Domain regisztráció

A finn F-Secure Corporation, az IT-biztonsági megoldások egyik vezető szállítójának Kutatási Igazgatója, Mikko Hyppönen weblogján ezúttal már nyílt levelet intézett a domain regisztrátorokhoz, amelyben az eBay-t érintő -phishing-, vagyis adathalász támadások példáján keresztül hívja fel újból a figyelmet a regisztrátorok felelősségére.


Hyppönen különösen erőteljes hangvételű levelében név nélkül vonja felelősségre a domain kereskedő cégeket, amiért nyilvánvalóan valótlan adatokat megadó személyeknek is végeznek regisztrációt. A cégek ugyanis kérdés nélkül bejegyzik a kért, a jövőben valószínűleg adathalászatra, vagyis az egyes kereskedelmi, intézményi oldalakat használók személyes adatainak illegális megszerzésére használt webcímeket. Hyppönen szerint a regisztrátoroknak minden gyanús esetben meg kellene győződniük az adatok valódiságáról, mielőtt engedélyezik egy-egy webcím, különösen az egyes jól ismert kereskedelmi célú oldalak, vagy intézmények nevéhez hasonló nevek bejegyzését.
 
Mikko Hyppönen levele

Kedves Domain Regisztrátorok!
 
Tudom, hogy Önök egy olyan üzletágban dolgoznak, amelyben bárkinek regisztrálnak domain nevet, ha szüksége van rá.
 
De biztosan engedni akarják, hogy bármilyen domain nevet bejegyezzenek? Még akkor is, ha a nevet kétségtelenül adathalászatra fogják felhasználni?
 
Mint például, mondjuk, az a személy, aki egy olyan .com domaint akar regisztrálni, amelyben benne van az ebay, illetve a sign_in (bejelentkezés) szó? Nem nyilvánvaló, hogy valami van ennek a háttérben?
 
Látják, tegnap ezt meg is tette valaki.
 
Mr. Craig Smith az angliai Kilwinningből directNIC névvel regisztrálta a signin-ebay-c.com domaint. 
Ez a csaló oldal a felhasználóktól elkéri eBay-es felhasználói nevüket és jelszavukat, majd a www.statesmanjournal.com oldalon keresztül, nem biztonságos e-mail formátumot használva, elküldi a részleteket a támadó e-mail címére: a maildeusere@gmail.com - ra.
 
Nem lenne értelme vajon, ha a regisztrátor kiszűrné az ilyen nyilvánvaló célú regisztrációkat és végezne egy valódi, személyes felmérést, mielőtt megadja az engedélyt? Vagy legalább ellenőrizné, hogy akinek a nevére kerül a domain név, nem egy nyilvánvalóan kitalált személy. VGO