Как анонимно зарегистрировать домен: приватность WHOIS и что всё равно утекает

Что на самом деле убрало сокрытие данных в WHOIS

В 2018 году регистрационная запись для большинства доменов опустела. Пришёл GDPR, ICANN обязала регистраторов прекратить публиковать в открытом WHOIS имена, адреса, телефоны и email регистрантов, и запрос, который раньше возвращал человека, стал возвращать REDACTED FOR PRIVACY и форму обратной связи. Выглядит как приватность. На деле это настройка отображения.

Под этим слоем ничего не изменилось. Ваш регистратор по-прежнему хранит полную запись, обязан хранить её в силу своей аккредитации и по-прежнему выдаёт её любому, у кого есть законные основания её запросить, — по судебному ордеру, по запросу правоохранительных органов, а на практике зачастую куда более дешёвым способом. Жалоба по UDRP стоит несколько тысяч долларов, не требует участия судьи и запускает у регистратора этап проверки, который раскрывает настоящего регистранта заявителю ещё до того, как дело вообще будет решено. Это тот путь деанонимизации, который почти никто не учитывает в своей модели угроз, а именно к нему в первую очередь прибегает владелец товарного знака.

Сокрытие пережили ещё две вещи. Первая — история: коммерческие архивы снимали слепки WHOIS два десятилетия, и эти снимки не устаревают, так что имя, зарегистрированное до 2018 года с настоящими данными, навсегда раскрыто, что бы ни показывала запись сегодня. Вторая — остальная часть вашей собственной конфигурации: выбранные вами серверы имён, адрес, зарытый в вашем SOA, почтовый ящик для отчётов DMARC, каждый сертификат, который вы когда-либо запрашивали. Сокрытие обнулило одно поле и оставило публиковаться ещё четыре, и именно на них это руководство тратит большую часть времени.

Выбирайте расширение раньше регистратора

Политика регистратора вторична по отношению к политике реестра, а политика реестра, в свою очередь, вторична по отношению к тому, в какой юрисдикции зарегистрирована компания-оператор реестра. Регистратор может обещать что угодно насчёт приватности, но не может обещать больше, чем позволяет его реестр, а они оба ничего не могут обещать насчёт суда в собственной юрисдикции реестра. Поэтому порядок важен, и большинство делает его в обратном порядке: сначала нужно выбрать расширение, а уже потом — того, кто вам его продаст.

Расширения различают три свойства. Где базируется оператор реестра — от этого зависит, чьи суды способны распорядиться о приостановке имени на уровне корня: для крупных легаси-gTLD это Соединённые Штаты, и поэтому .com, которым владеет человек, вообще не имеющий отношения к США, всё равно может быть изъят по решению американского суда, а ваша собственная юрисдикция значит куда меньше, чем хотелось бы. Что реестр публикует по умолчанию сильно различается: некоторые реестры ccTLD скрывают больше данных, чем gTLD, другие выводят имя регистранта любому, кто спросит, а некоторые требуют подтверждённого местного присутствия, которое можно закрыть только настоящей личностью. Разрешены ли вообще сервисы приватности — это правило реестра, а не функция регистратора: горстка расширений напрямую запрещает прокси-регистрацию, и регистратор, продающий вам приватность на одном из них, впоследствии её просто снимет.

Всё это слишком нестабильно, чтобы просто запомнить, и любой найденный в интернете список "TLD, дружественных к приватности" к моменту, когда вы его читаете, отчасти уже устарел. Проверяйте сами: шаг второй прогоняет поиски, которые отвечают на все три вопроса для любого расширения, которое вы рассматриваете, — на домене, который вам не принадлежит. Сделайте это до оплаты, потому что неудачное расширение нельзя исправить сменой регистратора. Его можно исправить только одним способом — начать заново с другим именем.

Три модели регистраторов и что переживает каждая из них

Если убрать маркетинг, на выбор есть три схемы. В прокси-модели регистрантом являетесь вы, а регистратор публикует в WHOIS свои собственные контактные данные вместо ваших. Ваши данные уже лежат в базе регистратора, сокрытие — лишь косметика поверх полной записи, а собственные условия прокси-провайдера почти всегда оставляют за ним право раскрыть вас по "разумному" запросу третьей стороны. От скрейперов и торговцев данными это защищает полностью. От всего, что приходит с юристом, — не защищает вообще.

