Držitelé domén mohli dostat falešné e-maily o prodloužení platnosti

Kdo da trestni oznameni? Vzhledem k tomu, ze platebni udaje jsou do ceske banky tak by to pro bandu flakacu ACAB nemel byt takovy problem.

CZ.NIC podava trestni oznameni, nekteri registratori mozna take.

Rozšíří CZ.NIC certifikaci registrátorů také o kritérium, zda pro e-mailovou komunikaci s klienty používají elektronicky podepsané e-maily? Alespoň pro e-maily s fakturami a platebními údaji, s notifikacemi o změnách a s výzvami k potvrzení změny. A bylo by fajn, kdyby byl vyžadován český kvalifikovaný certifikát, ať ty e-maily mají nějakou právní váhu. Možná by nebylo od věci to uvádět i jako samostatnou položku v přehledu registrátorů, podobně, jako je uváděna podpora DNSSEC. Ono to s bezpečností domény také souvisí.
Je fajn, že alespoň e-maily od CZ.NIC podepsané jsou.

Pokud by bezpečnost privátní klíče podceňovala jediná firma, byly bychom superzabezpečený stát. Nicméně to, že existuje jeden uživatel, který (např.) používá slabé heslo neznamená, že mají mít slabé heslo všichni. To, že si někdo napíše PIN na platební kartu, není důvod k tomu přestat vyžadovat PIN úplně.
Nepsal jsem o vynucování podepsaných e-mailů, ale o zohlednění při certifikaci. V registraci se hodnotí např. to, zda jsou stránky registrátora dostupné přes HTTPS. Privátní klíč od HTTPS může být kompromitován úplně stejně, jako privátní klíč od podpisového certifikátu.

Nechapu souvislost. Pokud bych se pokusil o takovyto podvod tak bych asi skutecne byl nucen pocitat s tim, ze po me ACAB pujdou.

Proc by to nekdo delal? S cilem poskodit me? V takovem pripade bych nemel sebemensi problem a pocital s tim, ze banka vsechny platby vrati odesilatelum a ACAB pujdou dale jinou stopou.

To ale nebyl mail od FORPSI.

Ten e-mail byl elektronicky podepsaný? Posílat peníze na účet, který je uvedený v nepodepsaném e-mailu, který může kdokoli snadno podvrhnout, je docela riskantní, nemyslíte? Chápu to u objednávky z e-shopu, která přijde pár minut po objednání na webu a je tam zboží, které jsem opravdu objednával. To by musel být útočník docela machr, aby tohle všechno dokázal zjistit, poslat falešný e-mail a ten pravý stopit. Ale u domény, kde sou všechny potřebné údaje veřejné? Já se takhle dohadoval i s vydavatelstvím, zda by fakturu k předplatnému časopisu nemohli posílat podepsaným e-mailem (nemohli). A to by měl útočník mnohem těžší sehnat správné údaje. Zdá se, že útočník udělal jedinou chybu, že to neposlal jen k doménám, jejichž platnost v blízké době opravdu skončí.

Já nekritizuju, že někdo nezkoumal hlavičky e-mailů. Ostatně kterýkoli ze zákazníků Forpsi může pravděpodobně poslat e-mail, jehož hlavičky budou vypadat dost důvěryhodně.
Já kritizuju to, že když někdo dostal první nepodepsaný e-mail s fakturou, nezeptal se Forpsi, jestli je to fakt od nich a zda to opravdu myslí vážně - a pokud by obě odpovědi zněly "ano" (jako že to vypadá, že to Forpsi opravdu běžně dělá), měl doménu převést k jinému registrátorovi a zaplatit ji až u něj. Pokud je pro ně problém poslat podepsaný e-mail, nemají v něm fakturu vůbec posílat - mají poslat jen odkaz na web (HTTPS), kde si tu fakturu můžu stáhnout. Jak už jsem psal, já jsem odmítal platit předplatné časopisu na základě faktury z nepodepsaného e-mailu, a to by bylo mnohem těžší vyrobit fakturu s věrohodnými údaji. Údaje pro ty doménové faktury si každý může najít na internetu. Navíc jde o ISP, který navíc registruje domény, tak by snad mohl tušit, jak snadné je zfalšovat e-mail.
Já jsem žádnou poznámku typu "na to může skočit jenom blbec" nenapsal. Napsal jsem, že je to "docela riskantní". A když si přečtete i mé ostatní komentáře, zjistíte, že kritizuju především registrátory domén, kteří posílají nijak nezabezpečené faktury. Je to jejich obrovská chyba, ti koncoví uživatelé se akorát chytili do pasti, kterou na ně jejich registrátor připravil. Chyba těch koncových uživatelů je akorát v tom, že od takového registrátora dávno neutekli.
Proplatit každou fakturu, která se vám dostane do ruky, to není "počítat se základní slušností", to je těžko uvěřitelná naivita. To by vás fakt netrklo ani to, kdyby to přišlo z jiné domény a v úplně jiném formátu? Tady to bohužel nebyla "každá faktura", ale byla to úplně stejná faktura, na jakou klienta registrátor léta zvyká. Takže v tomto případě pochopím, že neznalí lidé netušili, že od takového registrátora mají prchat jak nejrychleji můžou.
Snad to povede alespoň k tomu, že se mezi lidmi rozšíří povědomí o tom, že se neplatí na základě údajů z nijak nezabezpečené faktury. Bylo by fajn, kdyby tomuhle lidé přikládali větší váhu, než paranoie z ukládání dat do cloudu nebo z NSA.
Mimochodem, zajímalo by mne, kolik je těch "postižených" registrátorů. Já jsem v diskusích zaznamenal akorát Forpsi.

Muzete mi prosim tento email preposlat na adresu ludek.michera@for­psi.com

Dekuji, s pozdravem
Ludek Michera