Kończąc cykl wpisów w tym blogu poświęconych kradzieżom domen, chciabym opisać wspomnianą wcześniej kradzież adresów internetowych „w białych rękawiczkach”, czyli na drodze prawnej... O Reverse Hijacking było już wiele artykułów w prasie i mediach elektronicznych. Gdy mowa o kradzieżach domen, to dla kompletności opisu, nie można zapomnieć o kradzieży w majestacie prawa. Nie zamierzam tutaj publikować wywodu prawniczego, nie jestem bowiem prawnikiem, ale podzielę się z Państwem kilkoma spostrzeżeniami w nadziei, że osoby zainteresowane zwrócą uwagę na opisywane tutaj niebezpieczeństwa i przygotują się do ochrony swoich domen.
Redaktor Adam Golański opisał przez Świętami w swoim artykule problem Reverse Hijackingu w zakresie identyfikatorów/loginów w serwisach społecznościowych.
Ja pozwolę sobie wrócić do „tradycyjnego” Reverse Hijacking, czyli tego, który dotyczy domen internetowych. Proceder ten polega na wymuszeniu przez (zazwyczaj) duże korporacje na abonentach domen, przekazania im wybranych nazw, oczywiście bez odszkodowania. Uzasadnieniem ma być naruszenie znaków towarowych tych korporacji.
Korporacje/firmy posiadające znaki towarowe, działając poprzez kancelarie prawne, wyszukują w Internecie domeny, które np. w części odzwierciedlają posiadane przez te korporacje znaki towarowe. Działając często w złej wierze, próbują wymusić na abonencie domeny przekazanie zarejestrowanej nazwy skarżącej korporacji. W przypadku braku „dobrowolnego” przekazania domeny, występują na drogę sądową i tym sposobem próbują „odzyskać” domenę. Bardzo często abonent domeny nie ma nic wspólnego z wykorzystywaniem wspomnianego znaku towarowego, a sama nazwa domeny jest nazwą „generyczną” czyli słowem powszechnie używanym w języku potocznym. Korporacje posuwają się nawet do prób „odzyskania” domen, które dokładnie odpowiadają nazwisku Abonenta, jak było to w wypadku panów o nazwiskach takich jak Nissan, Mattel czy Shell. Niestety takich spraw jest znacznie więcej, w jednych wygrywają (na szczęście) „właściciele” swoich nazwisk, a w innych okazuje się (niestety), że prawo wielkiej korporacji jest ważniejsze niż nazwisko, które ktoś nosi od urodzenia (chociaż powinno się chyba teraz mówić „od poczęcia”?).
Spraw które można klasyfikować jako „Reverse Domain Hijacking” jest bardzo wiele. Ponieważ w Sieci można znaleźć dokładne opisy wielu takich spraw, wymienię tylko dwa przypadki rozstrzygnięte oficjalnie na korzyść Abonenta, a więc ze szczęśliwym zakończeniem. Nie chcę opisywać znanych mi wypadków (takich jak chociażby sprawa LH.com), kiedy to Abonent tracił (w opinii wielu osób niesprawiedliwie) swoje domeny, aby nie zostać posądzony o stronniczość i wspieranie cybersquatterów.
GOLDLINE.com (zakończona w 2001 roku)
W jednej z pierwszych znanych spraw o Reverse Hijacking, w roku 2000, Goldline International Inc. wystąpił przeciwko Gold Line Internet, argumentując, że Gold Line Internet naruszył prawa Goldline International. Okazało się jednak, że o przyznanie trademarku na „GOLD LINE” lub „GOLDLINE” pojawiło się przynajmniej 47 wniosków od roku 1958, którym to wnioskom Goldline International nie sprzeciwiał się w żaden sposób. Ponadto panel arbitrów uznał, że Abonent nie wykorzystywał reputacji Goldline International , nie planował sprzedaży domeny goldline.com firmie Goldline International, ani też nie działał na tym samym rynku co Goldline International. Ostatecznie panel arbitrów WIPO uznał, że pozew był złożony w złej wierze i należy go zaklasyfikować jako próbę „Reverse Domain Name Hijacking”.
Więcej o sprawie można przeczytać pod adresem
NISSAN.com (zakończona w 2008 roku)
Tym razem Nissan Motor pozwał przed sądem w USA firmę Nissan Computer Corporation należąca do pana... Uzi Nissana. Nissan Motor chciała także otrzymać w ramach „rekompensaty” kwotę 10 milionów USD za „nieuprawnione” używanie przez pana Nissana domeny z jego nazwiskiem. Sprawa ciagnęła się latami, a jej przebieg można prześledzić pod adresem
Pan Uzi Nissan ostatecznie wygrał w 2008 roku, chociaż musi zapłacić kwotę 58 000 USD, zaś firma Nissan Motor... została zwolniona z opłat sądowych.
To jednak nie koniec sprawy, ponieważ Nissan wystąpił o rejestrację znaku towarowego w klasie 009, w zakresie „computer software games; computer storage devices, namely, flash drives; computer peripherals, namely, mouse pads.”.
Na koniec, chciałbym życzyć Państwu wszystkiego najlepszego na nowy, 2009 rok, a w szczególności abyście Państwo nie stracili żadnej swojej domeny internetowej, ani w sądzie, ani poprzez włamanie do komputera.
PS. Raport roczny NASK dotyczący domen .PL będzie dostępny w ciągu kilku dni po Nowym Roku.
Tuesday, 30 December 2008
Wednesday, 17 December 2008
Inwestorzy domenowi walczą z nowymi TLD
Każdy broni swojego biznesu i konkurencji nie lubi. To oczywiste. Tym razem każdy może się przekonać, że Association of National Advertisers (ANA) czyli stowarzyszenie reprezentujące reklamodawców w Internecie, jest przeciwne wprowadzaniu nowych TLD (Top Level Domains). Oczywiście powodem jest konieczność „ochrony” swoich brandów, a nic nie chroni lepiej niż uniemożliwienie innym rejestracji atrakcyjnych domen w nowych TLD. Dla kontrastu, osoby reprezentujące istniejące TLD, zarówno gTLD jak i ccTLD nie wyrażają sprzeciwu wobec wprowadzenia do Internetu nowych domen...
Jako Chairman CENTR – CENTR to stowarzyszenie 58 rejestrów narodowych (ccTLD) – mogę zapewnić, że żaden z naszych członków nie wyrażał sprzeciwu wobec rozwoju konkurencji – wręcz przeciwnie, nowe TLD to zdrowy rozwój Internetu i dla wielu ccTLD konkurencja jest potrzebna. Przykładowo wprowadzenie domen .eu pomogło w rozwoju... domen .pl. Otóż dwa lata temu, jak wprowadzane były domeny .EU, większe generalne zainteresowanie domenami internetowymi spowodowało, że osoby które wcześniej nie słyszały o „domenach”, po przeczytaniu informacji w mediach o domenie .EU dokonało rejestracji... domeny .PL. Ja w każdym razie bardzo pozytywnie odbieram wprowadzenie domen .EU, a w przyszłości może (?) innych ciekawych nazw jak np. .cracow.
Co ciekawe, domainers są również przeciwni wprowadzaniu nowych TLD (Top Level Domains). W tym przypadku protesty dotyczą faktu, że proces akceptacji nowych zasad... przebiega w ICANN tak szybko... Oczywiście osoby znające branżę wiedzą, że to nie troska o zebranie komentarzy w sprawie zasad przydziału nowych TLD jest najważniejsza. Chodzi o opóźnienie całego procesu, a w szczególności daty, kiedy ICANN zacznie przyjmować aplikacje o nowe TLD...
Słownik pojęć:
Domainer (en.) = Domain Investor (en.) = Inwestor domenowy (pl.)
ICANN to organizacja nadzorująca m.in. „serwery root” na których delegowane są domeny najwyższego poziomu czyli np. .pl .de .fr tudzież .com .net .org .pro .mobi .museum (w sumie ponad 300 domen)
TLD to domena najwyższego poziomu (Top Level Domain) np.: .pl .de .nl .com
gTLD to globalne TLD, czyli tylko te które nie są związane z konkretnym krajem, przykładowo .com .net .org .mobi .tel itd.
ccTLD to domeny krajowe; przykładowo .pl czy .fr nie zaliczają się do gTLD ale do ccTLD (County Code Top Level Domain)
Literatura:
[1]BroadcastingCable
[2]ICA
[3]CENTR
Jako Chairman CENTR – CENTR to stowarzyszenie 58 rejestrów narodowych (ccTLD) – mogę zapewnić, że żaden z naszych członków nie wyrażał sprzeciwu wobec rozwoju konkurencji – wręcz przeciwnie, nowe TLD to zdrowy rozwój Internetu i dla wielu ccTLD konkurencja jest potrzebna. Przykładowo wprowadzenie domen .eu pomogło w rozwoju... domen .pl. Otóż dwa lata temu, jak wprowadzane były domeny .EU, większe generalne zainteresowanie domenami internetowymi spowodowało, że osoby które wcześniej nie słyszały o „domenach”, po przeczytaniu informacji w mediach o domenie .EU dokonało rejestracji... domeny .PL. Ja w każdym razie bardzo pozytywnie odbieram wprowadzenie domen .EU, a w przyszłości może (?) innych ciekawych nazw jak np. .cracow.
