Verkkotunnuksesi suojaaminen

Moduuli 4: Sähköposti, verkkosivusto ja verkkotunnus · Lukuaika: 11 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen osaat suojata verkkotunnuksesi vanhenemiselta, kaappaukselta ja virheellisiltä DNS-tietueilta, sekä tarkistaa oman verkkotunnuksesi tilan, vanhenemispäivän, DNSSEC:n ja CAA:n.
Keskeiset käsitteet: rekisterinpitäjä (registrar), haltija, vanhentuminen, karanteeni, siirtokoodi, registrar-lukko, registry-lukko, 2FA rekisterinpitäjällä, DNSSEC, CAA, roikkuva tietue (dangling DNS), alitunnuksen kaappaus

Kuka hallitsee verkkotunnustasi, hallitsee sähköpostiasi

Verkkotunnus vaikuttaa pieneltä asialta: vuosittainen lasku ja muutama asetus. Mutta lähes kaikki riippuu siitä. Verkkosivustosi, sähköpostiosoitteesi ja sitä kautta myös kaikkien muiden tiliesi "unohtuiko salasana" -painike: kirjanpito-ohjelmasi, pankkisi, verkkokauppa-alustasi, somesi. Se, joka saa hallintaansa verkkotunnuksen example.com, voi vastaanottaa osoitteeseen info@example.com tulevan sähköpostin ja sitä kautta nollata salasanasi mihin tahansa.

Verkkotunnuksen voi menettää tai sitä voi väärinkäyttää kolmella tavalla:

1. se vanhenee ja joku muu rekisteröi sen;
2. joku kaappaa sen rekisterinpitäjätilisi kautta tai väärennetyn siirron avulla;
3. unohdettu DNS-tietue osoittaa johonkin, mitä et enää hallitse.

DNS-kurssilla (oppitunti 1.3) opit kuka hoitaa mitä: registry hallinnoi päätettä (SIDN tunnukselle .nl), rekisterinpitäjä (registrar) rekisteröi puolestasi, ja sinä olet haltija. Tällä oppitunnilla tarkastelemme tätä ketjua hyökkääjän silmin.

Onko haltijatieto oikein?

Haltija on juridinen omistaja. Jos haltijana on verkkosivujesi tekijä, entinen työntekijä tai yritys, jota ei enää ole olemassa, voi olla vaikea todistaa riitatilanteessa tai konkurssissa, että verkkotunnus on sinun. Tarkista siis:

• onko yrityksesi merkitty haltijaksi oikealla nimellä?
• onko haltijan sähköpostiosoite tavoitettavissa, eikä se ole sama kuin verkkotunnus itse? Jos example.com vanhenee, varoitus osoitteeseen info@example.com ei ehkä enää tule perille. Käytä toista osoitetta, esimerkiksi toisessa verkkotunnuksessa.
• vastaatko aitoihin pyyntöihin vahvistaa yhteystietosi? Monille päätteille ICANN vaatii, että haltijan sähköpostiosoite vahvistetaan. Jos et tee niin, verkkotunnus voidaan keskeyttää.

Vanheneminen: tylsin ja yleisin riski

Verkkotunnuksia menetetään useimmiten vanhentuneen luottokortin, lähteneelle työntekijälle saapuneen laskun tai vaihdon takia, jossa kukaan ei muistanut verkkotunnusta. Mitä tapahtuu sen jälkeen, riippuu päätteestä:

Tämän jälkeen joku muu voi rekisteröidä sen. On olemassa toimijoita, jotka rekisteröivät vapautuvia verkkotunnuksia automaattisesti juuri siksi, että niihin tulee vielä liikennettä. Jos uusi omistaja asettaa sähköpostiin catch-all-toiminnon, hän vastaanottaa kaiken, mitä asiakkaasi ja toimittajasi edelleen lähettävät vanhoihin osoitteisiisi, mukaan lukien salasanan palautusviestit.

Suojautuminen:

• ota käyttöön automaattinen uusiminen ja pidä maksutiedot ajan tasalla;
• kirjaa kaikki verkkotunnuksesi listalle, myös ne, jotka pidät "varmuuden vuoksi";
• älä irtisano huolimattomasti vanhaa verkkotunnusta, jota olet joskus käyttänyt sähköpostiin. Pidä se ja suojaa se sähköpostittomana verkkotunnuksena (oppitunti 4.1).

