Proteggere il Suo nome a dominio

Modulo 4: E-mail, sito web e dominio · Tempo di lettura: 11 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di proteggere il Suo nome a dominio da scadenza, furto e record DNS errati, e di verificare lo stato, la scadenza, il DNSSEC e il CAA del Suo dominio.
Concetti chiave: registrar, titolare (holder), scadenza, quarantena, codice di trasferimento, registrar-lock, registry lock, 2FA presso il registrar, DNSSEC, CAA, record sospeso (dangling DNS), furto di sottodominio (subdomain takeover)

Chi ha il Suo dominio, ha la Sua posta

Il Suo nome a dominio sembra un dettaglio marginale: una fattura annuale e qualche impostazione. Ma quasi tutto dipende da esso. Il Suo sito web, i Suoi indirizzi e-mail, e quindi anche il pulsante "password dimenticata" di tutti gli altri Suoi account: il Suo programma di contabilità, la Sua banca, la piattaforma del Suo negozio online, i Suoi social media. Chi ottiene il controllo di example.com può ricevere la posta per info@example.com e con questo reimpostare ovunque la Sua password.

Un dominio può andare perso o essere usato in modo improprio in tre modi:

1. scade e qualcun altro lo registra;
2. qualcuno lo dirotta tramite il Suo account presso il registrar o tramite un trasferimento falsificato;
3. un record DNS dimenticato punta verso qualcosa che Lei non gestisce più.

Nel corso DNS (lezione 1.3) ha appreso chi gestisce cosa: la registry gestisce l'estensione (SIDN per .nl), il registrar registra per Suo conto, e Lei è il titolare. In questa lezione osserviamo quella catena con gli occhi di un aggressore.

Il titolare è corretto?

Il titolare è il proprietario legale. Se risulta un Suo sviluppatore web, un ex dipendente o un'azienda che non esiste più, in caso di conflitto o fallimento Le sarà difficile dimostrare che il dominio è Suo. Verifichi quindi:

• è registrata la Sua azienda come titolare, con il nome corretto?
• l'indirizzo e-mail del titolare è raggiungibile, e non si trova sul dominio stesso? Se example.com scade, l'avviso inviato a info@example.com potrebbe non arrivare più. Usi un secondo indirizzo, ad esempio su un altro dominio.
• risponde alle richieste autentiche di conferma del Suo indirizzo? Per molte estensioni l'ICANN richiede che l'indirizzo e-mail del titolare venga confermato. Se non lo fa, il dominio può essere sospeso.

Scadenza: il rischio più banale e più frequente

I domini vengono persi più spesso per una carta di credito scaduta, una fattura arrivata a un collega che se n'è andato o un passaggio in cui nessuno ha pensato al dominio. Ciò che accade in seguito varia a seconda dell'estensione:

Dopodiché qualcun altro può registrarlo. Esistono soggetti che registrano automaticamente i domini liberati, proprio perché c'è ancora traffico su di essi. Se il nuovo proprietario imposta un catch-all sulla posta, riceve tutto ciò che i Suoi clienti e fornitori inviano ancora ai Suoi vecchi indirizzi, comprese le e-mail di recupero password.

Protezione:

• attivi il rinnovo automatico e mantenga aggiornati i dati di pagamento;
• registri tutti i domini in un elenco, anche quelli che ha "solo per sicurezza";
• non disdica senza motivo un vecchio dominio che un tempo utilizzava per la posta. Lo mantenga e lo protegga come dominio non utilizzato per la posta (lezione 4.1).

Furto del dominio: il Suo account presso il registrar e il codice di trasferimento

La via più rapida per impadronirsi di un dominio passa attraverso l'account presso il Suo registrar. Chi vi accede può modificare i nameserver e con ciò reindirizzare in un colpo solo il Suo sito web e la Sua posta. Tratti quindi quell'account come uno dei più importanti:

• attivi l'autenticazione a due fattori (2FA) (modulo 2);
• solo persone con un account proprio e i diritti di cui hanno bisogno (lezione 7.1). È preferibile che il Suo sviluppatore web riceva accesso al DNS, non all'intero account;
• faccia attenzione al phishing relativo al Suo dominio. "Il Suo dominio scade oggi, paghi qui" oppure "confermi i Suoi dati presso l'ICANN" è un trucco noto. Non passi mai tramite il link, ma acceda direttamente presso il Suo registrar.

Un codice di trasferimento (detto anche codice di autorizzazione, codice EPP o token) è necessario per trasferire un dominio a un altro registrar. Lo consideri come una chiave: lo richieda solo quando trasferisce Lei stesso il dominio, lo condivida solo con il nuovo registrar, e sia immediatamente in allerta se riceve una conferma di trasferimento che non si aspettava.

Esistono inoltre dei blocchi:

• Un registrar-lock imposta lo stato clientTransferProhibited (spesso insieme a clientDeleteProhibited e clientUpdateProhibited). La registry rifiuta quindi un trasferimento finché Lei o il Suo registrar non rimuovete il blocco. Per .com e estensioni simili questo è prassi comune; l'ICANN lo raccomanda.
• Un registry lock va oltre: le modifiche vengono applicate presso la registry stessa solo dopo un controllo aggiuntivo e manuale presso il titolare. Per .nl questo servizio si chiama .nl Control. È pensato soprattutto per grandi marchi e ha un costo aggiuntivo; per la maggior parte delle piccole imprese bastano la 2FA e un account presso il registrar ben gestito.