Co ciekawe, domainers są również przeciwni wprowadzaniu nowych TLD (Top Level Domains). W tym przypadku protesty dotyczą faktu, że proces akceptacji nowych zasad... przebiega w ICANN tak szybko... Oczywiście osoby znające branżę wiedzą, że to nie troska o zebranie komentarzy w sprawie zasad przydziału nowych TLD jest najważniejsza. Chodzi o opóźnienie całego procesu, a w szczególności daty, kiedy ICANN zacznie przyjmować aplikacje o nowe TLD...
Słownik pojęć:
Domainer (en.) = Domain Investor (en.) = Inwestor domenowy (pl.)
ICANN to organizacja nadzorująca m.in. „serwery root” na których delegowane są domeny najwyższego poziomu czyli np. .pl .de .fr tudzież .com .net .org .pro .mobi .museum (w sumie ponad 300 domen)
TLD to domena najwyższego poziomu (Top Level Domain) np.: .pl .de .nl .com
gTLD to globalne TLD, czyli tylko te które nie są związane z konkretnym krajem, przykładowo .com .net .org .mobi .tel itd.
ccTLD to domeny krajowe; przykładowo .pl czy .fr nie zaliczają się do gTLD ale do ccTLD (County Code Top Level Domain)
Literatura:
[1]BroadcastingCable
[2]ICA
[3]CENTR
Monday, 15 December 2008
Kradzieże domen (2)
W ostatnim blogu pisałem o kradzieży domen w celu przechwycenia ruchu generowanego przez taką domenę, a następnie wyłudzeniu haseł, numerów kont bankowych lub numerów kart kredytowych od nieświadomych użytkowników Internetu.
Dzisiaj chciałbym opisać inną metodę, kiedy to przestępcy dokonują kradzieży domeny w celu dalszej jej odsprzedaży. Mechanizm kradzieży jest jednak taki sam jak poprzednio – należy zdobyć kontrolę nad panelem klienta (zwykle robi to osoba która zna realia firmy bądź nawet w niej pracuje) i dokonania zmian w WHOIS. W wypadku chęci przejęcia kontroli nad ruchem wystarczy dokonać zmian technicznych (np. serwerów nazw), a w sytuacji opisywanej dziś, najważniejsze są dane abonenta (właściciela) domeny. Po dokonaniu zmiany danych w WHOIS, przestępca próbuje taką domenę sprzedać komuś innemu, oczywiście za cenę, która dla kupującego wydaje się bardzo atrakcyjna.
Kradzieże domen w celu ich sprzedaży były „powszechne” kilka lat temu. Obencie rynek wtórny jest ucywiliowany, a najwięcej domen sprzedawanych jest jawnie poprzez otwarte aukcje (głównie Sedo i NameDrive), więc tym samym bardzo łatwo wykryć takie przestępstwo. Oprócz samej jawności, która jest czynnikiem najistotniejszym, istnieje też trzecia strona, np. Sedo, która pilnując swojego interesu, dokonuje częściowej weryfikacji legalności takiej transakcji.
Jako przykład kradzieży możemy przywołać niedawną sprawę sofa.com. W zeszłym roku opisywany był przypadek, gdy pracownik jednej firmy „sprzedał” sofa.com za 200 000 USD, oczywiście nie mając do tej transakcji autoryzacji zarządu. Podobne przypadki mają często miejsce, kiedy ktoś z firmy, np. były udziałowiec, „wyprowadza” a następnie sprzedaje domenę należącą do firmy. Takie przypadki są niestety nadal powszechne, dlatego też warto ZAWSZE dokładnie sprawdzać źródło z którego dokonuje się zakupu domeny.
Wiele osób narzekało na NASK, że NASK wymaga podpisów np. dwóch członków zarządu (bo tak akurat stanowił np. statut danej spółki co do ważności umów zawieranych przez spółkę) do przeprowadzenia cesji domen... „przeciez to tylko domena”... tak, tylko że taka domena może być warta setki tysięcy złotych... kiedyś jeden z Dyrektorów dużego banku w Polsce dziwił się, czemu NASK nie pozwala na cesję domeny, skoro on ma uprawnienia do zawierania wielomilionowych umów... Pytanie tylko ile jest warta podstawowa domena jednego z największych banków, pod którą działa cała bankowość elektroniczna dla kilku milionów klientów? 1 milion? 2 miliony złotych?
