Ένα domain χωρίς ασφάλεια περιμένει να πάθει κάτι. Κάθε χρόνο, επωνυμίες χάνουν την πρόσβαση στα domains τους από επιθέσεις που θα είχαν αποφευχθεί με λίγες απλές ρυθμίσεις. Η ζημιά δεν σταματά στη διεύθυνση. Όταν κάποιος αποκτά τον έλεγχο του domain σου, ελέγχει την ιστοσελίδα, το email, την κατάταξή σου στις μηχανές αναζήτησης και την εμπιστοσύνη που έχουν οι επισκέπτες στο όνομά σου. Η ασφάλεια του domain δεν είναι ένα εργαλείο ή μία ρύθμιση. Είναι ένας συνδυασμός προστασιών που δουλεύουν μαζί, ώστε το domain σου να είναι δύσκολο να παραβιαστεί.
Τι καλύπτει η ασφάλεια του domain;
Η ασφάλεια του domain είναι ό,τι προστατεύει ένα domain από μη εξουσιοδοτημένη πρόσβαση, μεταφορά και αλλαγή. Καλύπτει τρεις τομείς.
Ο πρώτος είναι η ασφάλεια του λογαριασμού. Προστατεύεις τον λογαριασμό σου στον registrar, ώστε να μην μπορεί κανείς άλλος να συνδεθεί και να κάνει αλλαγές. Περιλαμβάνει ισχυρούς κωδικούς, ταυτοποίηση δύο παραγόντων και ασφαλές email επικοινωνίας.
Ο δεύτερος είναι η προστασία από μεταφορά. Εμποδίζει κάποιον να μετακινήσει το domain σου σε άλλον registrar χωρίς την άδειά σου. Το κλείδωμα του registrar και οι κωδικοί εξουσιοδότησης είναι τα βασικά εργαλεία.
Ο τρίτος είναι η προστασία του DNS. Οι εγγραφές DNS λένε στο διαδίκτυο πού βρίσκεται η ιστοσελίδα σου και πού πηγαίνει το email σου. Αν κάποιος τις αλλάξει, μπορεί να ανακατευθύνει την κίνησή σου χωρίς να μεταφέρει ποτέ το domain.
Οι περισσότερες αποτυχίες ασφάλειας συμβαίνουν επειδή ένας από αυτούς τους τρεις τομείς μένει ανοιχτός. Για να μείνει το domain σου ασφαλές, πρέπει να καλύψεις και τους τρεις.
Ποιες είναι οι μεγαλύτερες απειλές για το domain σου;
Οι απειλές χωρίζονται σε κατηγορίες. Κάθε μία στοχεύει διαφορετική αδυναμία και χρειάζεται διαφορετική άμυνα.
Domain hijacking
Hijacking είναι όταν κάποιος μεταφέρει το domain σου σε άλλον registrar ή περνά την κυριότητα στον δικό του λογαριασμό. Μόλις ολοκληρωθεί η μεταφορά, δεν μπορείς να το διαχειριστείς, να το ανανεώσεις ή να το κατευθύνεις πουθενά. Η επαναφορά είναι αργή και δεν πετυχαίνει πάντα. Για να δεις αναλυτικά πώς δουλεύει το hijacking και πώς το αποτρέπεις, το κεφάλαιο πώς να προστατεύσεις το domain σου από hijacking εξηγεί κάθε βήμα.
Αρπαγή domain που έληξε
Όταν λήγει η καταχώριση ενός domain, μπαίνει σε περίοδο χάριτος και τελικά γίνεται διαθέσιμο σε όποιον θέλει να το καταχωρίσει. Επιτιθέμενοι και κερδοσκόποι παρακολουθούν ενεργά τα domains που λήγουν, ειδικά όσα έχουν κίνηση και backlinks. Μόλις ένα domain πέσει, το καταχωρίζουν. Από εκεί και πέρα, για να το πάρεις πίσω πρέπει να διαπραγματευτείς με όποιον το άρπαξε. Το κεφάλαιο λήξη του domain εξηγεί κάθε φάση της λήξης και τι γίνεται σε κάθε στάδιο.
Επιθέσεις phishing σε λογαριασμούς registrar
Είναι από τις πιο συχνές πόρτες εισόδου. Ο επιτιθέμενος στέλνει ένα email που μοιάζει να ήρθε από τον registrar σου. Προειδοποιεί ότι το domain σου πρόκειται να λήξει, ότι εντοπίστηκε ύποπτη σύνδεση ή ότι ο λογαριασμός σου χρειάζεται επαλήθευση. Ο σύνδεσμος οδηγεί σε ψεύτικη σελίδα σύνδεσης. Αν βάλεις τα στοιχεία σου, ο επιτιθέμενος έχει πλέον το όνομα χρήστη και τον κωδικό σου και μπορεί να μπει στον πραγματικό σου λογαριασμό.
Η άμυνα είναι απλή, αλλά θέλει πειθαρχία. Μην πατάς ποτέ συνδέσμους σύνδεσης που έρχονται με email. Μπαίνεις πάντα απευθείας στον ιστότοπο του registrar από τον browser σου.
Παραποίηση του DNS
Η παραποίηση του DNS αλλάζει πού δείχνει το domain σου, χωρίς να αλλάξει ποιος το κατέχει. Ένας επιτιθέμενος που αποκτά πρόσβαση στον λογαριασμό σου στον registrar ή στον πάροχο DNS μπορεί να αλλάξει τις εγγραφές A, τις εγγραφές MX ή τους nameservers. Η κίνηση της ιστοσελίδας σου πηγαίνει σε άλλον server. Το email σου δρομολογείται σε γραμματοκιβώτιο που δεν ελέγχεις. Οι επισκέπτες βλέπουν μια σελίδα που μοιάζει με τη δική σου, αλλά δεν είναι.
Το δύσκολο είναι ότι η παραποίηση του DNS μπορεί να περάσει απαρατήρητη για ώρες ή ημέρες, αν δεν παρακολουθείς ενεργά τις εγγραφές σου. Μέχρι να το καταλάβεις, ο επιτιθέμενος μπορεί να έχει υποκλέψει δεδομένα πελατών, να έχει καταγράψει κωδικούς ή να έχει βλάψει τη φήμη σου.
Social engineering
Κάποιοι επιτιθέμενοι παραλείπουν εντελώς την τεχνική οδό. Παίρνουν τηλέφωνο την υποστήριξη του registrar σου, παριστάνουν εσένα και ζητούν επαναφορά των στοιχείων του λογαριασμού. Αν τα στοιχεία WHOIS είναι δημόσια ορατά, έχουν ήδη το όνομα, το email, το τηλέφωνο και τη διεύθυνσή σου για να πείσουν. Με αρκετά προσωπικά στοιχεία, περνούν ελέγχους ταυτότητας που φτιάχτηκαν για να σε προστατεύουν.
Πώς ασφαλίζεις το domain σου με το κλείδωμα registrar;
Το κλείδωμα registrar, που λέγεται και κλείδωμα μεταφοράς, είναι μια ρύθμιση κατάστασης που εμποδίζει τη μεταφορά του domain σου σε άλλον registrar. Όταν το κλείδωμα είναι ενεργό, κάθε αίτημα μεταφοράς απορρίπτεται αυτόματα. Είναι η πιο αποτελεσματική προστασία από μη εξουσιοδοτημένες μεταφορές.
Οι περισσότεροι registrars το προσφέρουν δωρεάν. Μερικοί το αφήνουν ανενεργό από προεπιλογή, οπότε πρέπει να συνδεθείς και να το ενεργοποιήσεις μόνος σου. Απενεργοποίησέ το μόνο όταν μεταφέρεις ενεργά το domain σε νέο registrar και ενεργοποίησέ το ξανά αμέσως μετά.
Το επόμενο κεφάλαιο καλύπτει αναλυτικά το κλείδωμα domain, με τους διάφορους τύπους κλειδώματος και πότε ισχύει ο καθένας.
