Il tuo dominio .it è al sicuro?

Vi esporrò oggi un aspetto abbastanza delicato relativo alla registrazione e gestione dei domini .it.
E' un aspetto che coinvolge direttamente la sicurezza del dominio e che, pur non rappresentando una vera e propria vulnerabilità, essendo per lo più sottovalutato se non addirittura ignorato, costituisce almeno una grave criticità.

Andiamo con ordine.

Per poter trasferire presso un altro Registrar un dominio .it, è necessario un codice alfanumerico (cosiddetto "authinfo", o "authcode"). Ovvero, al nuovo Registrar dobbiamo fornire questo codice, altrimenti trasferire il dominio sarà impossibile.
Fino a qui nulla di strano: questo meccanismo è comune a moltissimi altri ccTLD ed ai gTLD

Però ci sono due dettagli che differenziano il meccanismo di trasferimento dei domini .it rispetto a quello (universalmente noto) dei gTLD:

1. nei domini .it, il codice authinfo viene generato dal Registrar all'atto della registrazione/trasferimento del dominio, e viene immediatamente comunicato a mezzo email al Registrante (nei gTLD invece di norma il Registrante lo deve esplicitamente richiedere al Registrar, che comunque è obbligato a fornirlo entro 5 giorni dalla richiesta)
   
2. nei gTLD, dopo aver avviato il trasferimento presso un altro Registrar fornendo l'authinfo, il Registrante dovrà dare un'ulteriore conferma a mezzo email (normalmente, il Registrante riceve un'email con un link: se clicca sul link dà conferma del trasferimento, altrimenti lo stesso, pochi giorni dopo, viene abbandonato e fallisce)

La prima criticità è che il codice authinfo viene fornito al Registrante immediatamente, al momento della registrazione.

Se tutti i Registranti fossero ben consci dell'importanza di questo codice, non ci sarebbe alcun problema; però in realtà ciò non è. Moltissimi Registranti non sanno neppure cosa sia, né a cosa serva, e quindi non lo conservano con le dovute attenzioni. Nel migliore dei casi si limiteranno a lasciare la relativa email in mezzo alle altre, senza cancellarla e senza proteggerla in nessuna maniera particolare.

Però un archivio email è soggetto a tantissime vulnerabilità: può esser violato da un virus o da un malware, oppure può capitare che se ne dia l'accesso (magari ripromettendosi che sia solo "temporaneamente") ad un collega, ad un tecnico, ad un amico, a quella che oggi è nostra moglie ma domani diventerà "la nostra ex moglie"... in tutti questi casi queste figure avranno la possibilità di accedere al codice authinfo, di un dominio che magari abbiamo registrato tre anni prima... e, nel momento del bisogno, potrebbero decidere di farne un uso illecito.

La seconda criticità consiste nel fatto che dopo l'avvio di un trasferimento non viene richiesta nessuna conferma via email al Registrante; quindi, questi non ha la possibilità di bloccarlo o anche solo di accorgersene fino a che non sarà troppo tardi.

Facciamo un esempio concreto.

Voi oggi registrate un dominio .it presso il Registrar $Registrar1.
Come email di riferimento indicate la vostra email personale, quella che utilizzate normalmente ogni giorno, e che consultate quotidianamente dal notebook, dallo smartphone, dal PC dell'ufficio e financo - via webmail - ogni tanto anche da PC "altri" (quello di un amico presso cui siete in ferie, quello di un cybercafè ecc.)

$Registrar1 vi manda - correttamente - il codice authinfo. Voi lo vedete, sovrappensiero ci chiedete "Cos'è 'sta roba?", e lo dimenticate là. O al massimo, se siete ordinati, lo spostate in una cartella apposita.

Nel corso dei tre anni successivi, possono capitare uno (o più di uno) dei seguenti episodi:

• uno qualsiasi degli apparati utilizzati (compreso il PC del cybercafè...) viene infettato da un virus
• il vostro notebook va in assistenza, ed al tecnico fornirete la password di accesso
• vi siete trovati nella necessità di comunicare la password dell'email ad un collega, che vi sostituisce durante un periodo di ferie o malattia
• vi hanno rubato (o avete smarrito) lo smartphone
• durante un viaggio all'estero, vi siete collegati ad internet per controllare la posta; e lo avete fatto attraverso una rete wi-fi che avete trovato "aperta" (compiacendovi tra di voi perché siete riusciti a "navigare gratis", senza pagare il salatissimo conto del roaming...)
• ... o altre dozzine di episodi simili

In tutte queste situazioni, qualcuno avrebbe potuto ottenere l'accesso alla vostra email e, quindi, accedere anche al codice authinfo del vostro dominio. E magari annotarselo, per farne eventualmente uso alla bisogna... "non si sa mai".
O magari il vostro collega, dopo essersi collegato alla vostra mail, ha sbadatamente conservato sul proprio PC una copia completa degli archivi, e dopo il PC gli è stato rubato, o affidato ad un altro collega (che magari ce l'ha con voi per motivi personali) senza stare troppo a badare su quello che c'era e non c'era su quel PC... insomma, le possibilità a questo punto sono pressoché infinite.

Quindi, partiamo dal presupposto: un malintenzionato (che può essere l'autore di un virus, un vostro collega o ex-collega che non vi vuole bene, la vostra ex-moglie, il tecnico del PC a cui non avete pagato una fattura, ecc. ecc.) a questo punto ha l'authinfo del vostro dominio.

Cosa deve fare?

Semplice: scegliersi un altro Registrar accreditato (che chiameremo $Registrar2) accreditato, chiedere il trasferimento del dominio fornendo il relativo authinfo e, nell'occasione, cambiando i dati del registrante (con altri falsi, fittizi, o con dati veri ed effettivi di una persona qualsiasi, del tutto inconsapevole).

A questo punto, a meno che non ve ne accorgiate per puro caso, il dominio sarà trasferito, e sarà controllato dal malintenzionato.

E dico che ve ne potete accorgere solo per puro caso perché, di norma, non viene inviato al Registrar nessun avviso del tipo "guarda che stiamo trasferendo il tuo dominio"... e la cosa si scopre di solito quando ormai la frittata è fatta.

Inoltre, il tempo per accorgersene è anche molto limitato: al massimo tre giorni (ma possono anche esser di meno). E, anche se ve ne accorgete, non è detto che $Registrar1 sia disposto a collaborare per interrompere il trasferimento (in teoria, potrebbe farlo solo in seguito ad un ordine dell'autorità giudiziaria), né che sia abbastanza tempestivo da riuscirci...  

Possibili scenari:

• accettate le condizioni dettate dal malintenzionate, quali che siano 
• fate una procedura di opposizione al NIC, ed incrociate le dita (se va tutto bene, comunque ci vorranno alcuni mesi, alcune migliaia di euro di spesa, ed il risultato soprattutto non è scontato)
• vi scegliete un altro nome a dominio e su quello che avete perso ci mettete una bella pietra sopra (compreso il posizionamento dello stesso, i backlink, il fatto che tot centinaia di clienti e collaboratori lo conoscono ed usano email appoggiate a questo dominio ecc.)

Come fare per evitarlo?

La soluzione, in questo caso, è semplice: è sufficiente che siate consci dell'importanza dell'authinfo di un dominio .it, e che quindi lo conserviate con le dovute cautele, come se fosse una password preziosa (quale, di fatto, è).

Tra i "modi corretti e sicuri" per conservarlo cito ad esempio i due più semplici:

• stampatelo su carta, riponetelo in una busta sigillata, scrivete sulla busta "contiene authinfo del dominio xxxxxyyyyyzzzzzz.it" e la busta sigillata conservatela in cassaforte;
  
• conservatelo in una chiavetta USB con crittografia hardware e protetta da password (non spaventatevi: costano pochi euro in più rispetto ad una normale chiavetta USB!)

Adottando uno di questi semplici accorgimenti, ridurrete di molto le possibilità di furto del vostro dominio, e potrete dormire sonni relativamente più tranquilli. (E scrivo "relativamente" perché esistono anche altre vulnerabilità... ma di queste magari ne scriverò un'altra volta...)