Votre registraire de domaine est votre point de défaillance unique

L'affirmation

Les entreprises dépensent réellement pour des serveurs redondants, des bases répliquées et des sauvegardes multirégions, puis protègent le nom de domaine qui pointe vers tout cela avec un mot de passe partagé et une carte de crédit expirée en mars. Le contrôle de votre DNS, c'est le contrôle de votre courriel, de vos certificats, de vos réinitialisations de mot de passe et de votre identité auprès de chaque fournisseur. C'est la chose la moins redondante que vous possédiez.

Ce qu'obtient un attaquant avec votre accès de registraire

Pas seulement votre site Web. Par ordre de gravité :

• Le courriel. Modifiez les enregistrements MX et tout message destiné à votre entreprise aboutit chez l'attaquant. Les réinitialisations de mot de passe de chacun de vos services infonuagiques y sont livrées.
• Les certificats. La plupart des autorités de certification valident le contrôle du domaine par un enregistrement DNS ou un courriel à une adresse du domaine. Qui contrôle le DNS obtient un certificat valide pour votre domaine en quelques minutes.
• Le trafic. Repointez l'enregistrement A et vos clients atteignent une copie de votre site qui recueille leurs identifiants.

La sécurité au niveau du serveur n'a aucune pertinence dans ces trois cas. L'attaquant ne touche jamais à votre serveur.

Les six contrôles, dans l'ordre

1. Double authentification par clé matérielle ou application sur le compte du registraire. Pas par SMS : ce compte est précisément la cible qui justifie un échange de carte SIM. Si votre registraire ne prend pas en charge l'authentification par application, c'est un motif suffisant de transfert.
2. Verrou de registraire activé. Vérifiez-le, ne le supposez pas :

   whois exemple.ca | grep -i status

   Vous voulez voir un statut interdisant le transfert. Cela bloque les transferts non autorisés même si quelqu'un entre dans le compte.
3. Contact du titulaire sur un autre domaine. Si le courriel de récupération du compte est admin@exemple.ca et que l'attaquant contrôle vos MX, la récupération devient impossible. Utilisez une adresse sur un domaine enregistré ailleurs.
4. Renouvellement automatique activé, plus une entrée à l'agenda. Le renouvellement automatique échoue silencieusement à l'expiration d'une carte. Le rappel est le filet :

   whois exemple.ca | grep -i 'expiry\|expires'

5. Un compte nominatif d'entreprise, pas personnel. Les domaines enregistrés sous le compte personnel d'un employé parti constituent un problème récurrent et coûteux. Pour les domaines .ca, vérifiez que le titulaire est la société et que les exigences de présence canadienne de l'ACEI sont satisfaites par l'entité, non par une personne susceptible de partir.
6. Surveillez vos propres enregistrements. Une vérification quotidienne qui échoue bruyamment au moindre changement :

   dig +short NS exemple.ca > /tmp/ns.now
   diff /tmp/ns.attendu /tmp/ns.now || echo "SERVEURS DE NOMS MODIFIES"

   Faites de même pour les MX. Les modifications DNS non autorisées sont habituellement repérées par un client, des jours plus tard.

Réduisez le rayon d'impact par les durées de vie

Votre durée de vie DNS détermine combien de temps un changement hostile persiste après votre correction. Une valeur de 3600 secondes signifie une heure d'enregistrements empoisonnés en circulation dans le monde après que vous avez déjà corrigé l'erreur. Utilisez 300 secondes sur les enregistrements A et CNAME destinés à la clientèle, et acceptez le volume de requêtes légèrement supérieur : les requêtes DNS ne coûtent pratiquement rien, et pouvoir déplacer un point d'accès en cinq minutes vaut son pesant le jour venu.

Gardez les MX à une durée plus longue, 3600 ou davantage : ils changent rarement et les serveurs de messagerie réessaient.

La revue annuelle

Une fois par an, imprimez la liste et confirmez chaque ligne : chaque domaine détenu par l'entreprise, y compris les enregistrements défensifs et ceux hérités d'une acquisition ; le registraire de chacun ; la date d'expiration ; qui y a accès ; si la double authentification est active ; si le verrou l'est ; et où le DNS est réellement hébergé, ce qui n'est fréquemment pas chez le registraire.

La plupart des organisations qui font l'exercice pour la première fois trouvent au moins un domaine inconnu de tous, un autre expirant dans les 90 jours, et un troisième toujours rattaché au compte d'un ancien pigiste. Trente minutes par année, contre un mode de défaillance qui emporte simultanément votre courriel, vos certificats et votre site, et qu'on ne peut pas corriger de son côté.