Record sospesi e furto di sottodominio

Questo è il rischio meno conosciuto e il più insidioso. Un esempio pratico (reso anonimo):

La Panetteria Example ha avuto dal 2021 al 2024 un negozio online su winkel.example.com, con un record CNAME verso bakkerij-example.webwinkelplatform.example, e nel 2024 la panetteria è passata ad altro e ha disdetto l'abbonamento. Il record CNAME è rimasto. Un anno dopo qualcun altro ha creato, sulla stessa piattaforma, un negozio con il nome liberato bakkerij-example. Da quel momento winkel.example.com mostrava un negozio falso, con un certificato valido e sotto il nome della panetteria.

Un record sospeso (dangling DNS) è un record DNS che punta verso qualcosa che Lei non gestisce più: un servizio disdetto, un server cloud eliminato, un indirizzo IP che nel frattempo è stato assegnato a qualcun altro. Se un'altra persona può rivendicare quella destinazione, si parla di furto di sottodominio (subdomain takeover). L'aggressore ottiene un sottodominio Suo, e con esso può ospitare pagine di phishing dall'aspetto del tutto autentico, a volte persino leggendo i cookie del Suo dominio principale.

Protezione:

1. Disdetta = prima rimuovere il record DNS, poi disdire il servizio. Lo inserisca nella Sua procedura di cessazione dei servizi.
2. Riesamini l'intera zona DNS una volta all'anno. Se non sa a cosa serve un record, lo scopra. Prima di rimuovere qualcosa, faccia un backup della zona.
3. Sia particolarmente prudente con i wildcard (*.example.com) che puntano verso un servizio esterno.

DNSSEC e CAA: serrature aggiuntive

DNSSEC appone una firma digitale sulle risposte del Suo DNS, così un resolver può verificare che siano autentiche e non siano state falsificate lungo il percorso. Per .nl è attivo di default presso molti fornitori. Protegge dalle risposte DNS falsificate, non da un account presso il registrar compromesso. Una spiegazione in linguaggio semplice si trova nella lezione 8.1 del corso DNS.

CAA è un record DNS in cui indica quali autorità di certificazione possono emettere un certificato per il Suo dominio (RFC 8659). Senza CAA, qualsiasi emittente fidato può farlo. Con CAA rende più difficile per un aggressore ottenere altrove un certificato per il Suo nome. Se imposta il CAA, includa l'emittente utilizzato dal Suo fornitore di hosting, altrimenti il Suo certificato non potrà più essere rinnovato. Maggiori informazioni nella lezione 5.2 del corso DNS.

Nella pratica: ecco come si presenta

Lo stato e la scadenza del Suo dominio sono visibili nei dati di registrazione pubblici (RDAP, il successore del whois). Un dominio .com mostra ad esempio:

Stato:     client delete prohibited, client transfer prohibited, client update prohibited
Registrazione: 2019-03-01
Scade:   2027-03-01
DNSSEC:     sì

Non tutte le registry mostrano una data di scadenza: SIDN non la mostra per .nl in RDAP. In tal caso consulti il Suo registrar. Presso WebOké, scadenza, rinnovo automatico, quarantena, DNSSEC e CAA si trovano insieme nel riquadro Dominio / Stato di salute Email sulla pagina del dominio in Mio WebOké, e nelle impostazioni DNS è presente un pulsante per creare un backup della Sua zona. Presso altri fornitori funziona in modo simile.

Riepilogo

• Chi gestisce il Suo dominio riceve la Sua posta e con questo può ripristinare ovunque la Sua password.
• Mantenga corretti i dati del titolare, usi un indirizzo del titolare esterno al dominio stesso e attivi il rinnovo automatico.
• Protegga il Suo account presso il registrar con la 2FA e account individuali; consideri il codice di trasferimento come una chiave; un registrar-lock blocca i trasferimenti indesiderati.
• Quando disdice un servizio, rimuova prima il record DNS; riesamini la Sua zona ogni anno per individuare record sospesi.
• Il DNSSEC protegge dalle risposte DNS falsificate, il CAA limita chi può emettere certificati per il Suo dominio.

Quiz

Esercizio

Esercizio A4.3: Verificare la protezione del Suo dominio. Inserisca il Suo nome a dominio (se non ne ha uno, usi sidn.nl). Il programma recupera lo stato e la data di scadenza presso la registry (RDAP) e verifica DNSSEC e CAA. Riceverà per ogni punto verde, arancione o rosso, oppure una segnalazione informativa.

Esercizio D4.3: Elenco domini e controllo della zona. Crei un elenco di tutti i Suoi domini con registrar, titolare, scadenza e chi ha accesso. Riesamini poi la zona DNS del Suo dominio principale e scopra a cosa serve ciascun record.

Per saperne di più

I passaggi descritti negli articoli di WebOké valgono per l'ambiente WebOké; presso altri fornitori funziona in modo simile.

• E-mail da ICANN o dal registry riguardo al Suo dominio: autentica o falsa, e cosa deve fare?
• Guida WebOké 5.17: Salute del dominio e dell'e-mail: verificare e risolvere
• Creare e ripristinare un backup del DNS
• Stato di salute pubblico del dominio: https://www.weboke.it/salute-del-dominio
• Corso DNS, lezioni 1.3 (registry, registrar e titolare), 5.2 (CAA) e 8.1 (DNSSEC): https://www.weboke.it/dns-cursus
• ICANN, codici di stato EPP spiegati (in inglese): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, cancellare il Suo nome a dominio e la quarantena: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, furto di sottodominio (in inglese): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers