Книга: Домены. Все, что нужно знать о ключевом элементе Интернета

Безопасное администрирование

Безопасное администрирование

Как мы выяснили ранее, домены не продаются, но за деньги можно приобрести право управления доменным именем. Права управления, полученные администратором домена, требуют надежного фиксирования и не менее надежных механизмов авторизации, иначе у администратора возникнут трудности с проведением прав в жизнь. Права по управлению доменом фиксируются в специальных базах данных, которые имеются у администраторов доменов первого уровня и у компаний-регистраторов.

Что угрожает администратору домена? Самая серьезная угроза – «угон» домена, то есть неправомерный переход домена под контроль злоумышленников. Как ни странно, «угон» может быть произведен с помощью разнообразных инструментов, причем некоторые из них вовсе не требуют использования высоких интернет-технологий.

Например, злоумышленники могут подделать нужные документы (заявления, доверенности) и выполнить процедуру смены администратора домена. Именно с целью предотвращения подобных проблем регистраторы в домене RU и требуют представления довольно большого количества бумаг и личного присутствия администратора домена в офисе. В некоторых случаях при сомнительных операциях по раскрученным и хорошо известным доменам регистратор может провести и дополнительную проверку «легитимности», скажем, перезвонив руководству компании – владельца домена по телефону и т. п.

Одна из самых больших проблем, создающих серьезные риски, – неверное делегирование полномочий по управлению доменом внутри компаний и официальных организаций.

Хрестоматийный пример касается корпоративных сайтов. Сейчас даже самая небольшая фирма считает нужным иметь свой сайт. У маленьких компаний нет ни юридического департамента, ни службы ИТ, поэтому корпоративный сайт поручают изготовить и запустить тому сотруднику, который, по мнению руководителя фирмы, наиболее близок к Интернету. Нередки случаи, когда эта «почетная обязанность» достается секретарше директора, умеющей «поискать в Интернете». Также кандидатами на создание сайта часто оказываются «обобщенные программисты», дизайнеры, заместители директора по техническим вопросам, так называемые эникейщики и др. Несложно догадаться, что создание сайта достается случайному сотруднику, никак с сайтостроением не связанному.

Что в итоге? В итоге сотрудник, получивший задачу создать корпоративный сайт и выяснивший, что для этого потребуется домен второго уровня, регистрирует подходящий домен на себя. Как показывает практика, в подавляющем большинстве случаев сотрудник вовсе не имеет злого умысла – он просто желает избежать лишней бумажной волокиты. Более того, обычно он получает одобрение руководства на такую регистрацию: «Ну ты же будешь сайтом заниматься, вот и регистрируй на себя».

Некоторое время с новоиспеченным «корпоративным» доменом все хорошо. Под ним работает корпоративный сайт, который при нынешних темпах роста Интернета вполне способен в скором времени стать важнейшей «витриной» компании. Но однажды сотрудник, зарегистрировавший домен, увольняется.

С этого момента с доменом начинаются большие проблемы. Он, по сути, находится «в угоне». Внести изменения в параметры работы домена, продлить его регистрацию – эти операции должны осуществлять либо сам администратор домена, либо его доверенное лицо. Оказывается, фирма не имеет практического контроля над «корпоративным» доменом, который уже стал важным элементом повседневного делового оборота (электронная почта, визитки, обмен прайс-листами и др.). Доменом может управлять только уволившийся сотрудник, и никаким способом нельзя убедить компанию-регистратора, что «на самом деле это наш корпоративный домен». Ведь регистратор действует согласно Правилам доменной зоны, а они четко прописывают роль администратора домена.

Администратор домена может просто не оплатить продление регистрации (действительно, зачем, если он уже не работает в компании?) – в результате домен будет освобожден, а фирма останется без корпоративного сайта.

Обиженный сотрудник, оказавшийся администратором «корпоративного» домена, может попытаться отомстить с его помощью, например, сделав с корпоративного сайта перенаправление на сайт конкурентов компании или (случай из жизни) разместив вместо корпоративного сайта веб-страницу, сообщающую изумленным клиентам и партнерам, заглянувшим по привычному адресу: «Извините, наша компания находится в процессе банкротства, а офис более не работает».

Мне не раз и не два приходилось помогать владельцам небольших компаний решать подобные «доменные проблемы». В каких-то случаях удавалось договориться с бывшим сотрудником компании (которого еще нужно было разыскать), являвшимся администратором домена, и он соглашался передать права администрирования самой компании. Иногда, впрочем, делалось это за вполне весомое материальное вознаграждение («поймите, я же трачу на вас свое время!»). Кстати, если возврат «угнанного домена» производится через судебное разбирательство, то весомые преимущества компания может получить, только если имя домена совпадает с фирменным наименованием компании или, что еще лучше, с зарегистрированной торговой маркой (товарным знаком). Иначе домен остается ресурсом сотрудника-администратора, и отсудить его хоть иногда и можно, но весьма сложно. В некоторых случаях просто не удавалось изыскать правовых способов решения проблемы. Пострадавшей компании приходилось регистрировать другой домен и сообщать всем клиентам и партнерам об изменении контактных данных. Тем не менее ситуация, в которой распоряжение правом администрирования корпоративного домена находится «в подвешенном состоянии», остается весьма распространенной и по сей день.

На корпоративном уровне возможен спланированный «угон» домена директором компании. Так, если смена администратора домена может быть проведена регистратором на основании письма от генерального директора (или просто директора) компании, то ничто не мешает наемному директору «угнать» домен у владельцев компании. Для этого директор, действуя от имени юридического лица, производит смену администратора домена и передает домен либо себе, либо своему сообщнику. В результате владельцы компании, для которой доменное имя может являться важным, а иногда единственным ценным активом, его лишаются. Оспорить подобную операцию довольно трудно, если, опять же, имя домена не совпадает с фирменным обозначением или зарегистрированной торговой маркой.

Если для «угона» домена часто требуются бумажные документы, то перехватить управление можно и по «безбумажной технологии». Так, регистраторы предоставляют своим клиентам веб-интерфейс, служащий для оперативного управления доменами через Интернет с помощью веб-браузера. Обычно доступ к веб-интерфейсу производится с авторизацией пользователя по паролю (используется пара логин/пароль; логин – системное имя, присвоенное данному клиенту). Злоумышленник, которому стал известен пароль (и логин) клиента регистратора для доступа к веб-интерфейсу, получает возможность перехватить управление веб-интерфейсом. Соответственно, все операции с доменами клиента, доступные через веб-интерфейс и не требующие дополнительной авторизации, оказываются в распоряжении злоумышленника.

Предположим, что добропорядочный клиент размещает под доменом свой сайт. Злоумышленник, получив управление доменом через веб-интерфейс, может изменить записи DNS для домена таким образом, что домен будет указывать на другой сайт, например на интернет-ресурс, находящийся под контролем хакеров. Для чего это нужно злоумышленнику? В некоторых случаях лишь для того, чтобы потешить самолюбие, разместив под перехваченным доменом страничку с информацией о хакерской группировке, которая взломала сайт. Однако в более изощренных планах перехваченный домен может служить платформой для сложной атаки с подменами сайтов, состоящей из нескольких ступеней и имеющей своей целью вполне конкретные способы извлечения прибыли (незаконные, конечно).

Раскрытие пароля к веб-интерфейсу также возможно с помощью целой палитры наработанных методов. Во-первых, администратор домена может самостоятельно разгласить пароль, записав его на листке бумаги, прикрепленном к компьютеру: «Мой пароль для доменов: 31415926». Во-вторых, пароль можно узнать, используя электронную почту: либо просматривая почтовый трафик (если пароль пересылался в незашифрованном сообщении), либо перехватив управление почтовым ящиком атакуемого клиента и запросив пароль у сервера регистратора с помощью популярных механизмов напоминания пароля. В-третьих, пароль можно подобрать, задействовав автоматические программы, работающие с применением словаря (не у всех регистраторов есть эффективная защита от массовой проверки пользовательских паролей злоумышленниками). Существуют и другие способы.