Tak więc warto aby firmy – i te duże i te ma małe – przyjrzały się swojej polityce i zastanowiły się czy faktycznie uprawnienia do zarządzania swoimi domenami są przydzielone do właściwych osób w firmie. Dla sklepu internetowego, który większość (całość?) swojej sprzedaży dokonuje przez witrynę internetową, strata kluczowej domeny i powiedzmy odzyskanie jej na drodze prawnej za kilka miesięcy, może być już (dalece) spóźnione...
W następnym, trzecim, odcinku opowiem o „reverse domain hijacking”. Czyli kradzieży domen w „białych rękawiczkach” – na drodze sądowej...
Dzisiaj chciałbym opisać inną metodę, kiedy to przestępcy dokonują kradzieży domeny w celu dalszej jej odsprzedaży. Mechanizm kradzieży jest jednak taki sam jak poprzednio – należy zdobyć kontrolę nad panelem klienta (zwykle robi to osoba która zna realia firmy bądź nawet w niej pracuje) i dokonania zmian w WHOIS. W wypadku chęci przejęcia kontroli nad ruchem wystarczy dokonać zmian technicznych (np. serwerów nazw), a w sytuacji opisywanej dziś, najważniejsze są dane abonenta (właściciela) domeny. Po dokonaniu zmiany danych w WHOIS, przestępca próbuje taką domenę sprzedać komuś innemu, oczywiście za cenę, która dla kupującego wydaje się bardzo atrakcyjna.
Kradzieże domen w celu ich sprzedaży były „powszechne” kilka lat temu. Obencie rynek wtórny jest ucywiliowany, a najwięcej domen sprzedawanych jest jawnie poprzez otwarte aukcje (głównie Sedo i NameDrive), więc tym samym bardzo łatwo wykryć takie przestępstwo. Oprócz samej jawności, która jest czynnikiem najistotniejszym, istnieje też trzecia strona, np. Sedo, która pilnując swojego interesu, dokonuje częściowej weryfikacji legalności takiej transakcji.
Jako przykład kradzieży możemy przywołać niedawną sprawę sofa.com. W zeszłym roku opisywany był przypadek, gdy pracownik jednej firmy „sprzedał” sofa.com za 200 000 USD, oczywiście nie mając do tej transakcji autoryzacji zarządu. Podobne przypadki mają często miejsce, kiedy ktoś z firmy, np. były udziałowiec, „wyprowadza” a następnie sprzedaje domenę należącą do firmy. Takie przypadki są niestety nadal powszechne, dlatego też warto ZAWSZE dokładnie sprawdzać źródło z którego dokonuje się zakupu domeny.
Wiele osób narzekało na NASK, że NASK wymaga podpisów np. dwóch członków zarządu (bo tak akurat stanowił np. statut danej spółki co do ważności umów zawieranych przez spółkę) do przeprowadzenia cesji domen... „przeciez to tylko domena”... tak, tylko że taka domena może być warta setki tysięcy złotych... kiedyś jeden z Dyrektorów dużego banku w Polsce dziwił się, czemu NASK nie pozwala na cesję domeny, skoro on ma uprawnienia do zawierania wielomilionowych umów... Pytanie tylko ile jest warta podstawowa domena jednego z największych banków, pod którą działa cała bankowość elektroniczna dla kilku milionów klientów? 1 milion? 2 miliony złotych?
Tak więc warto aby firmy – i te duże i te ma małe – przyjrzały się swojej polityce i zastanowiły się czy faktycznie uprawnienia do zarządzania swoimi domenami są przydzielone do właściwych osób w firmie. Dla sklepu internetowego, który większość (całość?) swojej sprzedaży dokonuje przez witrynę internetową, strata kluczowej domeny i powiedzmy odzyskanie jej na drodze prawnej za kilka miesięcy, może być już (dalece) spóźnione...
W następnym, trzecim, odcinku opowiem o „reverse domain hijacking”. Czyli kradzieży domen w „białych rękawiczkach” – na drodze sądowej...
Monday, 8 December 2008
Kradzieże domen (1)
Co jakiś czas przez różnorakie portale i listy dyskusyjne przewija się temat „kradzieży domen”. Proceder ten polega na tym, że na skutek działań przestępców zainteresowanych nielegalnym zarobkiem, abonent (właściciel) domeny w pewnym momencie traci nad nią kontrolę.
To zarabianie może odbywać się w dwojaki sposób: dokonuje się zmiany danych właściciela domeny (kradzież samej domeny) lub dokonuje się przekierowania domeny na inny serwer (kradzież „ruchu” generowanego do prawdziwej strony).
W pierwszym (1) wypadku po takiej zmianie danych sprawca sprzedaje „ukradzioną” domenę osobie trzeciej, zazwyczaj nieświadomej całej sprawy. W drugim (2) wypadku, sprawca/sprawcy przekierowują domenę na inny serwer, używając do tego np. oprogramowania typu malware, aby zarazić komputery niewinnych osób które nieświadomie wchodzą na taką fałszywą stronę.
Dzisiaj przeznaczę miejsce na blogu sytuacji drugiej (2). Kradzież domen w celu odsprzedaży (1) opiszę innym razem, tym bardziej że w Polsce, mechanizmy dla domen .pl (w przeciwieństwie do domen .com) wdrożone przez NASK i Partnerów NASK, dają już teraz wysoki poziom ochrony przed takimi przestępstwami.
Przekierowywanie domen na inny serwer (1)
Opisywany przez „Washington Post” na początku grudnia przypadek CheckFree.com (strona obsługująca płatności on-line; usługi dla 25 mln. klientów) jest klasycznym sposobem przejęcia kontroli nad domeną. Po (prawdopodobnym) włamaniu na komputer osoby, która posiada hasło dostępu do panelu Registrara, przestępcy logują się „w imieniu” swojej ofiary a później dokonują zmiany delegacji na uprzednio przygotowaną (fałszywą) stronę, na której znajduje się malware. W tym wypadku był to malware, ale innym, typowym sposobem jest bezpośrednio wykradanie haseł dostępu do np. bankowości elektronicznej i wykorzystywanie ich przez przestępców już na prawdziwej stronie banku lub innej instytucji finansowej
Podobny problem jak CheckFree.com może także dotknąć banki, choć trudno sobie wyobrazić, że hasła dostępu do panelu kontrolnego dla domeny banku, znajdują się niezabezpieczone np. na komputerze pracownika! Niestety w Polsce mieliśmy już raz wypadek (kilka lat temu), kiedy pracownik dużego banku (z pierwszej piątki w Polsce!), bez zachowania procedur wewnętrznych, dokonał transferu domen do innego registrara. Więc jak widać wszystko jest możliwe...
Pytanie też, czy bank, dokonując zmian danych dotyczących swoich domen, wykorzystuje proste mechanizmy user/password, czy też bardziej zaawansowane, np. z hasłami jednorazowymi? Jeśli cały proces bazuje na logowaniu przez pracownika Banku w panelu Registrara za pomocą tych dwóch statycznych elementów (user/password), to bezpieczeństwo banku i jego klientów jest bardzo (!) zagrożone.
Pamiętajmy, że po zmianie danych dotyczących domeny (np. przekierowaniu jej na inne serwery), taka zmiana w DNS jest widoczna (dotyczy DNS w Polsce) nie później niż 5 minut po dokonaniu zmian. Po co więc włamywać się do banku, podmieniać stronę itd, skoro można w prosty sposób przekierowac domenę na inny adres? I tak też było w wypadku CheckFree.com (i wielu innych domen w ten sposób zaatakowanych na przestrzeni ostatnich lat) – strona CheckFree.com była nienaruszona, ale pojawiła się druga, tym razem fałszywa. Osoby odpowiedzialne za bezpieczeństwo systemu (np. płatności on-line) mogą zrobić wszystko co jest możliwe, ale jeśli klienci będą trafiali na fałszywą stronę, to żadne zabezpieczenia banku nie będą miały już wtedy sensu.
Mam jednak nadzieję, że nasi bankowcy dobrze zabezpieczyli swoje domeny oraz pamiętają o opłacie za przedłużenie domen w terminie – bo to wielki wstyd, kiedy domena banku przestaje nagle działać, tylko dlatego że ktoś zapomniał zapłacić kilkudziesięciu złotych...
I na koniec rada dla abonentów domen – pilnujcie swoich (wartościowych) domen: strzeżcie swoich haseł lepiej niż porfela!
A wszyscy pamiętajmy, że jeśli wchodzimy na stronę na której dokonujemy transakcji finansowych, należy zawsze sprawdzać czy dana strona ma poprawny certyfikat SSL. No i wystrzegać się tych instytucji finansowych, które posługują się podstawowymi certyfikatami SSL. Obecnie standardem jest certyfikat tzw. Extended Validation (EV), a jak on wygląda można się przekonać wchodząc chociażby na stronę BRE Banku czy PKO BP.
Słowniczek dla początkujących:
Registrar – podmiot obsługujący w imieniu klienta domenę (np. Home.pl), wprowadzając zmiany w centralnym rejestrze (np. w rejestrze prowadzony w NASK dla domen .pl);
Przekierowanie domeny (inaczej zmiana delegacji) – zmiana danych technicznych domeny w DNS, np. serwerów nazw. Dzięki zmianie delegacji, informujemy klientów, że daną domenę obsługują już inne serwery bo np. doszło do zmiany dostawcy usług hostingowych.
Certyfikat SSL – umożliwia potwierdzenie tożsamości strony (czyli dowiadujemy się kto jest właścicielem danej strony) przez stronę trzecią (zaufaną) np. VeriSign, Thawte itd.
To zarabianie może odbywać się w dwojaki sposób: dokonuje się zmiany danych właściciela domeny (kradzież samej domeny) lub dokonuje się przekierowania domeny na inny serwer (kradzież „ruchu” generowanego do prawdziwej strony).
W pierwszym (1) wypadku po takiej zmianie danych sprawca sprzedaje „ukradzioną” domenę osobie trzeciej, zazwyczaj nieświadomej całej sprawy. W drugim (2) wypadku, sprawca/sprawcy przekierowują domenę na inny serwer, używając do tego np. oprogramowania typu malware, aby zarazić komputery niewinnych osób które nieświadomie wchodzą na taką fałszywą stronę.
Dzisiaj przeznaczę miejsce na blogu sytuacji drugiej (2). Kradzież domen w celu odsprzedaży (1) opiszę innym razem, tym bardziej że w Polsce, mechanizmy dla domen .pl (w przeciwieństwie do domen .com) wdrożone przez NASK i Partnerów NASK, dają już teraz wysoki poziom ochrony przed takimi przestępstwami.
Przekierowywanie domen na inny serwer (1)
Opisywany przez „Washington Post” na początku grudnia przypadek CheckFree.com (strona obsługująca płatności on-line; usługi dla 25 mln. klientów) jest klasycznym sposobem przejęcia kontroli nad domeną. Po (prawdopodobnym) włamaniu na komputer osoby, która posiada hasło dostępu do panelu Registrara, przestępcy logują się „w imieniu” swojej ofiary a później dokonują zmiany delegacji na uprzednio przygotowaną (fałszywą) stronę, na której znajduje się malware. W tym wypadku był to malware, ale innym, typowym sposobem jest bezpośrednio wykradanie haseł dostępu do np. bankowości elektronicznej i wykorzystywanie ich przez przestępców już na prawdziwej stronie banku lub innej instytucji finansowej
Podobny problem jak CheckFree.com może także dotknąć banki, choć trudno sobie wyobrazić, że hasła dostępu do panelu kontrolnego dla domeny banku, znajdują się niezabezpieczone np. na komputerze pracownika! Niestety w Polsce mieliśmy już raz wypadek (kilka lat temu), kiedy pracownik dużego banku (z pierwszej piątki w Polsce!), bez zachowania procedur wewnętrznych, dokonał transferu domen do innego registrara. Więc jak widać wszystko jest możliwe...
Pytanie też, czy bank, dokonując zmian danych dotyczących swoich domen, wykorzystuje proste mechanizmy user/password, czy też bardziej zaawansowane, np. z hasłami jednorazowymi? Jeśli cały proces bazuje na logowaniu przez pracownika Banku w panelu Registrara za pomocą tych dwóch statycznych elementów (user/password), to bezpieczeństwo banku i jego klientów jest bardzo (!) zagrożone.
Pamiętajmy, że po zmianie danych dotyczących domeny (np. przekierowaniu jej na inne serwery), taka zmiana w DNS jest widoczna (dotyczy DNS w Polsce) nie później niż 5 minut po dokonaniu zmian. Po co więc włamywać się do banku, podmieniać stronę itd, skoro można w prosty sposób przekierowac domenę na inny adres? I tak też było w wypadku CheckFree.com (i wielu innych domen w ten sposób zaatakowanych na przestrzeni ostatnich lat) – strona CheckFree.com była nienaruszona, ale pojawiła się druga, tym razem fałszywa. Osoby odpowiedzialne za bezpieczeństwo systemu (np. płatności on-line) mogą zrobić wszystko co jest możliwe, ale jeśli klienci będą trafiali na fałszywą stronę, to żadne zabezpieczenia banku nie będą miały już wtedy sensu.
Mam jednak nadzieję, że nasi bankowcy dobrze zabezpieczyli swoje domeny oraz pamiętają o opłacie za przedłużenie domen w terminie – bo to wielki wstyd, kiedy domena banku przestaje nagle działać, tylko dlatego że ktoś zapomniał zapłacić kilkudziesięciu złotych...
I na koniec rada dla abonentów domen – pilnujcie swoich (wartościowych) domen: strzeżcie swoich haseł lepiej niż porfela!
A wszyscy pamiętajmy, że jeśli wchodzimy na stronę na której dokonujemy transakcji finansowych, należy zawsze sprawdzać czy dana strona ma poprawny certyfikat SSL. No i wystrzegać się tych instytucji finansowych, które posługują się podstawowymi certyfikatami SSL. Obecnie standardem jest certyfikat tzw. Extended Validation (EV), a jak on wygląda można się przekonać wchodząc chociażby na stronę BRE Banku czy PKO BP.
Słowniczek dla początkujących:
Registrar – podmiot obsługujący w imieniu klienta domenę (np. Home.pl), wprowadzając zmiany w centralnym rejestrze (np. w rejestrze prowadzony w NASK dla domen .pl);
Przekierowanie domeny (inaczej zmiana delegacji) – zmiana danych technicznych domeny w DNS, np. serwerów nazw. Dzięki zmianie delegacji, informujemy klientów, że daną domenę obsługują już inne serwery bo np. doszło do zmiany dostawcy usług hostingowych.
Certyfikat SSL – umożliwia potwierdzenie tożsamości strony (czyli dowiadujemy się kto jest właścicielem danej strony) przez stronę trzecią (zaufaną) np. VeriSign, Thawte itd.
Thursday, 4 December 2008
Positive changes in the Aftermarket
As of December 1, 2008, parking share of the total .pl market raised to 5.63%, 21 basis points higher if compared to October.
Market share of the biggest player, NameDrive, rose to 61% (from 60%).
As of parking techniques, URL redirection is still less popular with only 9% of the sites parked using URL.
Market share of the biggest player, NameDrive, rose to 61% (from 60%).
As of parking techniques, URL redirection is still less popular with only 9% of the sites parked using URL.
Pozytywne zmiany na rynku wtórnym
Według wyliczeń NASK na koniec listopada wielkość rynku zaparkowanych domen .pl wyniosła 5,63% wszystkich zarejestrowanych nazw, co daje wzrost o 21 punktów bazowych w stosunku do października.
Warto zaznaczyć, że udział firmy NameDrive wzrósł do 61% w rynku. Ten wzrost nastąpił kosztem firmy SEDO, której udział spadł do 39%.
Jeśli chodzi o wykorzystane techniki parkowania, to tutaj nic się nie zmieniło od ostatniego miesiąca – nadal 91% domen jest parkowanych z użyciem serwerów nazw, a 9% przez przekierowanie URL.
O tym, co to jest parkowanie domen można przeczytać tutaj. Tam też znajduje się raport październikowy.
Chciałbym również zdradzić, że z obu wymienianymi firmami (NameDrive i SEDO) będzie można się spotkać w kwietniu podczas konferencji organizowanej przez NASK pt.„Future Business Trends in Domain Industry”. Konferencji patronuje Webhosting.pl.
Warto zaznaczyć, że udział firmy NameDrive wzrósł do 61% w rynku. Ten wzrost nastąpił kosztem firmy SEDO, której udział spadł do 39%.
Jeśli chodzi o wykorzystane techniki parkowania, to tutaj nic się nie zmieniło od ostatniego miesiąca – nadal 91% domen jest parkowanych z użyciem serwerów nazw, a 9% przez przekierowanie URL.
O tym, co to jest parkowanie domen można przeczytać tutaj. Tam też znajduje się raport październikowy.
Chciałbym również zdradzić, że z obu wymienianymi firmami (NameDrive i SEDO) będzie można się spotkać w kwietniu podczas konferencji organizowanej przez NASK pt.„Future Business Trends in Domain Industry”. Konferencji patronuje Webhosting.pl.
