如何抵御域名劫持风险:四种保护域名的方式

2012年1月23日晚上,黑客组织UGNazi入侵了奢侈品牌Coach的网站。在域名被劫持的几个小时里,那些想从Coach.com购买古驰新款Willis手袋和想从Coachfactory.com购买Penelope单肩包的用户都被转接到UGNazi的网站。这一事件着实令购买者很沮丧。

    Coach是幸运的,因为黑客是出于政治目的而非商业勒索。UGNazi之所以看中Coach是因为这家产品被大量仿制的奢侈品公司支持备受争议的SOPA(停止线上侵犯智慧财产权)。如果UGNazi想进一步威胁Coach及其客户,则可能控制发送到Coach.com的邮件或是将客户直接导向钓鱼网站。UGNazi在自己网站上称:“我们不想偷取用户数据,只是希望由此意识到SOPA,PIPA和ACTA给互联网带来的危害。”

    Coach新闻发言人告诉CIO.com称域名劫持对公司的业务影响并不大。其他域名曾被劫持过的公司则不见得有这么幸运。例如,2008年,黑客攻击CheckFree.com的时候,就将网页转接到乌克兰的一家网站,然后把恶意软件下载到CheckFree用户的电脑里(当时的恶意软件旨在偷取用户名和密码)。CheckFree的用户不是唯一易受攻击的对象。一些与CheckFree有合作关系(提供在线分期付款服务)的小银行客户也受到波及,因为他们的网站是链接到CheckFree.com,美国安全公司Internet Identity CEO Lars Harvey如是说。

    域名劫持之所以很严重还应该它会对企业敏感信息造成威胁。域名注册商Afilias CTO Ram Mohan称,黑客有权查看公司收到的所有邮件,这样凭证信息会被共享而造成破坏。

    Mohan称他知道有一家公司的域名被黑客攻击了五个月而这家公司浑然不知。直到其域名被完全劫持他们才发现,原因是黑客谨小慎微:黑客不是将用户转接到另一个网站,而是将用户发到一个准备好的域名,不过他们会监听所有流量。在这段时期内,公司网站的所有数据,邮件都是通过黑客安装的一组服务器寻找路径。Mohan称这种破坏非常严重,因为它具有极强的隐蔽性。

    域名劫持:不断增长的威胁

    Harvey和Mohan称域名劫持的案例增长增加,因为它的破坏性很大,也因为很多企业都开设在线商店,还因为域名劫持易于操作。

    “犯罪分子发现域名劫持的价值远大于其他形式的攻击”Mohan说。“黑客现在可以有效进行在线身份盗窃。他们已经可以获取企业的在线身份,而且企业的品牌也可以被黑客独占。”

    Mohan补充道,他的公司发现自2005年以来,域名劫持案例的数量就增长了三倍。事实上,域名劫持的增长速度超过了域名增长的速度。在2005年,互联网上的域名少于10亿。而到2011年底,域名数量已经超过22亿。

    Harvey称,很多公司对自己无法保护域名的事实没有给予重视。他估计这可能是域名注册一直以来都交由企业法律部门负责而非安全部门负责所导致的结果。

    Mohan称当IT部门中有人要购买域名时,他们可能因为不想支付额外的费用或是因为没有意识到自己需要保护而取消供应商理应提供的保护。

    Harvey说:“企业应将域名视为容易被损坏的有价资产。”

    一些域名注册者只是敷衍了事

    黑客可利用大量技术攻击某个域。其中一种方法就是通过公司的域名注册商。如果注册商安全措施不到位,就可能允许多次输入无效密码,Mohan说,认识管理员的黑客便可以多次套用用户名和密码进入系统。

    “通过用户名和密码保护的数据并不安全”Harvey补充道。“黑客可借助钓鱼邮件社工用户名和密码。曾经就有黑客对Comcast公司尝试过。”

    黑客还可以尝试“忘记密码”的旧把戏。为了获取密码,他们可以假装自己是忘记密码的注册用户。他们会点击注册商网页上“忘记密码”的链接,如果注册商允许他们输入用来接收密码或是密码重置指令的邮箱,那么黑客就可能轻而易举地控制这个域。

    第三种方法是利用服务器上已知的安全漏洞。Mohan称不久前,Afilias客户的网站就被黑过,原因是技术部门忘记升级最新的MySQL补丁。黑客获取了该域的用户名和密码,利用客户MySQL数据库中的漏洞便可以访问整个网站。

    四种保护域名的方式

    如果每个公司都做好保护措施,域名也不会轻易就被劫持,Harvey说。幸好,IT管理员可以通过简单几步阻止公司域名被劫持。

   1、选择一个企业级的域名注册

    一些域名公司以消费者和小企业为目标。结果,他们不能为企业提供企业级域名注册商所能提供的安全保护。

    “很多公司通常会选择收费最低的供应商或是能提供特殊服务的供应商,”Mohan说。“或许你的成本只需20美金,但是当域名被劫持后,你的损失远不止这一点。”

    Harvey补充称,“当你的网站交易涉及上百万生意时,你应该选择对应的安全级别。”

    他提到Coach.com是由域名注册商及托管商Network Solutions维护,从其网站看,这家公司的服务对象以小企业为主。

    你应该在选择域名注册商的时候留意一下是否有特殊的安全实例:

    双要素验证或回调验证。Harvey称如果域名注册商部署先进的验证方法,那么他公司见过的大多数劫持都可被阻止。

    为你的域部署多种锁定的功能。Harvey称要确保注册锁定和注册商的锁定都已经开启。Mohan称企业可以锁定自己真正的域名。一些注册商也提供锁定来防止域名劫持。

    有些注册商就会在人们完成输入后自动锁定,如三次输入无效密码后就不向任何邮箱发送登录凭证。

    2、及时更新安全补丁

    确保你的Web服务器使用的是最新的安全补丁,这样黑客就不能利用已知的软件漏洞。否则你就是自找麻烦。因为域名被劫持只是早晚的问题。这是Mohan的客户从没有应用最新MySQL补丁汲取的教训。

    3、监控网站的流量去了哪里

    如果你看到网站流量神秘地发往位于乌克兰的服务器,就像CheckFree所经历的一样,那网站就可能是出了什么问题。

    4、从注册商处请求DNS SEC

Mohan称,DNSSEC——会为你的域名系统添加安全扩展——但不能防止域名被劫持,不过唯一可作为保障的技术就是用户点击网站上的链接后,他/她在点击网页链接与进入你网页之间的那段时间里不会被劫持。