Odottamaton nimipalvelimen tai verkkotunnusvälittäjän vaihto: verkkotunnuksen kaappauksen varhainen merkki

Verkkotunnuksen kaappaus tarkoittaa, että joku muu kuin te saa määräysvallan siihen, mihin verkkotunnuksenne osoittaa. Suorimmat keinot ovat nimipalvelimien vaihtaminen, verkkotunnuksen siirtäminen toiselle verkkotunnusvälittäjälle tai DNS-tietueiden muokkaaminen DNS-palveluntarjoajan tilillä. Jokainen näistä on tavallinen hallinnollinen toimenpide, ja siksi odottamaton muutos on varhaisin ja selvin varoitusmerkki.

Se, joka hallitsee DNS:äänne, voi ohjata verkkosivustonne kävijät ja saapuvan sähköpostinne omille palvelimilleen. Koska hän hallitsee verkkotunnusta, hän voi myös hankkia sille voimassa olevat TLS-varmenteet, joten kävijät eivät näe selaimen varoitusta.

Hyvä uutinen on, että nämä muutokset näkyvät ulospäin, ja verkkotunnusvälittäjät ja rekisterit tarjoavat lukkoja, jotka tekevät muutoksista paljon vaikeampia toteuttaa.

Miten DNS-kaappaus tapahtuu käytännössä

Tammikuussa 2019 CISA antoi Emergency Directive 19-01 -direktiivin kampanjan jälkeen, jossa hyökkääjät hankkivat tunnukset tileille, joilla pystyi muuttamaan DNS-tietueita. He muuttivat A-, MX- ja NS-tietueita ohjatakseen verkko- ja sähköpostiliikenteen hallitsemansa infrastruktuurin kautta ja hankkivat voimassa olevat varmenteet kohteena olleille verkkotunnuksille. Direktiivi (sittemmin päättynyt) velvoitti virastot tarkastamaan DNS-tietueet, vaihtamaan DNS-tilien salasanat, ottamaan käyttöön monivaiheisen tunnistautumisen ja seuraamaan Certificate Transparency -lokeja. Nämä 4 toimenpidettä ovat yhä hyvä perustaso mille tahansa organisaatiolle.

Tavallisia sisäänpääsyreittejä ovat:

• Vaarantunut verkkotunnusvälittäjän tai DNS-palveluntarjoajan kirjautuminen, usein uudelleenkäytetyn tai kalastellun salasanan kautta.
• Vaarantunut sähköpostitili, johon verkkotunnusvälittäjän salasanan palautusviestit tulevat.
• Rekisterinpitäjän asiakastuen manipulointi (social engineering).
• Vanhentunut verkkotunnus, jonka joku muu rekisteröi uudelleen.
• Unohtunut DNS-tietue, joka osoittaa yhä palveluun, jota ette enää käytä; tähän liittyvää riskiä kuvaa aliverkkotunnuksen kaappaus.

Miltä odottamaton muutos näyttää

Pitäkää kirjaa siitä, mikä on verkkotunnuksellenne normaalia, ja verratkaa:

• Nimipalvelimet (NS): vaihto tavallisesta DNS-palveluntarjoajastanne tuntemattomiin palvelimiin.
• Rekisterinpitäjä: verkkotunnusta hallinnoi nyt verkkotunnusvälittäjä, jota ette ole koskaan käyttäneet.
• A-, AAAA- ja CNAME-tietueet: verkkosivustonne osoittaa yhtäkkiä IP-osoitteeseen verkossa, jota ette käytä.
• MX-tietueet: posti kulkee palvelimen kautta, jota ette ole ottaneet käyttöön.
• EPP-tilakoodit: suojaavat lukot, kuten clientTransferProhibited, on poistettu ilman syytä.
• Uudet varmenteet: verkkotunnuksellenne on myönnetty varmenne varmentajalta, jota ette käytä.

Miten tarkistatte verkkotunnuksenne itse

Lukekaa nykyiset arvot suoraan:

dig NS example.com +short
dig A example.com +short
dig MX example.com +short
whois example.com | grep -i -E "registrar:|name server|status"

Tallentakaa tuloste. Ajakaa samat komennot säännöllisesti ja verratkaa. Jos huomaatte eron, jota ette osaa selittää, kysykää siitä heti siltä, joka hallinnoi DNS:äänne.

Varmenteiden osalta hakekaa verkkotunnuksenne Certificate Transparency -lokeista palvelussa crt.sh ja katsokaa myöntäjät. Lisää artikkelissa Certificate Transparency -lokit selitettynä.

Lukot: registrar lock ja registry lock

ICANNin EPP-tilakoodien viiteopas kuvaa tilat, jotka suojaavat verkkotunnusta:

• clientTransferProhibited: verkkotunnusvälittäjänne asettama. Rekisteri hylkää pyynnöt siirtää verkkotunnus toiselle verkkotunnusvälittäjälle. Tämä on tavallinen "registrar lock" eli siirtolukko, ja sen pitäisi olla päällä jokaisessa verkkotunnuksessa, jota ette parhaillaan siirrä.
• clientUpdateProhibited ja clientDeleteProhibited: rekisteri hylkää muutokset tai poiston, kunnes verkkotunnusvälittäjänne poistaa tilan.
• Registry lock: jotkin rekisterioperaattorit tarjoavat palvelun, joka asettaa tilat serverUpdateProhibited, serverTransferProhibited ja serverDeleteProhibited. Ne asetetaan rekisterin tasolla eikä verkkotunnusvälittäjän tilillänne, ja ICANN toteaa, että server-tilan poistaminen kestää yleensä kauemmin, mikä on juuri tarkoitus. Kysykää verkkotunnusvälittäjältänne, onko palvelu saatavilla ylätason verkkotunnuksellenne.

Pelkkä registrar lock ei auta, jos hyökkääjä kirjautuu verkkotunnusvälittäjän tilillenne, koska hän voi poistaa sen. Registry lock lisää vaiheen tilin ulkopuolelle, joten pelkkä varastettu verkkotunnusvälittäjän salasana ei riitä.

DNS:ää hallitsevien tilien koventaminen

• Monivaiheinen tunnistautuminen verkkotunnusvälittäjän ja DNS-palveluntarjoajan tileillä, mieluiten turva-avain tai pääsyavain (passkey) tekstiviestin sijaan.
• Erillinen yhteyssähköposti verkkotunnusvälittäjälle, postilaatikossa, joka on suojattu yhtä vahvasti kuin itse verkkotunnusvälittäjän tili.
• Pääsy vain harvoilla henkilöillä, ja oikeudet poistetaan, kun joku lähtee.
• CAA-tietue, jossa luetellaan käyttämänne varmentajat ja joka on määritelty standardissa RFC 8659. Esimerkiksi:

example.com.  CAA 0 issue "letsencrypt.org"

CAA ei estä DNS:änne hallitsevaa kaappaajaa muokkaamasta sitä, mutta se vaikeuttaa suunnittelemattomia myöntöjä muilta varmentajilta, ja jo CAA-tietueen muuttuminen on itsessään varoitusmerkki.

Jos huomaatte muutoksen, jota ette tehneet

1. Ottakaa yhteyttä verkkotunnusvälittäjään ja DNS-palveluntarjoajaan tunnetun kanavan kautta, ei sähköpostin linkistä.
2. Palauttakaa oikeat NS-, A- ja MX-tietueet ja ottakaa lukot uudelleen käyttöön.
3. Vaihtakaa salasanat ja nollatkaa monivaiheinen tunnistautuminen näillä tileillä sekä sähköpostitilillä, joka vastaanottaa niiden ilmoitukset.
4. Tarkistakaa Certificate Transparency -lokeista ajanjaksolla myönnetyt varmenteet ja pyytäkää myöntänyttä varmentajaa peruuttamaan ne, joita ette tilanneet.
5. Käsitelkää sivustollanne ja sähköpostissanne kyseisenä aikana käytettyjä salasanoja ja istuntoja mahdollisesti paljastuneina.

Tarkistuslista

• Perustaso NS-, A- ja MX-tietueista, verkkotunnusvälittäjästä ja tilakoodeista tallennettu.
• Registrar lock päällä, registry lock harkittu.
• Monivaiheinen tunnistautuminen verkkotunnusvälittäjällä, DNS:ssä ja niihin liitetyssä postilaatikossa.
• CAA-tietue julkaistu.
• Säännöllinen vertailu perustasoon.

Miten Datahorses auttaa

Datahorses valvoo yritystänne ulkoapäin ja tarkistaa nimipalvelimienne, verkkotunnusvälittäjänne, DNS-tietueidenne ja uusien varmenteiden muutokset. Emme mene järjestelmiinne emmekä tarvitse pääsyoikeuksia. Odottamattoman muutoksen tarkistaa ihminen, ja saatte tiedon siitä, mikä muuttui ja milloin sekä mitä tehdä ensimmäiseksi. Katsokaa, miten valvomme ja mitä tapahtuu, kun löydämme jotain.