Nečekaná změna nameserverů nebo registrátora: první známky únosu domény

Únos domény znamená, že nad tím, kam vaše doména míří, získá kontrolu někdo jiný než vy. Nejpřímější cestou k tomu je změna nameserverů, převod domény k jinému registrátorovi nebo úprava DNS záznamů v účtu u vašeho poskytovatele DNS. Každý z těchto kroků je běžný administrativní úkon, a právě proto je nečekaná změna prvním a nejjasnějším varovným signálem.

Kdo ovládá vaše DNS, může návštěvníky webu i vaši příchozí poštu poslat na vlastní servery. Když ovládá doménu, může pro ni získat i platné TLS certifikáty, takže návštěvníci neuvidí žádné varování prohlížeče.

Dobrá zpráva: tyto změny jsou zvenčí vidět a registrátoři i registry nabízejí zámky, které je výrazně ztěžují.

Jak k únosu DNS dochází v praxi

V lednu 2019 vydala CISA Emergency Directive 19-01 po kampani, v níž útočníci získali přihlašovací údaje k účtům, přes které lze měnit DNS záznamy. Upravili záznamy A, MX a NS tak, aby webový a poštovní provoz vedl přes infrastrukturu pod jejich kontrolou, a pro zasažené domény získali platné certifikáty. Směrnice (dnes již ukončená) ukládala úřadům prověřit DNS záznamy, změnit hesla k DNS účtům, zavést vícefaktorové ověření a sledovat záznamy Certificate Transparency. Tyto 4 kroky zůstávají dobrým základem pro jakoukoli organizaci.

Nejčastější vstupní body:

• Kompromitované přihlášení k registrátorovi nebo poskytovateli DNS, často kvůli opakovaně použitému nebo vylákanému heslu.
• Kompromitovaný e-mailový účet, na který chodí zprávy registrátora o obnově hesla.
• Sociální inženýrství vůči podpoře registrátora.
• Expirovaná doména, kterou si zaregistroval někdo jiný. Tomu se věnuje článek co se stane, když vaše doména vyprší.

Jak vypadá nečekaná změna

Zaznamenejte si, jaký stav je pro vaši doménu běžný, a porovnávejte s ním:

• Nameservery (NS): přechod od vašeho obvyklého poskytovatele DNS na neznámé servery.
• Registrátor: doménu nyní spravuje registrátor, kterého jste nikdy nepoužili.
• Záznamy A, AAAA a CNAME: váš web najednou míří na IP adresu v síti, kterou nepoužíváte.
• Záznamy MX: pošta vede přes server, který jste nenastavili.
• Stavové kódy EPP: ochranné zámky jako clientTransferProhibited zmizely bez zjevného důvodu.
• Nové certifikáty: certifikát pro vaši doménu vydaný certifikační autoritou, kterou nepoužíváte.

Jak doménu zkontrolovat sami

Aktuální hodnoty zjistíte přímo:

dig NS example.com +short
dig A example.com +short
dig MX example.com +short
whois example.com | grep -i -E "registrar:|name server|status"

Výstup si uložte. Stejné příkazy spouštějte pravidelně a výsledky porovnávejte. Každý rozdíl, který neumíte vysvětlit, hned proberte s tím, kdo vaše DNS spravuje.

U certifikátů vyhledejte svou doménu v záznamech Certificate Transparency na crt.sh a podívejte se na vydavatele. Více v článku Záznamy Certificate Transparency srozumitelně.

Zámky: registrar lock a registry lock

Přehled stavových kódů EPP od ICANN popisuje stavy, které doménu chrání:

• clientTransferProhibited: nastavuje ho váš registrátor. Registr odmítá žádosti o převod domény k jinému registrátorovi. Jde o běžný „registrar lock“ a měl by být zapnutý u každé domény, kterou právě nepřevádíte.
• clientUpdateProhibited a clientDeleteProhibited: registr odmítá změny nebo smazání, dokud váš registrátor stav neodstraní.
• Registry lock: někteří provozovatelé registrů nabízejí službu, která nastaví serverUpdateProhibited, serverTransferProhibited a serverDeleteProhibited. Tyto stavy se nastavují na úrovni registru, ne ve vašem účtu u registrátora, a ICANN uvádí, že odstranění serverového stavu obvykle trvá déle, a právě o to jde. Zeptejte se svého registrátora, zda je služba dostupná pro vaši doménu nejvyššího řádu.

Samotný registrar lock nepomůže, pokud se útočník přihlásí do vašeho účtu u registrátora, protože ho tam může sám vypnout. Registry lock přidává krok mimo tento účet, takže samotné ukradené heslo k registrátorovi nestačí.

Zabezpečení účtů, které ovládají DNS

• Vícefaktorové ověření u účtů registrátora a poskytovatele DNS, ideálně bezpečnostní klíč nebo passkey, ne SMS.
• Vyhrazený kontaktní e-mail pro registrátora, ve schránce chráněné stejně silně jako samotný účet u registrátora.
• Co nejméně lidí s přístupem a odebrání přístupu, jakmile někdo odejde.
• Záznam CAA se seznamem certifikačních autorit, které používáte, definovaný v RFC 8659. Například:

example.com.  CAA 0 issue "letsencrypt.org"

CAA nezastaví útočníka, který ovládá vaše DNS a může ho upravit, ztíží ale neplánované vydání certifikátu jinými autoritami a už samotná změna CAA je varovným signálem.

Když uvidíte změnu, kterou jste neprovedli

1. Kontaktujte registrátora a poskytovatele DNS přes kontakt, který znáte, ne přes odkaz z e-mailu.
2. Obnovte správné záznamy NS, A a MX a znovu zapněte zámky.
3. Změňte hesla a obnovte vícefaktorové ověření u těchto účtů i u e-mailového účtu, na který chodí jejich upozornění.
4. V záznamech Certificate Transparency vyhledejte certifikáty vydané v daném období a požádejte vydávající autoritu o zneplatnění těch, o které jste nežádali.
5. Hesla a relace použité na vašem webu a v poště během tohoto období považujte za potenciálně vyzrazené.

Kontrolní seznam

• Uložený výchozí stav NS, A, MX, registrátora a stavových kódů.
• Zapnutý registrar lock, zvážený registry lock.
• Vícefaktorové ověření u registrátora, DNS i propojené schránky.
• Zveřejněný záznam CAA.
• Pravidelné porovnání s výchozím stavem.

Kde pomůže Datahorses

Datahorses sleduje vaši firmu zvenčí a kontroluje změny nameserverů, registrátora a DNS záznamů i nově vydané certifikáty. Do vašich systémů nevstupujeme a žádné přístupy nepotřebujeme. Každou nečekanou změnu posoudí náš specialista a pošle vám ji s informací, co se změnilo, kdy a co udělat jako první. Podívejte se, jak hlídáme a co se stane, když něco najdeme.