Γιατί μετράει η ταυτοποίηση δύο παραγόντων στα domains;
Η ταυτοποίηση δύο παραγόντων (2FA) προσθέτει δεύτερο βήμα επαλήθευσης όταν συνδέεσαι στον λογαριασμό σου στον registrar. Ακόμα κι αν ένας επιτιθέμενος κλέψει τον κωδικό σου με phishing ή διαρροή δεδομένων, δεν μπορεί να μπει αν δεν ελέγχει και τον δεύτερο παράγοντα.
Προτίμησε μια εφαρμογή ταυτοποίησης από την επαλήθευση με SMS. Οι κωδικοί SMS μπορούν να υποκλαπούν με επιθέσεις SIM swap, όπου κάποιος πείθει τον πάροχο κινητής να περάσει τον αριθμό σου σε συσκευή που ελέγχει αυτός. Μια εφαρμογή ταυτοποίησης είναι δυσκολότερο να παραβιαστεί.
Ενεργοποίησε το 2FA στον λογαριασμό σου στον registrar και στη διεύθυνση email που είναι συνδεδεμένη με αυτόν. Αν κάποιο από τα δύο μένει απροστάτευτο, ο επιτιθέμενος το χρησιμοποιεί σαν είσοδο.
Πώς προστατεύει το domain σου ένας ισχυρός κωδικός;
Ο κωδικός του λογαριασμού σου στον registrar είναι το πρώτο εμπόδιο ανάμεσα στον επιτιθέμενο και στο domain σου. Αν είναι μικρός, συνηθισμένος ή ίδιος με κάποια άλλη υπηρεσία, το εμπόδιο ουσιαστικά δεν υπάρχει.
Οι επιτιθέμενοι χρησιμοποιούν αυτόματα εργαλεία που δοκιμάζουν στις σελίδες σύνδεσης των registrars συνδυασμούς ονόματος χρήστη και κωδικού από διαρροές άλλων υπηρεσιών. Αν είχες τον ίδιο κωδικό σε ένα φόρουμ που παραβιάστηκε πριν από τρία χρόνια, ο λογαριασμός σου στον registrar κινδυνεύει σήμερα.
Χρησιμοποίησε έναν διαχειριστή κωδικών για να φτιάξεις τυχαίο κωδικό τουλάχιστον 16 χαρακτήρων. Κράτα τον μέσα στον διαχειριστή. Μην τον γράφεις πουθενά, μην τον ξαναχρησιμοποιείς και μην βάζεις παραλλαγή κωδικού που χρησιμοποιείς αλλού.
Τι ρόλο παίζει το απόρρητο WHOIS στην ασφάλεια του domain;
Το απόρρητο WHOIS αντικαθιστά τα προσωπικά σου στοιχεία καταχώρισης στη δημόσια βάση WHOIS με στοιχεία proxy του registrar σου. Το πραγματικό σου όνομα, email, τηλέφωνο και η διεύθυνσή σου μένουν κρυφά από όποιον κάνει δημόσια αναζήτηση.
Έχει σημασία για την ασφάλεια, γιατί κάθε προσωπική πληροφορία που βρίσκει ο επιτιθέμενος κάνει το social engineering πιο εύκολο. Αν ξέρει το όνομα, το email και τη διεύθυνσή σου, το να παριστάνει εσένα γίνεται απλό. Το απόρρητο WHOIS βγάζει αυτά τα στοιχεία από τη δημόσια θέα. Το κεφάλαιο απόρρητο domain εξηγεί πώς δουλεύει και ποιος πρέπει να το έχει ενεργό.
Πρέπει να ενεργοποιήσεις την αυτόματη ανανέωση;
Ναι. Η αυτόματη ανανέωση εμποδίζει το domain να λήξει επειδή ξέχασες την ημερομηνία ή επειδή το email ανανέωσης έπεσε στα ανεπιθύμητα. Ένα domain που έληξε είναι εύκολος στόχος. Οι επιτιθέμενοι παρακολουθούν βάσεις με τις λήξεις και καταχωρίζουν αξιόλογα domains μόλις γίνουν διαθέσιμα.