Kaappaus: rekisterinpitäjätilisi ja siirtokoodi

Nopein reitti verkkotunnukseen kulkee rekisterinpitäjätilisi kautta. Se, joka pääsee kirjautumaan sinne, voi muuttaa nimipalvelimet ja ohjata sitä kautta kerralla sekä verkkosivustosi että sähköpostisi uuteen osoitteeseen. Kohtele siis tätä tiliä yhtenä tärkeimmistäsi:

• kaksivaiheinen tunnistautuminen käyttöön (moduuli 2);
• vain käyttäjille, joilla on oma tili ja tarvitsemansa oikeudet (oppitunti 7.1). Verkkosivujesi tekijälle kannattaa antaa pääsy vain DNS-asetuksiin, ei koko tiliin;
• varo verkkotunnukseesi liittyvää tietojenkalastelua. "Verkkotunnuksesi vanhenee tänään, maksa täällä" tai "vahvista tietosi ICANN:lle" on tunnettu temppu. Älä koskaan käytä viestin linkkiä, vaan kirjaudu itse rekisterinpitäjäsi sivustolle.

Siirtokoodi (myös valtuutuskoodi, EPP-koodi tai token) tarvitaan verkkotunnuksen siirtämiseen toiselle rekisterinpitäjälle. Kohtele sitä kuin avainta: pyydä se vain itse tehdessäsi siirtoa, jaa se vain uudelle rekisterinpitäjälle, ja ole heti varuillasi, jos saat siirtovahvistuksen, jota et odottanut.

Lisäksi on olemassa lukituksia:

• Registrar-lukko asettaa tilan clientTransferProhibited (usein yhdessä tilojen clientDeleteProhibited ja clientUpdateProhibited kanssa). Registry kieltäytyy tällöin siirrosta, kunnes sinä tai rekisterinpitäjäsi poistatte lukon. Tunnuksilla .com ja vastaavilla tämä on tavanomaista; ICANN suosittelee sitä.
• Registry-lukko menee pidemmälle: muutokset tehdään registryssä vasta ylimääräisen, manuaalisen haltijavarmistuksen jälkeen. Tunnukselle .nl tämä palvelu on nimeltään .nl Control. Se on tarkoitettu lähinnä suurille brändeille ja maksaa lisää; useimmille pienyrityksille 2FA ja hyvin hallittu rekisterinpitäjätili riittävät.

Roikkuvat tietueet ja alitunnuksen kaappaus

Tämä on vähiten tunnettu ja petollisin riski. Käytännön esimerkki (anonymisoitu):

Leipomo Example piti vuosina 2021-2024 verkkokauppaa osoitteessa winkel.example.com, jolla oli CNAME-tietue osoitteeseen bakkerij-example.webwinkelplatform.example. Vuonna 2024 leipomo vaihtoi alustaa ja irtisanoi tilauksensa. CNAME-tietue jäi kuitenkin paikalleen. Vuotta myöhemmin joku muu perusti samalla alustalla kaupan vapautuneella nimellä bakkerij-example. Siitä hetkestä lähtien osoite winkel.example.com näytti valesivustoa, jolla oli voimassa oleva sertifikaatti ja joka esiintyi leipomon nimellä.

Roikkuva tietue (dangling DNS) on DNS-tietue, joka osoittaa johonkin, mitä et enää hallitse: irtisanottuun palveluun, poistettuun pilvipalvelimeen, IP-osoitteeseen, joka on sittemmin annettu jollekin toiselle. Jos joku muu voi vaatia tuon kohteen itselleen, puhutaan alitunnuksen kaappauksesta (subdomain takeover). Hyökkääjä saa haltuunsa sinun alitunnuksesi ja voi sillä isännöidä tietojenkalastelusivuja, jotka näyttävät täysin aidoilta, joskus jopa lukea pääverkkotunnuksesi evästeitä.

Suojautuminen:

1. Irtisanominen = poista ensin DNS-tietue, sitten irtisano palvelu. Kirjaa tämä palveluiden lopetusmenettelyysi.
2. Käy koko DNS-vyöhykkeesi läpi kerran vuodessa. Jos et tiedä, mihin jokin tietue liittyy, selvitä se. Ota varmuuskopio vyöhykkeestä ennen kuin poistat mitään.
3. Ole erityisen varovainen jokerimerkkien (wildcard) kanssa (*.example.com), jotka osoittavat ulkoiseen palveluun.

DNSSEC ja CAA: ylimääräiset lukot

DNSSEC lisää digitaalisen allekirjoituksen DNS-vastauksiisi, jotta selvittäjä (resolver) voi tarkistaa, että ne ovat aitoja eikä niitä ole väärennetty matkalla. Tunnukselle .nl se on monilla palveluntarjoajilla oletuksena päällä. Se suojaa väärennetyiltä DNS-vastauksilta, ei kaapatulta rekisterinpitäjätililtä. Selkokielinen selitys löytyy DNS-kurssin oppitunnilta 8.1.