В модели номинального владельца — схеме, которую сделала популярной Njalla, — провайдер регистрирует имя на себя и по договору предоставляет вам право им пользоваться, так что ваша личность вообще никогда не становится регистрантом. Раскрывать в реестре нечего, потому что там просто ничего нет. Компромисс здесь реальный, и его стоит проговорить прямо: домен вам юридически не принадлежит. Вы полагаетесь на платёжеспособность одной-единственной компании, на её готовность сопротивляться запросам и на то, что бизнес ей и дальше будет интересен. Если она закроется, будет куплена или решит, что вы приносите больше хлопот, чем пользы, ваше единственное средство — судебный спор о договоре по поводу актива, зарегистрированного на кого-то другого.

Третья схема — это ваша собственная чистая личность регистранта: настоящая регистрация на хендл без истории, на почтовый ящик, который не существует ни для чего другого, оплаченная криптовалютой, у регистратора в юрисдикции, не связанной ни с вашим хостингом, ни с вами. Она масштабируется дальше одного домена, не зависит от доброй воли какой-то одной компании, и именно её строит остальная часть этого руководства. Она же тяжелее всего проваливается при небрежности, потому что всё держится на том, что эту личность нигде и никогда не свяжут с вами, — тот сценарий отказа, который по слоям разбирает руководство про владение. Кстати, эти две модели хорошо сочетаются: регистрация по модели номинального владельца, купленная с чистой личности, сильнее, чем любая из них сама по себе.

Форма регистрации: что можно обойти, а что приостановит домен

Форма запрашивает имя, почтовый адрес, номер телефона и email. Три из них — это контрактные данные, которые регистратор обязан хранить, но почти никогда не проверяет. Одно из них — несущее. Важен именно email: по соглашению об аккредитации регистратор обязан после регистрации подтвердить адрес регистранта, и если никто не кликнет по ссылке, домен приостанавливают — обычно в течение пятнадцати дней. Одноразовый ящик, который перестал существовать, утаскивает домен за собой.

Поэтому адрес должен быть алиасом, который вы по-настоящему контролируете и который всё ещё будете читать через три года, — у провайдера, который не требует номер телефона для открытия ящика и не закроет его за неактивность. Всё остальное в этой форме — проблема согласованности, а не проблема правды: выберите правдоподобный набор данных, храните его в зашифрованном виде и используйте ровно те же данные у регистратора, в профиле аккаунта и в любом тикете поддержки, который вы когда-либо откроете. Именно несогласованность отправляет аккаунт на ручную проверку, а ручная проверка — это тот момент, когда человек начинает спрашивать документы.

Затем платите через канал, который не заносит в запись ваше юридическое имя. Карта сводит на нет весь смысл затеи, что бы ни показывал WHOIS, потому что запись у процессинга переживёт саму регистрацию и её тривиально запросят повесткой; руководство по анонимной оплате ранжирует варианты по тому, что именно каждый из них выдаёт. Если регистратор принимает Monero напрямую — это чистый путь. Если он принимает только Bitcoin, считайте платёж навсегда отслеживаемым и финансируйте его соответственно. Если он не принимает ни то, ни другое, регистратор только что сообщил вам кое-что полезное о клиентах, которых он хочет видеть.

DNS — это вторая регистрация

В момент публикации зоны вы заново публикуете самого себя — в полях, которые никто не считает идентификационными. SOA-запись несёт email-адрес, закодированный так, что первая точка в нём стоит на месте @, а в написанных вручную зонных файлах там нередко лежит настоящий адрес. Названия серверов имён — это отпечаток: направьте два домена на одни и те же кастомные серверы имён, и вы навсегда их связали — в базе, которую индексируют и хранят поисковики по обратным NS-записям. А когда эти серверы имён находятся внутри самого домена, реестр публикует glue-записи — их IP-адреса, в корневой зоне, вне досягаемости любого CDN, который вы поставите перед сайтом. Люди неделями прячут origin, а потом сами выдают его адрес в glue-записи.