Ενεργοποίησε την αυτόματη ανανέωση σε κάθε domain που έχεις. Μετά έλεγξε ότι ο τρόπος πληρωμής που έχεις δηλώσει είναι σε ισχύ. Μια αποτυχημένη πληρωμή κάνει την αυτόματη ανανέωση άχρηστη. Βάλε υπενθύμιση στο ημερολόγιο 60 ημέρες πριν από τη λήξη, ως εφεδρεία. Αν η αυτόματη ανανέωση αποτύχει για οποιονδήποτε λόγο, έχεις χρόνο να το διορθώσεις πριν πέσει το domain.
Πώς διαλέγεις registrar που παίρνει στα σοβαρά την ασφάλεια;
Δεν προσφέρουν όλοι οι registrars το ίδιο επίπεδο προστασίας. Πριν διαλέξεις, έλεγξε αν υποστηρίζουν 2FA, αν έχουν κλείδωμα registrar, αν το απόρρητο WHOIS περιλαμβάνεται και πώς χειρίζεται η υποστήριξή τους τα αιτήματα ανάκτησης λογαριασμού.
Ένας registrar που επαληθεύει καλά την ταυτότητά σου πριν κάνει αλλαγές στον λογαριασμό είναι πιο ασφαλής από έναν που εξυπηρετεί γρήγορα με ελάχιστους ελέγχους. Η ευκολία της γρήγορης υποστήριξης γίνεται αδυναμία όταν αυτός που τηλεφωνεί είναι επιτιθέμενος.
Ψάξε registrars που προσφέρουν όλες τις λειτουργίες ασφαλείας μέσα στην κανονική καταχώριση, όχι ως πληρωμένα πρόσθετα που πρέπει να θυμηθείς να ενεργοποιήσεις.
Πώς πρέπει να μοιάζει η λίστα ελέγχου ασφάλειας του domain σου;
Πέρασε αυτή τη λίστα για κάθε domain που έχεις. Αν κάποιο σημείο δεν είναι τσεκαρισμένο, διόρθωσέ το τώρα.
- Το κλείδωμα registrar είναι ενεργό
- Η ταυτοποίηση δύο παραγόντων είναι ενεργή στον λογαριασμό σου στον registrar
- Η ταυτοποίηση δύο παραγόντων είναι ενεργή στο email που είναι συνδεδεμένο με τον registrar
- Ο κωδικός σου στον registrar είναι μοναδικός, τυχαίος και τουλάχιστον 16 χαρακτήρων
- Ο κωδικός του email του registrar είναι μοναδικός και προστατεύεται με 2FA
- Το απόρρητο WHOIS είναι ενεργό
- Η αυτόματη ανανέωση είναι ενεργή
- Ο τρόπος πληρωμής που έχεις δηλώσει είναι σε ισχύ και δεν λήγει πριν από την επόμενη ανανέωση
- Έχεις επιβεβαιώσει ότι η διαδικασία ανάκτησης λογαριασμού του registrar απαιτεί ισχυρή επαλήθευση ταυτότητας
- Ελέγχεις κάθε τόσο τις εγγραφές DNS σου, για να βεβαιωθείς ότι δεν άλλαξε τίποτα
Κάθε σημείο της λίστας απαντά σε μια συγκεκριμένη απειλή. Το κλείδωμα registrar σταματά τις μη εξουσιοδοτημένες μεταφορές. Το 2FA κάνει άχρηστους τους κλεμμένους κωδικούς. Το απόρρητο WHOIS αφαιρεί την πρώτη ύλη του social engineering. Η αυτόματη ανανέωση εμποδίζει τις επιθέσεις που βασίζονται στη λήξη. Μαζί φτιάχνουν μια πλήρη ρύθμιση ασφάλειας domain.
Η ασφάλεια του domain και το WEMASY
Ο Δημιουργός ιστοσελίδων του WEMASY σού επιτρέπει να φτιάξεις τις δικές σου σελίδες στην ιστοσελίδα σου.
Μπορείς να κάνεις μόνος σου τη λίστα ελέγχου παραπάνω για κάθε domain σου.
Δες τι περιλαμβάνει κάθε πακέτο στη σελίδα τιμές του WEMASY.