Tuesday, 2 December 2008
Internet addresses space: Poland on 5th place in EU
Poland has reached the 6th position in Europe and the 5th position in European Union in the ranking of the country code (national) Top Level domain names (ccTLD).
As of December 1st, 2008, NASK with 1.289.763 domain names had 1505 more addresses than AFNIC, French ccTLD Registry.
Top 6 ccTLD registries in Europe are as follows: Germany with over 12 million names, UK with over 7 million names, Netherlands with more than 3 million names, Russia with 1.750 million names and finally Italy with slightly more than 1.5 million names. It's worth to mention that on May 6th, 2008 NASK celebrated registration of 1.000.000th domain name. Since than we managed to overtake a few ccTLDs including CIRA (.ca domains) and SWITCH (.ch domains). For more statistics click here.
Such impressive result is due to the 70% growth of .pl names Y2Y and stable 72.5% renewal rate Y2Y. Such high growth rate NASK managed to achieve by reducing registration/renewal prices and introduction of the new services.
The new services are like:
* Domain Name Tasting
* Wait List Service
* publication of the list of expired names
* exact expiration time in WHOIS
* NX DOMAINs list
* and more...
Of course the role of our Partners (Registrars) is fundamental and NASK could do nothing without Home, NetArt, AZ.PL and many more...
As of December 1st, 2008, NASK with 1.289.763 domain names had 1505 more addresses than AFNIC, French ccTLD Registry.
Top 6 ccTLD registries in Europe are as follows: Germany with over 12 million names, UK with over 7 million names, Netherlands with more than 3 million names, Russia with 1.750 million names and finally Italy with slightly more than 1.5 million names. It's worth to mention that on May 6th, 2008 NASK celebrated registration of 1.000.000th domain name. Since than we managed to overtake a few ccTLDs including CIRA (.ca domains) and SWITCH (.ch domains). For more statistics click here.
Such impressive result is due to the 70% growth of .pl names Y2Y and stable 72.5% renewal rate Y2Y. Such high growth rate NASK managed to achieve by reducing registration/renewal prices and introduction of the new services.
The new services are like:
* Domain Name Tasting
* Wait List Service
* publication of the list of expired names
* exact expiration time in WHOIS
* NX DOMAINs list
* and more...
Of course the role of our Partners (Registrars) is fundamental and NASK could do nothing without Home, NetArt, AZ.PL and many more...
Polska coraz wyżej w rankingu liczby zarejestrowanych domen
Polska przesunęła się na 6. miejsce w Europie i 5. w Unii Europejskiej, jeśli chodzi o liczbę zarejestrowanych domen. Dokładnie 30 listopada prześcignęliśmy Francję – już 1 grudnia rano mieliśmy 1505 domen więcej niż rejestr francuski.
Gdyby brać pod uwagę tylko Unię Europejska, to jesteśmy na 5. miejscu, a wyprzedzaja nas Niemcy, Wielka Brytania, Holandia i Włochy.
Obecnie mamy 1 289 763 zarejestrowanych nazw i zaraz po dniu św. Mikołaja przekroczymy 1,3 miliona domen.
Jeszcze w październiku pisałem, że jesteśmy na 7. miejscu w Europie, sugerując, że w listopadzie przegonimy Francję i tak też się stało. Zawdzięczamy to w dużej mierze naszym Partnerom.
Poniżej garść aktualnych statystyk:
* Niemcy: 12 401 502,
* Wielka Brytania: 7 200 000 (domeny trzeciego poziomu, a więc co.uk, me.uk itd),
* Holandia: 3 152 972,
* Rosja: 1 750 000,
* Włochy: 1 605 560.
Gdyby brać pod uwagę tylko Unię Europejska, to jesteśmy na 5. miejscu, a wyprzedzaja nas Niemcy, Wielka Brytania, Holandia i Włochy.
Obecnie mamy 1 289 763 zarejestrowanych nazw i zaraz po dniu św. Mikołaja przekroczymy 1,3 miliona domen.
Jeszcze w październiku pisałem, że jesteśmy na 7. miejscu w Europie, sugerując, że w listopadzie przegonimy Francję i tak też się stało. Zawdzięczamy to w dużej mierze naszym Partnerom.
Poniżej garść aktualnych statystyk:
* Niemcy: 12 401 502,
* Wielka Brytania: 7 200 000 (domeny trzeciego poziomu, a więc co.uk, me.uk itd),
* Holandia: 3 152 972,
* Rosja: 1 750 000,
* Włochy: 1 605 560.
Subscribe to:
Posts (Atom)