DNSSEC заслуживает отдельного предупреждения, потому что продаётся как функция безопасности, а ведёт себя как функция раскрытия данных. Подписание зоны через NSEC публикует связный список всех имён в ней, который любой желающий обходит за секунды. NSEC3 вместо этого хеширует имена, что звучит лучше, но лишь поднимает цену: хеши взламываются офлайн, и существуют инструменты, которые не делают вообще ничего другого. Подписывайте зону, если вам нужны аутентифицированные ответы, но заходите в это с пониманием, что список поддоменов вы этим не скрываете. Вы и не скрывали его никогда.

То, где обслуживается зона, — решение, отдельное от того, кто зарегистрировал имя, и развести их по двум компаниям в двух странах стоит больше, чем любой из этих выборов сам по себе. Собственные серверы имён покупают вам контроль и небольшой, но характерный отпечаток; серверы имён крупного провайдера покупают анонимность в толпе и компанию, которая логирует каждый запрос и ответит на запрос о нём. Бесплатного варианта здесь нет — есть только выбор, какая именно запись вам больше по душе. Если сайт за этой зоной стоит за edge, остальную часть этой цепочки разбирает руководство про IP origin.

Утечки, которые появляются после регистрации

Прозрачность сертификатов — это самое главное. Каждый публично доверенный сертификат записывается в публичный, дописываемый только в конец, вечно доступный для поиска журнал, так что обнаружимо любое имя, которое вы хоть раз просили подписать у CA, — включая хосты staging., vpn. и old-, про которые вы думали, что о них никто не знает, и включая внутреннее имя, которое вы один раз случайно выпустили и удалили в тот же день. Запись из журнала отозвать нельзя. Единственный доступный контроль — выше по цепочке: запрашивайте wildcard-сертификат через валидацию DNS-01, чтобы отдельные хостнеймы вообще никогда не попадали в журнал, а по-настоящему приватные имена держите на внутреннем CA, который вообще ничего не логирует.

Почта публикует ещё два. SPF-запись называет relay, через который вы отправляете почту. DMARC-запись обычно называет конкретного человека, потому что rua= — это куда уходят отчёты, и люди указывают там свой настоящий почтовый ящик. А MX, указывающий на ту же машину, что обслуживает сайт, выдаёт адрес origin любому, кто сделает один-единственный запрос, — почта является самым распространённым способом, которым origin вылезает из-за edge.

Последняя категория — это корреляция, и именно она разрушает в остальном аккуратную работу. Один и тот же набор серверов имён на двух персонах связывает их между собой. То же самое делает один сертификат, покрывающий оба имени, один и тот же идентификатор аналитики, один и тот же favicon — сканеры по всему интернету индексируют хеши favicon именно потому, что они настолько хорошо снимают отпечаток, — один и тот же необычный заголовок ответа, один и тот же регистратор в один и тот же час одной и той же ночи. Каждая из этих улик по отдельности слаба. Три вместе — уже нет. Шаги четвёртый и шестой прогоняют те же поиски, что запустил бы противник, против вашего собственного домена, — это единственный честный способ узнать, что вы на самом деле опубликовали.

Продление, передача и сбой на третьем году

Анонимные домены редко умирают от судебной повестки. Они умирают от истёкшей регистрации. Алиас-ящик перестали читать, уведомление о продлении не дошло, баланс обнулился, и имя, на построение которого ушёл год, упало в пул, где его поджидал дроп-кэтчер. Включите автопродление, держите на счету у регистратора запас на несколько лет вперёд и внесите дату истечения в тот алертинг, на который вы действительно смотрите, — шаг седьмой берёт её напрямую из реестра, так что напоминание не зависит от почтового ящика, который с наибольшей вероятностью подведёт.

Вторая половина — это блокировки, и они бесплатны. clientTransferProhibited, clientUpdateProhibited и clientDeleteProhibited ставятся одним кликом каждая и закрывают целый класс атак, которые начинаются с того, что кто-то получает доступ к вашему аккаунту у регистратора. Некоторые реестры также предлагают registry lock, который требует подтверждения по отдельному каналу перед любым изменением и стоит своих денег на имени, которое вы не можете себе позволить потерять. Храните код авторизации на передачу в зашифрованном виде и офлайн, и учтите, что смена контакта регистранта запускает шестидесятидневный запрет на передачу — так что занимайтесь этой рутиной, когда никуда не спешите, и никогда — в разгар инцидента.