CAA on DNS-tietue, johon merkitset, mitkä varmenneviranomaiset saavat myöntää sertifikaatin verkkotunnuksellesi (RFC 8659). Ilman CAA-tietuetta kuka tahansa luotettu myöntäjä saa tehdä niin. CAA:n avulla teet hyökkääjälle vaikeammaksi hankkia sertifikaatin nimelläsi muualta. Jos asetat CAA-tietueen, muista sisällyttää siihen webhotellisi käyttämä myöntäjä, muuten omaa sertifikaattiasi ei voida enää uusia. Lisää DNS-kurssin oppitunnilla 5.2.

Käytännössä: näin se näyttää

Verkkotunnuksesi tilan ja vanhenemispäivän näet julkisista rekisteritiedoista (RDAP, whois:n seuraaja). Esimerkiksi .com-verkkotunnus näyttää tällaista:

Status:     client delete prohibited, client transfer prohibited, client update prohibited
Rekisteröinti: 2019-03-01
Päättyy:   2027-03-01
DNSSEC:     kyllä

Jokainen registry ei näytä vanhenemispäivää: SIDN ei näytä sitä tunnukselle .nl RDAP:ssa. Silloin katsot asian rekisterinpitäjältäsi. WebOkéssa vanheneminen, automaattinen uusiminen, karanteeni, DNSSEC ja CAA löytyvät yhdessä Domain / Email-terveys-kortilta Oma WebOké -palvelun verkkotunnussivulla, ja DNS-asetuksista löytyy painike vyöhykkeen varmuuskopion tekemiseen. Muilla palveluntarjoajilla toiminta on vastaavaa.

Yhteenveto

• Se, joka hallitsee verkkotunnustasi, vastaanottaa sähköpostisi ja voi sitä kautta palauttaa salasanasi mihin tahansa.
• Pidä haltijatiedot oikeina, käytä haltijaosoitetta, joka on eri verkkotunnuksessa, ja ota automaattinen uusiminen käyttöön.
• Suojaa rekisterinpitäjätilisi 2FA:lla ja henkilökohtaisilla tileillä; kohtele siirtokoodia kuin avainta; registrar-lukko estää ei-toivotut siirrot.
• Kun irtisanot palvelun, poista ensin DNS-tietue; käy vyöhykkeesi läpi vuosittain roikkuvien tietueiden varalta.
• DNSSEC suojaa väärennetyiltä DNS-vastauksilta, CAA rajoittaa, kuka voi myöntää sertifikaatteja verkkotunnuksellesi.

Tietovisa (quiz)

Tehtävä

Tehtävä A4.3: Tarkista verkkotunnuksesi suojaus. Syötä oma verkkotunnuksesi (jos sinulla ei ole, käytä sidn.nl). Ohjelma hakee tilan ja vanhenemispäivän registrystä (RDAP) sekä tarkistaa DNSSEC:n ja CAA:n. Saat jokaisesta kohdasta vihreän, oranssin tai punaisen merkinnän, tai informatiivisen ilmoituksen.

Tehtävä D4.3: Verkkotunnuslista ja vyöhyketarkistus. Tee lista kaikista verkkotunnuksistasi rekisterinpitäjineen, haltijoineen, vanhenemispäivineen ja käyttöoikeuksineen. Käy sen jälkeen läpi pääverkkotunnuksesi DNS-vyöhyke ja selvitä jokaisen tietueen tarkoitus.

Lue lisää

WebOké-artikkeleiden ohjeet koskevat WebOkén ympäristöä; muilla palveluntarjoajilla toiminta on vastaavaa.

• ICANNin tai rekisterin sähköpostit verkkotunnuksestasi: aitoja vai väärennettyjä, ja mitä kannattaa tehdä?
• WebOké-käyttöopas 5.17: Verkkotunnuksen ja sähköpostin kunto: tarkistus ja korjaus
• DNS-asetusten varmuuskopion tekeminen ja palauttaminen
• Julkinen verkkotunnuksen terveystarkistus: https://www.weboke.fi/verkkotunnuksen-kunto
• DNS-kurssi, oppitunnit 1.3 (registry, rekisterinpitäjä ja haltija), 5.2 (CAA) ja 8.1 (DNSSEC): https://www.weboke.fi/dns-cursus
• ICANN, EPP-tilakoodit selitettynä (englanniksi): https://www.icann.org/resources/pages/epp-status-codes-2014-06-16-en
• SIDN, verkkotunnuksen lopettaminen ja karanteeni: https://www.sidn.nl/en/nl-domain-name/cancelling-your-domain-name
• MDN, alitunnuksen kaappaus (englanniksi): https://developer.mozilla.org/en-US/docs/Web/Security/Subdomain_takeovers