Вопрос или проблема
Есть древний домен. Регистратор NameCheap, серверы имён указывают на Linode, сервер не запущен. Если я выполняю dig +trace, DNS-записи не возвращаются, что и ожидается. Однако домен появляется на virustotal.com.
https://www.virustotal.com/gui/domain/burklabs.com/details
Очевидно, мне нужно изучить что-то новое. Не могу понять, как кто-то другой мог получить сертификат для домена. Не могу понять, почему virustotal утверждает, что получил A-запись для домена, но возможно эти данные на самом деле не поступают из DNS. crt.sh говорит, что он обновлялся как минимум пару лет, если это имеет значение.
https://crt.sh/?q=burklabs.com
Главное — узнать, где я допустил ошибку, и исправить её. Первая мысль — запустить сервер для домена и настроить раннее обновление Let’s Encrypt для него. Но не понимая, как это произошло, я не уверен, что это предотвратит повторение ситуации. Буду благодарен за любые советы или подсказки.
Ответ или решение
Вопрос о том, как кто-то мог получить сертификат Let’s Encrypt для вашего домена, требует внимательного анализа ряда аспектов, связанных с управлением доменом, DNS-настройками и процессами валидации, используемыми Let’s Encrypt. Давайте разберем этот вопрос поэтапно.
Теория
Let’s Encrypt — это бесплатный, автоматизированный и открытый центр сертификации (CA). Он предоставляет сертификаты SSL/TLS посредством автоматического процесса валидации, который подтверждает контроль заявителя над доменом. Для выдачи сертификата Let’s Encrypt использует метод валидации, известный как ACME (Automated Certificate Management Environment).
Существует несколько методов проверки права собственности на домен, которые Let’s Encrypt может использовать:
- HTTP-01: Этот метод предполагает размещение временного файла на веб-сервере домена, к которому можно получить доступ по HTTP.
- DNS-01: В этом методе заявитель доказывает контроль, создавая специфическую DNS-запись TXT для домена.
- TLS-ALPN-01: Похож на HTTP-01, но использует TLS/ALPN.
Если у злоумышленника есть доступ к DNS-записям или серверу, что может быть результатом ненадежных мер безопасности или неправильно настроенной инфраструктуры, он может успешно пройти проверку и получить сертификат.
Пример
Исходя из предоставленной проблемы, ваш домен не имеет работающего сервера, и тем не менее кто-то смог получить сертификат Let’s Encrypt для него. Следовательно, существует вероятность того, что:
- DNS-записи, связанные с вашим доменом, могли быть изменены без вашего ведома.
- Возможно, нежелательный пользователь получил доступ к вашей учетной записи у регистратора доменов или через хостинг-провайдера.
В вашей ситуации неожиданно появившаяся A-запись на VirusTotal может указывать на следующее:
- Это может быть временное изменение в DNS-записях, которые кто-то с правами управления изменил, чтобы пройти проверку методом DNS-01.
- Способы кеширования и кэширующие DNS-серверы иногда могут отображать данные, которые были актуальны на момент запроса, но фактически не содержатся в текущих записях.
Применение
Чтобы решить проблему и предотвратить повторное появление этой ситуации, необходимо выполнить несколько шагов:
-
Проверка безопасности учетной записи регистратора: Убедитесь, что ваша учетная запись у регистратора доменов защищена. Используйте двухфакторную аутентификацию и убедитесь, что ваши контактные и резервные данные актуальны.
-
Аудит DNS-записей: Проверьте и подтвердите все DNS-записи домена у вашего DNS-провайдера. Убедитесь, что у вас есть полный контроль над записями и что они не содержат неожиданных данных.
-
Мониторинг сертификатов: Используйте мониторинг SSL-сертификатов для вашего домена через службы уведомления (например, через crt.sh), чтобы получать уведомления о любых изменениях или выпусках новых сертификатов.
-
Настройка сервера и собственные сертификаты: Запустите сервер, как планировалось, и самостоятельно выполните процедуры получения и обновления сертификатов через Let’s Encrypt или другой CA. Это обеспечит, что только вы имеете доступ для выполнения проверки прав собственности на домен.
-
Регулярный аудиты безопасности: Потребуйте регулярных аудитов для всех ваших доменов и связанных сервисов для выявления возможных уязвимостей.
Соблюдение этих мер поможет вам не только вернуть контроль над вашим доменом, но и обеспечить его безопасность на будущее. Образование в сфере кибербезопасности и следование лучшим практикам также будут полезны в долгосрочной перспективе.