השאלה שרוב הבעלים לא יודעים לענות עליה
אם מישהו היה שואל אתכם עכשיו מי שולט בדומיין של החברה שלכם, הייתם יודעים לענות? לא מי שמופיע בחשבונית, אלא מי שיכול להתחבר ולשנות לאן האתר מפנה, לאן המייל הולך, ולמי הדומיין שייך.
בעבודת ההטמעה שלנו, זה הפער הנפוץ ביותר שאנחנו מוצאים. הדומיין נרשם לפני שנים על ידי מפתח אתרים, יועץ IT, או מישהו שכבר עזב. חשבון הרג'יסטרר יושב בתיבת דואר אישית. הסיסמה נמצאת בדפדפן שאף אחד כבר לא משתמש בו. והעסק ממשיך לשלם עבור אתר ומייל שתלויים שניהם בנכס שהוא לא שולט בו.
המאמר הזה עוסק בבעלות ובשליטה. מנגנוני התקיפה - איך חטיפת דומיין וזיוף DNS באמת עובדים, ומה DNSSEC עוצר ומה לא - מכוסים במאמר שלנו על חטיפת דומיין וזיוף DNS.
מה הדומיין באמת שולט בו
הדומיין שלכם הוא לא רק כתובת אינטרנט. הוא קבוצת רשומות ה-DNS שאומרות לאינטרנט איפה השירותים שלכם חיים. מדריך ההגדרה של Microsoft לדומיין מפרט את הרשומות שארגון עסקי תלוי בהן, וכל אחת מהן היא מנוף[1].
| רשומה | מה היא עושה | מה קורה אם מישהו משנה אותה |
|---|---|---|
| A / AAAA | מפנה את הדומיין לשרת האתר שלכם | מבקרים מגיעים לעמוד של מישהו אחר |
| MX | מנתב את המייל שלכם | המייל הולך לתוקף, אתם מפסיקים לקבל |
| TXT (SPF, DKIM, DMARC) | מוכיח אילו שולחים לגיטימיים | המייל שלכם מסומן כספאם, זיופים עוברים |
| CNAME | כינויים לתת-דומיינים | שירותים מוסטים בשקט |
| NS | מאציל את ה-DNS לשרתי שמות | מי שמחזיק בזה מחזיק בהכול |
משנים את רשומות ה-NS וכל שורה אחרת נגררת אחריהן, כולל כל דבר שמאמת בעלות דרך DNS: תעודות, Microsoft 365, Google Workspace, ספקי תשלום.
איך השליטה בפועל הולכת לאיבוד
שלוש תבניות, לפי תדירות ההופעה שלהן אצלנו.
הדומיין יושב בחשבון רג'יסטרר אישי של קבלן. שום דבר לא משתבש עד שהקשר מסתיים, ואז העברת הדומיין הופכת למשא ומתן במקום משימת ניהול.
התראת החידוש הולכת לתיבת דואר שאף אחד לא קורא. הרישום פג. יש תקופת חסד ואחריה חלון פדיון בתשלום, אבל אחרי זה השם משוחרר וכל אחד יכול לרשום אותו.
לעובד לשעבר עדיין יש כניסה. בדרך כלל שום דבר לא קורה, עד שהאישורים שלו דולפים במקום אחר ותוקף יורש את ה-DNS שלכם.
אף אחת מהתבניות האלה לא דורשת תוקף חכם. הן דורשות שאף אחד לא בדק.
התיקון בן השעתיים
| פעולה | למה | זמן |
|---|---|---|
| לברר מי שולט בחשבון הרג'יסטרר | אי אפשר לאבטח מה שלא בבעלותכם | 15 דקות |
| להעביר את החשבון לתיבת דואר של החברה, לא של אדם | כתובות אישיות עוזבות עם אנשים | 30 דקות |
| להפעיל MFA ברג'יסטרר | הסיסמה לבדה לא מספיקה | 5 דקות |
| להפעיל נעילת העברה | מונע העברת דומיין בלי הסכמתכם | 10 דקות |
| להפעיל DNSSEC | חותם על הרשומות שלכם כך שתשובות לא ניתנות לזיוף | 20 דקות |
| לצמצם גישת עריכת DNS לשניים או שלושה אנשים | פחות מפתחות, פחות אירועים | 15 דקות |
| להגדיר חידוש אוטומטי וכרטיס שלא יפוג | מונע אובדן בשוגג | 5 דקות |
| לייצא ולשמור את הרשומות הנוכחיות שלכם | קו הבסיס שלכם אם משהו משתנה | 30 דקות |
שני פרטים ראויים לפירוט. העברות דומיין בין רג'יסטררים מוסדרות במדיניות ההעברה של ICANN, שקובעת את כללי האישור והנעילה שרג'יסטרר חייב לעמוד בהם - וזה מה שהופך את נעילת ההעברה ליותר מתיבת סימון[2]. ו-DNSSEC פועל באמצעות חתימה קריפטוגרפית על תשובות ה-DNS שלכם כך שתשובה מזויפת ניתנת לזיהוי, וזה תפקיד שונה מלעצור מישהו שהתחבר לחשבון שלכם בצורה לגיטימית[3].