Что делать администратору домена, чтобы уменьшить риски? Прежде всего, сохранять пароль в тайне и не пользоваться веб-интерфейсом с чужих компьютеров. Следующий шаг – узнать, не предоставляет ли регистратор дополнительных средств защиты веб-интерфейса. Среди таких методов:

использование нескольких паролей, например технического и административного. Первый пароль может позволять лишь просматривать настройки доменов и выполнять только самые безопасные действия, а для внесения сколько-нибудь критичных изменений будет требоваться дополнительный ввод административного пароля;

ограничение доступа к веб-интерфейсу на основании клиентского IP-адреса (способ довольно эффективный, хоть и не всегда удобный). То есть сервер регистратора позволяет использовать веб-интерфейс для управления доменом (даже при условии указания паролей и логинов) только с компьютеров, имеющих IP-адреса из разрешенного списка. Этот список клиент формирует самостоятельно и для активирования функции лично предъявляет регистратору. Можно вообще запретить проводить любые операции с доменом без дополнительного подтверждения по телефону – но тут, впрочем, многое зависит от желания регистратора предоставлять такую довольно затратную по времени услугу; кроме того, необходимо правильно оформлять права на управление доменом: если это ваш корпоративный домен, то оформляйте его на компанию, а в уставе укажите, что директору требуется одобрение учредителей на проведение любых операций с доменом.

Доменный рынок растет, а вместе с ним увеличивается и число компаний-регистраторов. Самым ожидаемым образом повышение числа регистраторов приводит к тому, что ширится и разнообразие этих регистраторов в смысле подходов к ведению бизнеса. Например, в домене RU осенью 2013 года действовало около пятнадцати заметных на рынке регистраторов. Это различные компании, отличающиеся и формой собственности, и внутренней организацией, и «деловым стилем». В дальнейшем можно ожидать еще большего роста числа регистраторов.

Такая ситуация приводит к возникновению относительно нового аспекта в проблемах доменной безопасности, связанного со степенью доверия к регистратору со стороны клиента: насколько можно быть уверенным в том, что у компании-регистратора не возникнет серьезных проблем, в результате которых клиент может лишиться своего домена. Степенью уверенности в значительной мере определяется выбор регистратора.

Данная проблема характерна не только для домена RU. Нельзя, конечно, делать вывод, что все новые компании обязательно ненадежны. Накладки возникают и у старейших, крупнейших регистраторов. Тем не менее проблема существует, и рост числа регистраторов ее усугубит.

Наглядным примером может служить история с американским регистратором RegisterFly, который лишился аккредитации ICANN в 2007 году. У RegisterFly, работавшего в том числе с популярными доменами COM и NET, возник внутренний производственный конфликт в совете директоров. Из-за общей неразберихи и технических проблем компания попросту перестала выполнять свои функции по управлению доменами, в результате у клиентов этого регистратора возникли не просто технические трудности: несколько тысяч из них вообще остались без доменов.

Так как с точки зрения реестра доменов администратор конкретного имени оказывается представлен своим регистратором, то проблемы регистратора обязательно отразятся на администраторе и на его возможностях по управлению доменным именем. Поэтому, выбирая регистратора и заботясь о безопасности, администратору домена следует обратить внимание на историю компании и на методы ее работы, а не исходить из принципа «где дешевле».

Вернемся к домену RU. Как я писал в главе, посвященной национальному домену России, сумма, которую регистратор перечисляет в пользу реестра и технического центра домена RU, составляет около 70 рублей за каждую операцию регистрации домена. На эту сумму регистратор делает наценку, обеспечивая собственную прибыль. Например, домен для конечного пользователя может стоить 600, 500 или даже 200 рублей. Из чего формируется регистраторская наценка? Из расходов регистратора по сопровождению доменного имени и взаимодействию с клиентом – администратором этого имени. Понятно, что уже оформление отдельного договора с клиентом и прием от него заявки на доменное имя потребуют затрат (оплата труда сотрудника, принимающего договор, и т. д.). В наценку также включаются расходы на обеспечение надежной работы регистраторских функций компании (ведение базы данных клиентов, работа с реестром доменов, предотвращение возможных сбоев).

Обеспечить гарантии клиентам регистраторов доменов могут дополнительные меры, принимаемые на уровнях администраторов национальных доменов или даже ICANN. Наиболее очевидные из этих мер таковы:

резервирование клиентских баз данных с привлечением независимых хранителей;

обеспечение прозрачной и хорошо работающей процедуры перевода клиентов проблемных регистраторов к другим регистраторам с сохранением доменов.

Со своей стороны, администратор домена при выборе компании-регистратора должен принимать во внимание и ее надежность.

Оглавление книги