din DNS-zon en gång om året. Vet du inte vad en post är till för, ta reda på det. Gör en säkerhetskopia av zonen innan du tar bort något.
3. Var extra försiktig med wildcards (*.example.com) som pekar på en extern tjänst.

DNSSEC och CAA: extra lås

DNSSEC sätter en digital signatur på svaren från din DNS, så att en resolver kan kontrollera att de är äkta och inte har förfalskats på vägen. För .nl är det standard påslaget hos många leverantörer. Det skyddar mot förfalskade DNS-svar, inte mot ett kapat registrarkonto. Förklaring i vanligt språk finns i lektion 8.1 i DNS-kursen.

CAA är en DNS-post där du anger vilka certifikatutfärdare som får utfärda certifikat för ditt domän (RFC 8659). Utan CAA får vilken betrodd utfärdare som helst göra det. Med CAA gör du det svårare för en angripare att få tag i ett certifikat för ditt namn någon annanstans. Sätter du CAA, se till att ta med utfärdaren som ditt webbhotell använder, annars kan ditt eget certifikat inte längre förnyas. Mer i lektion 5.2 i DNS-kursen.

I praktiken: så här ser det ut

Statusen och förfallodatumet för ditt domän ser du i de offentliga registreringsuppgifterna (RDAP, efterföljaren till whois). Ett .com-domän visar till exempel:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Registrering: 2019-03-01
Går ut:    2027-03-01
DNSSEC:     ja

Inte alla registry visar ett förfallodatum: SIDN (.nl) visar inte det för .nl i RDAP. Då kollar du hos din registrar. Hos WebOké finns förfall, automatisk förnyelse, karantän, DNSSEC och CAA samlat på kortet Domän / E-post hälsa på domänsidan i Mitt WebOké, och i DNS-inställningarna finns en knapp för att göra en säkerhetskopia av din zon. Hos andra leverantörer fungerar det på liknande sätt.

Sammanfattning

• Den som förvaltar ditt domän tar emot din e-post och kan därmed återställa ditt lösenord var som helst.
• Håll innehavaruppgifterna korrekta, använd en innehavaradress utanför domänet självt och slå på automatisk förnyelse.
• Skydda ditt registrarkonto med 2FA och egna konton; se flyttkoden som en nyckel; en registrar-lock blockerar oönskade flyttar.
• Ta bort DNS-posten innan du säger upp en tjänst; gå igenom din zon årligen för att hitta svävande poster.
• DNSSEC skyddar mot förfalskade DNS-svar, CAA begränsar vem som får utfärda certifikat för ditt domän.

Quiz

Uppgift

Uppgift A4.3: Kontrollera skyddet av ditt domän. Fyll i ditt eget domännamn (har du inget, använd sidn.nl). Programmet hämtar status och förfallodatum från registryt (RDAP) och kontrollerar DNSSEC och CAA. Du får grönt, orange eller rött per punkt, eller ett informativt meddelande.

Uppgift D4.3: Domänlista och zonkontroll. Gör en lista över alla dina domäner med registrar, innehavare, förfall och vem som har tillgång. Gå sedan igenom DNS-zonen för ditt huvuddomän och ta reda på vad varje post är till för.

Läs mer

Stegen i WebOkés artiklar gäller för WebOkés miljö; hos andra leverantörer fungerar det på liknande sätt.

• E-post från ICANN eller registryn om din domän: äkta eller falsk, och vad ska du göra?
• WebOké manual 5.17: Domän och e-posthälsa: kontrollera och åtgärda
• Gör en backup av din DNS och återställ den
• Offentlig domänhälsa: https://www.weboke.se/domanhalsa
• DNS-kurs, lektionerna 1.3 (registry, registrar och innehavare), 5.2 (CAA) och 8.1 (DNSSEC): https://www.weboke.se/dns-cursus
• ICANN, EPP-statuskoder förklarade (engelska): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN (.nl), säga upp ditt domännamn och karantän: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, subdomänkapning (engelska): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers