Nečakaná zmena nameserverov alebo registrátora: prvé znaky únosu domény

Únos domény znamená, že niekto iný než vy získa kontrolu nad tým, kam vaša doména smeruje. Najpriamejšie cesty sú zmena nameserverov, prevod domény k inému registrátorovi alebo úprava záznamov DNS v účte u poskytovateľa DNS. Každý z týchto krokov je bežný administratívny úkon, preto je práve nečakaná zmena najskorší a najjasnejší varovný signál.

Kto ovláda vaše DNS, môže presmerovať návštevníkov webu aj prichádzajúcu poštu na vlastné servery. Keďže ovláda doménu, vie pre ňu získať aj platné certifikáty TLS, takže návštevníci neuvidia žiadne varovanie prehliadača.

Dobrá správa: tieto zmeny vidno zvonku a registrátori aj registre ponúkajú zámky, ktoré ich výrazne sťažujú.

Ako únos DNS prebieha v praxi

V januári 2019 vydala CISA Emergency Directive 19-01 po kampani, v ktorej útočníci získali prihlasovacie údaje k účtom, z ktorých sa dali meniť záznamy DNS. Upravili záznamy A, MX a NS tak, aby webová a poštová prevádzka išla cez ich infraštruktúru, a pre postihnuté domény získali platné certifikáty. Smernica (medzičasom zrušená) ukladala úradom preveriť záznamy DNS, zmeniť heslá k účtom DNS, zapnúť viacfaktorové overenie a sledovať záznamy Certificate Transparency. Tieto 4 kroky ostávajú dobrým základom pre každú organizáciu.

Najčastejšie vstupné body:

• Kompromitované prihlásenie k registrátorovi alebo poskytovateľovi DNS, často cez opakovane použité alebo vylákané heslo.
• Kompromitovaný mailový účet, na ktorý chodí obnova hesla od registrátora.
• Sociálne inžinierstvo zamerané na podporu registrátora.
• Expirovaná doména, ktorú zaregistroval niekto iný; o tom píšeme v článku čo sa stane, keď vaša doména expiruje.

Ako vyzerá nečakaná zmena

Zapíšte si, ako vyzerá bežný stav vašej domény, a porovnávajte s ním:

• Nameservery (NS): prechod od vášho obvyklého poskytovateľa DNS na neznáme servery.
• Registrátor: doménu zrazu spravuje registrátor, ktorého ste nikdy nepoužívali.
• Záznamy A, AAAA a CNAME: web zrazu smeruje na IP adresu v sieti, ktorú nepoužívate.
• Záznamy MX: pošta ide cez server, ktorý ste nenastavili.
• Stavové kódy EPP: ochranné zámky ako clientTransferProhibited zmizli bez dôvodu.
• Nové certifikáty: certifikát pre vašu doménu vydala certifikačná autorita, ktorú nepoužívate.

Ako si doménu overiť sami

Aktuálne hodnoty si prečítajte priamo:

dig NS example.com +short
dig A example.com +short
dig MX example.com +short
whois example.com | grep -i -E "registrar:|name server|status"

Výstup si uložte. Tie isté príkazy spúšťajte pravidelne a porovnávajte. Keď nájdete rozdiel, ktorý neviete vysvetliť, hneď sa spýtajte toho, kto vaše DNS spravuje.

Pri certifikátoch vyhľadajte svoju doménu v záznamoch Certificate Transparency na crt.sh a skontrolujte, kto certifikáty vydal. Viac v článku záznamy Certificate Transparency zrozumiteľne.

Zámky: registrar lock a registry lock

Prehľad stavových kódov EPP od ICANN opisuje stavy, ktoré doménu chránia:

• clientTransferProhibited: nastavuje ho váš registrátor. Register odmietne žiadosti o prevod domény k inému registrátorovi. Je to bežný „registrar lock“ a mal by byť zapnutý pri každej doméne, ktorú práve nepresúvate.
• clientUpdateProhibited a clientDeleteProhibited: register odmietne úpravy alebo zmazanie, kým váš registrátor tento stav neodstráni.
• Registry lock: niektorí prevádzkovatelia registrov ponúkajú službu, ktorá nastaví serverUpdateProhibited, serverTransferProhibited a serverDeleteProhibited. Tie sa nastavujú na úrovni registra, nie vo vašom účte u registrátora, a ICANN uvádza, že odstránenie stavov server spravidla trvá dlhšie. A presne o to ide. Spýtajte sa registrátora, či je služba pre vašu doménu najvyššej úrovne dostupná.

Samotný registrar lock nepomôže, ak sa útočník prihlási do vášho účtu u registrátora, pretože ho môže zrušiť. Registry lock pridáva krok mimo tohto účtu, takže samotné ukradnuté heslo k registrátorovi nestačí.

Zabezpečenie účtov, ktoré ovládajú DNS

• Viacfaktorové overenie pri účtoch u registrátora a poskytovateľa DNS, najlepšie bezpečnostný kľúč alebo passkey, nie SMS.
• Samostatný kontaktný mail pre registrátora, v schránke chránenej rovnako silno ako samotný účet u registrátora.
• Čo najmenej ľudí s prístupom a jeho odobratie hneď, keď niekto odíde.
• Záznam CAA so zoznamom certifikačných autorít, ktoré používate, podľa RFC 8659. Napríklad:

example.com.  CAA 0 issue "letsencrypt.org"

CAA nezastaví únoscu, ktorý ovláda vaše DNS a môže ho upraviť, ale sťaží, aby certifikát nečakane vydala iná autorita, a už samotná zmena CAA je varovný signál.

Keď uvidíte zmenu, ktorú ste neurobili

1. Kontaktujte registrátora a poskytovateľa DNS cez kontakt, ktorý už poznáte, nie cez odkaz z mailu.
2. Obnovte správne záznamy NS, A a MX a znova zapnite zámky.
3. Zmeňte heslá a znova nastavte viacfaktorové overenie na týchto účtoch aj na mailovom účte, kam chodia ich oznámenia.
4. V záznamoch Certificate Transparency vyhľadajte certifikáty vydané počas tohto obdobia a vydávajúcu autoritu požiadajte o zneplatnenie tých, ktoré ste nežiadali.
5. Heslá a relácie použité na vašom webe a v pošte počas tohto obdobia považujte za potenciálne prezradené.

Kontrolný zoznam

• Uložený základný stav NS, A, MX, registrátora a stavových kódov.
• Zapnutý registrar lock, zvážený registry lock.
• Viacfaktorové overenie u registrátora, v DNS a v prepojenej schránke.
• Zverejnený záznam CAA.
• Pravidelné porovnanie so základným stavom.

Kde pomáha Datahorses

Datahorses stráži vašu firmu zvonku a sleduje zmeny vašich nameserverov, registrátora, záznamov DNS a novo vydaných certifikátov. Do vašich systémov nevstupujeme a žiadne prístupy nepotrebujeme. Každú nečakanú zmenu posúdi náš špecialista a pošleme vám, čo sa zmenilo, kedy a čo urobiť ako prvé. Pozrite sa, ako strážime a čo sa stane, keď niečo nájdeme.