Cybersäkerhetsmånaden: vem har nycklarna till din domän?

Oktober är den europeiska cybersäkerhetsmånaden, EU:s årliga kampanj för säkerhetsmedvetenhet, som samordnas av ENISA, EU:s cybersäkerhetsbyrå. Mycket av månaden handlar om människor: meddelandet som ser rätt ut men inte är det, länken som är bäst att låta bli. Vi har tidigare skrivit om de som läser din e-post och meddelandena som riktas mot dem.

Den här artikeln ställer månadens fråga om en mindre grupp, en som sällan kommer upp i utbildningar om säkerhetsmedvetenhet: de personer som kan ändra din domän.

Därför spelar nycklarna roll

Allt som får din domän att fungera – posterna som leder besökare till webbplatsen, levererar din e-post och talar om för mottagande servrar vilken e-post som verkligen är din – hanteras från ett fåtal konton:

• Registraren, där domänen är registrerad och förnyas.
• DNS-leverantören, där domänens poster publiceras. Ofta samma företag som registraren, ibland ditt webbhotell eller en annan tjänst.
• Administrationen av din e-posttjänst, där det bestäms vilka brevlådor som finns och hur utgående e-post signeras.

Den som kan logga in på de här kontona kan ändra vart webbplatsen pekar, vilken server som tar emot din e-post och om din DMARC-policy alls finns kvar. Hos registraren går det dessutom att låta domänen löpa ut eller att börja flytta den till en annan registrar. Inget av detta kräver teknisk skicklighet: det räcker med en fungerande inloggning, och fungerande inloggningar är just vad nätfiske är ute efter.

Det är ingen anledning till oro. Det är en anledning att veta vem som har de inloggningarna, på samma sätt som du vet vem som har nyckel till kontoret.

Fem frågor för en timme i oktober

1. Var är domänen registrerad, och var ligger dess DNS? Skriv ner båda. Det är ofta olika företag, så förnyelser och ändringar av poster görs på olika ställen. Är du osäker visar en WHOIS- eller RDAP-sökning vilken registrar domänen har, och domänens namnserverposter (NS) brukar avslöja vem som sköter dess DNS.
2. Vem kan logga in? Lista personerna som har åtkomst till varje konto. En tidigare medarbetare, en tidigare byrå, frilansaren som byggde webbplatsen för flera år sedan: ta bort åtkomst som inte längre behövs. Där leverantören tillåter en egen inloggning per person är det bättre än ett gemensamt lösenord, så att en persons åtkomst kan tas bort utan att alla andras ändras.
3. Är tvåstegsverifiering påslagen? Slå på flerfaktorsautentisering för registraren, DNS-leverantören och administratörskontona i din e-posttjänst. Om leverantören erbjuder passkeys eller säkerhetsnycklar är de att föredra: till skillnad från en engångskod går de inte att skriva in på en falsk inloggningssida.
4. Sköts registreringen? Kontrollera att domänen förnyas automatiskt, att betalkortet som är registrerat inte har gått ut och att överföringslåset är på: en inställning hos registraren som hindrar att domänen flyttas till en annan registrar tills någon med åtkomst till kontot stänger av det. Kontrollera sedan vart registrarens mejl går. Påminnelser om förnyelse och meddelanden för att återställa kontot skickas till kontots kontaktadress; se till att det är en brevlåda som någon läser, gärna en gemensam snarare än en enskild persons. Ligger adressen på samma domän kan ett problem med domänen också stoppa mejlen som skulle ha varnat dig, så en andra adress någon annanstans är en klok försiktighetsåtgärd där registraren tillåter det.
5. Skulle någon märka en ändring? Om dina e-postservrar byttes ut, din DMARC-post togs bort eller överföringslåset stängdes av – hur skulle du få veta det? Alla registrarer och DNS-leverantörer meddelar inte när något ändras. Bestäm vem som ska få veta, och hur beskedet ska nå dem.

Om du förvaltar domäner åt kunder gäller samma frågor för varje kund, med en till: i vems namn är domänen registrerad? Kunden bör normalt vara domäninnehavare, även när du sköter domänen i vardagen. Då handlar ett byte av byrå om att ändra vem som har åtkomst, inte om att överlåta domänen.

Var Merula passar in, och vad Merula inte ser

Merula tittar på den publika sidan av din domän: posterna som de här kontona styr – bland annat namnservrar, e-postservrar, SPF, DKIM och DMARC – liksom webbplatsens certifikat och när domänregistreringen löper ut. Varje ändring hamnar i en tidslinje med tidpunkt, tidigare och nytt värde, så att en ändring som ingen aviserade ändå finns dokumenterad. På Free mejlar Merula om kritiska fynd; betalplanerna skickar dessutom en daglig eller veckovis sammanfattning som också tar med ändringar av till exempel namnservrar, e-postservrar och DMARC-policy.

Där registret publicerar det läser Merula också överföringslåset. De flesta nordiska landsdomäner, .se inräknat, publicerar inte låsstatus i en form som går att läsa utifrån; för dem kontrollerar du inställningen i registrarens kontrollpanel.

Merula kan inte se vem som har en inloggning hos din registrar, om tvåstegsverifiering är påslagen eller vart dina påminnelser om förnyelse går. De frågorna kan bara du besvara, och den här månaden är ett bra tillfälle att göra det.

Om kampanjen: ENISA, European Cybersecurity Month ↗.