Συχνές ερωτήσεις
Μπορεί κάποιος να κλέψει το domain μου αν έχω ενεργοποιήσει όλες τις ρυθμίσεις ασφαλείας;
Καμία ρύθμιση ασφάλειας δεν είναι απόλυτα άθραυστη, αλλά όταν έχεις μαζί κλείδωμα registrar, 2FA, ισχυρό μοναδικό κωδικό και απόρρητο WHOIS, μια επιτυχημένη επίθεση είναι εξαιρετικά απίθανη. Κάθε επίπεδο μπλοκάρει διαφορετική μέθοδο επίθεσης. Ο επιτιθέμενος θα έπρεπε να τα παρακάμψει όλα ταυτόχρονα, κάτι που θέλει πολύ περισσότερη προσπάθεια από το να στοχεύσει domain με αδύναμη προστασία. Με τον δημιουργό ιστοσελίδων του WEMASY, μπορείς να φτιάξεις τις δικές σου σελίδες στην ιστοσελίδα σου.
Πόσο συχνά πρέπει να ελέγχω τις ρυθμίσεις ασφαλείας του domain μου;
Τουλάχιστον μία φορά κάθε τρεις μήνες. Συνδέσου στον λογαριασμό σου στον registrar, επιβεβαίωσε ότι το κλείδωμα registrar είναι ακόμα ενεργό, έλεγξε ότι το email επικοινωνίας είναι προσβάσιμο, δες ότι η αυτόματη ανανέωση δουλεύει και κοίτα τις εγγραφές DNS για αλλαγές που δεν έκανες εσύ. Αν ο registrar σου στέλνει email ειδοποίησης, φρόντισε να πηγαίνουν σε γραμματοκιβώτιο που παρακολουθείς.
Η ασφάλεια του domain διαφέρει από την ασφάλεια της ιστοσελίδας;
Ναι. Η ασφάλεια του domain προστατεύει το ίδιο το όνομα: ποιος το κατέχει, πού δείχνει και ποιος μπορεί να το μεταφέρει. Η ασφάλεια της ιστοσελίδας προστατεύει το περιεχόμενο, τον κώδικα και τα δεδομένα στον server που δείχνει το domain σου. Τα χρειάζεσαι και τα δύο. Μια τέλεια ασφαλισμένη ιστοσελίδα μένει ευάλωτη αν κάποιος πάρει τον έλεγχο του domain και ανακατευθύνει την κίνηση αλλού.
Το πιστοποιητικό SSL μετράει ως ασφάλεια domain;
Το πιστοποιητικό SSL κρυπτογραφεί τη σύνδεση ανάμεσα στον browser του επισκέπτη και τον server σου. Προστατεύει τα δεδομένα που ταξιδεύουν, αλλά δεν προστατεύει το ποιος κατέχει ή ελέγχει το ίδιο το domain. Αν ένας επιτιθέμενος μεταφέρει το domain σου στον δικό του λογαριασμό, μπορεί να εκδώσει νέο πιστοποιητικό SSL γι' αυτό. Το SSL ανήκει στη συνολική ασφάλεια της ιστοσελίδας, όχι ειδικά στην ασφάλεια του domain.
Τι πρέπει να κάνω πρώτα αν πιστεύω ότι το domain μου έχει παραβιαστεί;
Άλλαξε αμέσως τον κωδικό του λογαριασμού σου στον registrar και ενεργοποίησε το 2FA, αν δεν είναι ήδη ενεργό. Μετά έλεγξε τις εγγραφές DNS για αλλαγές που δεν εξουσιοδότησες. Επικοινώνησε με την υποστήριξη του registrar και δήλωσε την πιθανή παραβίαση. Αν έχει ξεκινήσει μεταφορά, ζήτησε να παγώσει. Κατάγραψε τα πάντα με στιγμιότυπα οθόνης, για κάθε διαδικασία διένεξης που ακολουθεί.
Το επόμενο κεφάλαιο καλύπτει το κλείδωμα domain: τους τύπους κλειδώματος, πώς δουλεύουν και πότε να χρησιμοποιείς τον καθένα.