Затем спланируйте версию событий, в которой вас нет рядом. У домена, оформленного на анонимную личность, нет ни наследования, ни лестницы поддержки, ни доказательства владения, кроме самих учётных данных, и именно поэтому зашифрованная копия данных аккаунта, кодов восстановления и кода авторизации — хранящаяся там, где её в конце концов сможет достать человек, которому вы доверяете, — единственное, что стоит между долгоживущим проектом и мёртвым именем. Та же логика применима и к машине за этим именем: резервная копия вне хоста, которую некому восстановить, — это не резервная копия.

Реалистичная модель угроз

Будьте точны в том, от чего это защищает. Против скрейперов, торговцев данными, конкурентов, open-source-исследователей и оппортуниста, который переходит от одного вашего имени ко всем остальным, чистая личность регистранта с зоной без утечек работает, и работает полностью — в публичной записи просто не от чего оттолкнуться. Против истца по гражданскому иску это поднимает стоимость атаки с бесплатного запроса до судебного процесса, а это реальная и часто решающая разница. Против UDRP, поданного владельцем товарного знака, прокси-модель даёт вам очень мало, а модель номинального владельца даёт вам компанию, которой предстоит решить, насколько сильно она готова бороться за вас.

Против государства, обладающего юрисдикцией над вашим реестром, это не побеждает, и никакая комбинация регистраторов не побеждает: имя можно приостановить на уровне корня независимо от того, кто им владеет. Это аргумент в пользу того, чтобы осознанно выбирать расширение и владеть своим контентом достаточно хорошо, чтобы суметь его перенести, а не в пользу более хитрого регистратора. А против ваших собственных ошибок это не даёт вообще ничего. Один вход в аккаунт из личного профиля браузера, один тикет в поддержку, написанный вашим обычным стилем с вашего обычного адреса, один сертификат, покрывающий обе персоны, — и запись, которую вы держали чистой на протяжении всего этого руководства, снова сшивается воедино за один вечер.

Стройте защиту под того противника, который у вас реально есть. Для большинства людей честный ответ — это брокеры и оппортунисты, и закрытия записей из шагов пятого и шестого достаточно. Если ваш уровень риска выше, помните, что домен — лишь один слой из нескольких: сочетайте его с хостингом, который никогда не спрашивал, кто вы, с машиной, защищённой с первого дня, и с оплатой, не несущей имени. Приватность — это цепь, и каждое руководство здесь описывает своё звено одной и той же цепи.

Шаг за шагом

1. 01

   Проверьте, что имя уже публикует

   Начните с домена, который у вас уже есть, либо с того, который вы собираетесь купить у кого-то ещё. RDAP — это машиночитаемый сервис регистрации, заменивший WHOIS по порту 43 для gTLD, он говорит на JSON поверх HTTPS, и rdap.org выведет вас на нужный реестр. Многие ccTLD по-прежнему отвечают только на 43-м порту, и некоторые из них публикуют даже больше, чем gTLD.

   # gTLDs: RDAP is the authoritative registration record
   curl -s https://rdap.org/domain/example.com | jq '{
     status,
     ns:     [.nameservers[]?.ldhName],
     events: [.events[] | {(.eventAction): .eventDate}],
     roles:  [.entities[]?.roles[]?]
   }'
   
   # the fields that are supposed to be blank -- read them, do not assume
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.. | objects | select(has("vcardArray")) | .vcardArray[1][]
              | select(.[0]=="fn" or .[0]=="email" or .[0]=="adr")
              | "\(.[0]): \(.[3])"'
   
   # ccTLDs: many are port-43 only, and less redacted than you expect
   whois example.de | grep -viE '^%|^$'

   Если в ответ приходит настоящее имя, настоящий адрес или личный email — остановитесь: передача домена этого не сотрёт, потому что в архивах это уже есть. Это имя сожжено для целей приватности, и честный ход — зарегистрировать новое и настроить редирект.

2. 02

   Проверьте расширение до того, как на нём остановитесь

   Сравнивайте кандидатов на расширение эмпирически, а не по посту в блоге. В каждом из них пробейте домен, который вам не принадлежит, и посмотрите, что реально возвращает реестр, а затем проверьте, кто и где управляет этим реестром. Форма вывода различается от реестра к реестру, и именно поэтому это стоит проверить самому, а не предполагать.

   # what does each registry publish about a registrant?
   for d in example.com example.de example.is example.nl; do
     printf '\n== %s\n' "$d"
     curl -s "https://rdap.org/domain/$d" \
       | jq -r '.entities[]? | "\(.roles|join(",")): \(
           [.vcardArray[1][]? | select(.[0]=="fn")][0][3] // "redacted")"' \
       2>/dev/null || whois "$d" | grep -iE '^(registrant|owner|admin-c)'
   done
   
   # who runs the registry, and under whose law does that company sit?
   curl -s https://www.iana.org/domains/root/db/is.html \
     | sed -n 's/.*Organisation:*//p;/Registry Information/,+6p' | head -20

   Решают три ответа. Публикует ли реестр имя регистранта по умолчанию? Требует ли он подтверждённого местного присутствия? И чьи суды дотягиваются до оператора реестра? Всё, что требует местного присутствия, отпадает, если только вы не можете закрыть это требование честно, а всё, чей оператор сидит в юрисдикции, которую вы специально обходите стороной, отпадает независимо от того, насколько хорош сам регистратор.

3. 03

   Соберите личность до того, как открывать аккаунт

   Сгенерируйте личность за один присест и не записывайте ничего открытым текстом. У хендла не должно быть истории — не никнейм, которым вы пользовались где-то ещё, не слово, что-то для вас значащее. Почтовый ящик должен быть алиасом у провайдера, который не требует номер телефона, и он должен пережить три года забвения, потому что именно туда приходит письмо для верификации от регистратора и каждое уведомление о продлении.

   # a handle with no history and no meaning
   head -c 10 /dev/urandom | base32 | tr -d '=' | tr 'A-Z' 'a-z'
   
   # a key for the secrets this account is about to hand you
   age-keygen -o registrar.key            # public key is printed on stderr
   
   # store profile details, recovery codes and (later) the auth code
   age -r age1... -o registrar.age registrar.txt && shred -u registrar.txt
   
   # read it back only when you need it
   age -d -i registrar.key registrar.age

   Используйте профиль браузера, который никогда не касался личного аккаунта, и каждый раз выходите на регистратора по одному и тому же сетевому пути — чередование домашнего соединения и VPN от сессии к сессии выделяется сильнее, чем последовательное использование одного из них. Зафиксируйте точные данные профиля, которые вы указали, — их придётся дословно повторить в тикете поддержки через два года.

4. 04

   Зарегистрируйтесь, а потом посмотрите на себя глазами постороннего

   Зарегистрируйте имя, кликните по ссылке верификации в тот же день, а затем, прежде чем проверять запись, подождите, пока она разойдётся до реестра, — интересный результат появляется через несколько часов, а не сразу. Вы ищете любое поле, которое не было скрыто, и статус-коды, которые говорят, что верификация действительно прошла.

   # the public record, 24h in
   curl -s https://rdap.org/domain/example.com | jq '{status, events}'
   # expect: "active" -- NOT "pendingVerification" or "clientHold"
   
   # anything at all that survived redaction
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.. | objects | .vcardArray? // empty | .[1][]
              | select(.[0]=="fn" or .[0]=="email" or .[0]=="adr" or .[0]=="tel")
              | "\(.[0]): \(.[3])"'
   
   # and the archive view: does this name have a past you did not buy?
   curl -s 'https://crt.sh/?q=example.com&output=json' \
     | jq -r '.[] | "\(.not_before)  \(.name_value)"' | sort -u | head -20

   Статус clientHold или pendingVerification неделю спустя означает, что письмо с верификацией так и не пришло или по нему так и не кликнули, и домен на обратном отсчёте до приостановки. Почините это раньше всего остального — это самый частый способ, которым правильно зарегистрированный анонимный домен теряется в первый же месяц.

5. 05

   Опубликуйте зону, которая вас не называет

   Теперь — часть, которая утекает больше всего, а проверяется меньше всего. Прочтите собственную зону так, как её прочтёт посторонний: адрес в SOA, названия серверов имён, glue, который реестр публикует от вашего имени, и может ли кто угодно просто скачать всё целиком.

   # SOA -- the second field is an email, first dot standing in for @
   dig +short SOA example.com
   # ns1.example.com. hostmaster.example.com. 2026090601 7200 3600 1209600 3600
   #                  ^-- must not be a personal address
   
   # glue: if your nameservers live inside the domain, the ROOT holds their IPs
   dig +norec +short NS example.com @a.gtld-servers.net
   dig +norec +short ns1.example.com A @a.gtld-servers.net
   
   # can anyone download the entire zone?
   dig AXFR example.com @ns1.example.com | head
   # want: "Transfer failed" -- anything else is your full host inventory
   
   # pin issuance to one CA, and give abuse somewhere impersonal to land
   dig +short CAA example.com
   # 0 issue "letsencrypt.org"
   # 0 iodef "mailto:abuse@example.com"

   Исправляйте в таком порядке: замените адрес в SOA на ролевой почтовый ящик на самом домене, вынесите серверы имён за пределы домена (а лучше вообще с вашей собственной машины), чтобы glue-записи вообще не требовались, запретите AXFR для всех, кроме ваших вторичных серверов, и добавьте запись CAA. Если подписываете зону DNSSEC, используйте NSEC3 и смиритесь с тем, что список поддоменов всё равно перечислим для любого, кто готов потратить на это час.

6. 06

   Закройте утечки через сертификаты и почту

   О вашей инфраструктуре больше, чем ваш собственный DNS, знают два публичных набора данных. Прозрачность сертификатов знает каждый хостнейм, который вы когда-либо просили подписать; ваши собственные почтовые записи называют ваш relay, ваш ящик для отчётов и нередко ваш origin. Прогоните оба набора против самого себя.

   # every name you have ever asked a CA to sign, including deleted ones
   curl -s 'https://crt.sh/?q=%25.example.com&output=json' \
     | jq -r '.[].name_value' | tr ' ' '\n' | sort -u
   
   # the mail records, read for identity rather than deliverability
   dig +short TXT example.com          # SPF include: names your relay
   dig +short TXT _dmarc.example.com   # rua=mailto: usually names a human
   dig +short MX  example.com          # an MX on the origin IS the origin
   
   # does the site answer on its own address, ignoring the edge?
   curl -sI --resolve example.com:443:203.0.113.10 https://example.com/ | head -1

   Переведите будущий выпуск сертификатов на wildcard, валидируемый через DNS-01, чтобы хостнеймы перестали попадать в журналы, направьте rua= на адрес на самом домене, а не на личный ящик, и уберите почту с origin — на relay или отдельную машину, но никогда на бокс, где крутится сайт. Имена, уже попавшие в журналы, отозвать нельзя: либо выводите их из использования, либо смиритесь, что они публичны навсегда.

7. 07

   Заблокируйте, мониторьте и спланируйте на случай своего отсутствия

   И последнее: сделайте регистрацию такой, чтобы её было трудно увести и трудно забыть. Три клиентские блокировки бесплатны и останавливают целый класс атак, начинающихся внутри вашего аккаунта у регистратора. Дате истечения место в вашем алертинге, а не в почтовом ящике, который вы, возможно, перестанете читать.

   # what the registry says about locks and dates
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.status[], (.events[] | "\(.eventAction) \(.eventDate)")'
   # want: clientTransferProhibited, clientUpdateProhibited, clientDeleteProhibited
   
   # days until expiry, straight from the registry -- no email involved
   exp=$(curl -s https://rdap.org/domain/example.com \
         | jq -r '.events[] | select(.eventAction=="expiration") | .eventDate')
   echo $(( ( $(date -d "$exp" +%s) - $(date +%s) ) / 86400 )) days left
   
   # keep the escape hatch encrypted and off the machine it protects
   age -r age1... -o auth-code.age auth-code.txt && shred -u auth-code.txt

   Запускайте эту проверку истечения из cron и алертите за девяносто дней. Храните зашифрованный набор — данные аккаунта, коды восстановления, код авторизации на передачу — там, куда в конце концов дотянется человек, которому вы доверяете, потому что у анонимного домена нет ни наследования, ни лестницы поддержки. Затем раз в год перепроходите шаги с четвёртого по шестой: зоны дрейфуют, сертификаты выпускают люди, которые забывают их отозвать, а утечка, которую вы закрыли в январе, к осени обычно возвращается.