אם דומיין רשום על שם מישהו אחר, מדריך ההעברה של Microsoft הוא נקודת ההתחלה המעשית להעברתו לחשבון שאתם שולטים בו לפני שתיגעו בכל דבר אחר[4].
שכבת האחסון
ברגע שהדומיין שלכם, האחסון הוא החשבון הבא ששווה לקרוא. רוב אתרי העסקים הקטנים צריכים שישה דברים, ורובם חינם או כמעט חינם:
| דרישה | מה זה אומר | עלות חודשית ריאלית |
|---|---|---|
| התחייבות זמינות | SLA מפורסם, לא הבטחה | 15-30 אירו |
| תעודת TLS | HTTPS, מתחדשת אוטומטית | 0 אירו |
| גיבויים יומיים | אוטומטיים, שמירה של כ-30 יום | 0-10 אירו |
| ספיגת DDoS | פרצי תעבורה מטופלים במעלה הזרם | 0-15 אירו |
| CDN | מסירה מהירה מחוץ לאזור שלכם | 0-20 אירו |
| הפניית מייל | טפסי יצירת קשר באמת מגיעים | 0-5 אירו |
אחסון מנוהל מכסה את כל זה ב-25 עד 50 אירו לחודש. אם אתם משלמים מעל 100 אירו עבור אתר עם פחות מ-10,000 מבקרים בחודש, אתם קונים קיבולת שלעולם לא תשתמשו בה.
העלות היא הסיכון הקטן יותר. הגדול יותר הוא אתר לא מעודכן: רוב פריצות אתרי העסקים הקטנים שאנחנו מנקים הגיעו דרך תוסף או תבנית מיושנים, לא ניצול חכם. עדכונים אוטומטיים בתוספת ספק שמעדכן עבורכם את הפלטפורמה מסירים את רוב המשטח הזה.
שאלת ה-SSL, כפי שצריך לשאול אותה
"האם אנחנו צריכים SSL?" הפסיקה להיות שאלה מהרגע שדפדפנים התחילו לסמן HTTP רגיל כלא מאובטח. השאלה האמיתית היא חינם או בתשלום.
Let's Encrypt מנפיקה תעודות עם אימות דומיין ללא עלות, והתעודות שלה מהימנות באותו אופן כמו כל תעודת DV אחרת - ההצפנה ומנעול הדפדפן זהים[5]. היא בכוונה לא מנפיקה תעודות עם אימות ארגון או אימות מורחב, וזה בסדר, כי דפדפנים כבר לא מציגים שמות חברות בבולטות שמעניינת את רוב העסקים.
| תעודה | עלות | מי באמת צריך אותה |
|---|---|---|
| Let's Encrypt DV | 0 אירו | כמעט כל עסק קטן |
| DV בתשלום | 50-150 אירו לשנה | אף אחד, אלא אם ספק מכריח |
| EV | 200-500 אירו לשנה | פיננסים ומשפט מוסדרים, לעיתים |
| Wildcard | 100-200 אירו לשנה | תתי-דומיינים רבים על תעודה אחת |
הסיכון האמיתי אינו סוג התעודה, אלא הפקיעה. תעודות Let's Encrypt קצרות מועד בעיצוב ומתחדשות אוטומטית, וזה יתרון עד שמשימת החידוש נכשלת בשקט. עקבו אחרי פקיעת התעודה באותו אופן שאתם עוקבים אחרי פקיעת הדומיין.
בפועל
הדומיין שלכם הוא הנכס היחיד שכל שאר הנוכחות הדיגיטלית שלכם תלויה בו: אתר, מייל, כניסה לענן, תשלומים, אימות. אבטוח אותו לוקח אחר צהריים אחד ולא עולה כלום. לא לדעת מי שולט בו הוא הסיכון, לא הטכנולוגיה.
אם אתם לא יודעים מי מחזיק במפתחות, או שאתם רוצים זוג עיניים נוסף על רשומות ה-DNS, אבטחת הרג'יסטרר וחידושי התעודות שלכם, קבעו שיחה חינם של 30 דקות.