Bir domain'i anonim tescil etmek: WHOIS gizliliği ve hâlâ sızanlar

Redaksiyonun gerçekte kaldırdığı şey

2018'de çoğu domain'in tescil kaydı boşaldı. GDPR yürürlüğe girdi, ICANN registrar'lara kayıt sahibi adlarını, adreslerini, telefon numaralarını ve e-postalarını herkese açık WHOIS çıktısında yayınlamayı bırakmalarını söyledi ve eskiden bir kişiyi döndüren bir sorgulama artık REDACTED FOR PRIVACY ile bir iletişim formu döndürmeye başladı. Gizlilik gibi okunuyor. Aslında bir görüntüleme ayarı.

Altında hiçbir şey yerinden oynamadı. Registrar'ınız kaydın tamamını hâlâ tutuyor, akreditasyonu gereği hâlâ tutmak zorunda ve sormaya hakkı olan herkese hâlâ teslim ediyor — bir mahkeme kararı, bir kolluk kuvveti talebi ve pratikte çok daha ucuz bir şey. Bir UDRP şikayeti birkaç bin dolara mal olur, hiçbir yargıç gerektirmez ve dava karara bağlanmadan önce bile altındaki kayıt sahibini şikayetçiye ifşa eden bir registrar doğrulama adımını tetikler. Neredeyse hiç kimsenin hesaba katmadığı maskeyi düşürme yolu budur ve bir marka sahibinin ilk başvurduğu yol da budur.

Redaksiyondan sağ çıkan iki şey daha var. Birincisi geçmiş: ticari arşivler WHOIS'i yirmi yıl boyunca anlık görüntüledi ve bu anlık görüntülerin süresi dolmuyor, dolayısıyla 2018 öncesinde gerçek bilgilerle tescil edilmiş bir isim, kayıt bugün ne derse desin kalıcı olarak açıkta. İkincisi kendi yapılandırmanızın geri kalanı — seçtiğiniz nameserver'lar, SOA kaydınızın içine gömülü adres, DMARC raporlama posta kutusu, talep ettiğiniz her sertifika. Redaksiyon bir alanı boşalttı ve diğer dördünü yayınlamaya devam etti; bu rehberin çoğu zamanını geçirdiği yer de bu dördü.

Registrar'ı seçmeden önce uzantıyı seçin

Registrar politikası registry politikasına bağlıdır, registry politikası da registry şirketinin nerede kurulu olduğuna bağlıdır. Bir registrar gizlilik hakkında istediğini vaat edebilir; kendi registry'sinin izin verdiğinden fazlasını vaat edemez ve ikisi de registry'nin kendi yargı alanındaki bir mahkeme hakkında hiçbir şey vaat edemez. Dolayısıyla sıra önemlidir ve çoğu insan bunu tersten yapar: önce uzantıyı seçin, sonra onu size kimin sattığını seçin.

Uzantıları birbirinden ayıran üç özellik vardır. Registry operatörünün nerede oturduğu, bir ismin kökte askıya alınmasını hangi mahkemelerin emredebileceğine karar verir — büyük eski gTLD'ler için bu Amerika Birleşik Devletleri'dir, bu yüzden ABD'de hiçbir varlığı olmayan birinin elindeki bir .com yine de bir ABD kararıyla el konulabilir ve bu yüzden kendi yargı alanınız umduğunuzdan çok daha az önemlidir. Registry'nin varsayılan olarak ne yayınladığı muazzam ölçüde değişir: bazı ccTLD registry'leri gTLD'lerden daha fazla redakte eder, bazıları sorana kayıt sahibinin adını basar ve birkaçı ancak gerçek bir kimlikle karşılayabileceğiniz doğrulanmış bir yerel varlık talep eder. Gizlilik hizmetlerine hiç izin verilip verilmediği bir registrar özelliği değil bir registry kuralıdır — bir avuç uzantı proxy tescilini toptan yasaklar ve size onlardan birinde gizlilik satan bir registrar bunu daha sonra basitçe söküp alır.

Bunların hiçbiri ezberlenecek kadar sabit değildir ve internette bulacağınız herhangi bir "gizlilik dostu TLD" listesi siz onu okuduğunuzda kısmen yanlış olacaktır. Bunun yerine kendiniz kontrol edin: ikinci adım, düşündüğünüz herhangi bir uzantı için bu üç soruyu da yanıtlayan aramaları, sahibi olmadığınız bir domain kullanarak çalıştırır. Ödeme yapmadan önce bunları çalıştırın, çünkü kötü bir uzantı registrar değiştirerek düzeltilemez. Yalnızca başka bir isimle yeniden başlayarak düzeltilebilir.

Üç registrar modeli ve her birinin neyi atlattığı

Pazarlamayı bir kenara koyarsanız ortada üç düzenleme kalır. Proxy modelinde kayıt sahibi sizsinizdir ve registrar sizinkinin yerine kendi iletişim bilgilerini yayınlar. Verileriniz zaten registrar'ın veritabanındadır, redaksiyon eksiksiz bir kaydın üzerine kozmetik olarak eklenmiştir ve proxy sağlayıcısının kendi şartları neredeyse her zaman "makul" bir üçüncü taraf talebinde sizi ifşa etme hakkını saklı tutar. Scraper'ları ve veri komisyoncularını tamamen alt eder. Yanında bir avukatla gelen hiçbir şeyi alt etmez.

Owner-of-record modelinde — Njalla'nın popülerleştirdiği düzenleme — sağlayıcı ismi kendi adına tescil eder ve size onu kullanmak için sözleşmeye dayalı bir hak tanır, böylece kimliğiniz hiçbir zaman kayıt sahibi haline gelmez. Registry'de ifşa edilecek hiçbir şey yoktur çünkü orada hiçbir şey yoktur. Bedeli gerçektir ve açıkça söylenmeye değer: domain'in yasal sahibi siz değilsinizdir. Tek bir şirketin ödeme gücüne, bir talebe direnme iştahına ve işe olan sürüp giden ilgisine güveniyorsunuzdur. Şirket batarsa, satın alınırsa ya da sizi değeceğinden fazla bela olarak görürse, çareniz başkasının adına tescilli bir varlık üzerinde bir sözleşme anlaşmazlığıdır.

Üçüncü düzenleme size ait temiz bir kayıt sahibi kimliğidir: geçmişi olmayan bir kullanıcı adıyla, başka hiçbir şey için var olmayan bir gelen kutusunda, kripto ile ödenmiş, host'unuzla ve sizinle hiçbir ilgisi olmayan bir yargı alanındaki bir registrar'da yapılan gerçek bir tescil. Tek bir domain'in ötesine ölçeklenir, tek bir şirketin iyi niyetine bağlı değildir ve bu rehberin geri kalanının inşa ettiği şey de budur. Dikkatsiz olursanız da en sert şekilde başarısız olur, çünkü her şey o kimliğin başka bir yerde sizinle asla ilişkilendirilmemesine dayanır — sahiplik rehberinin katman katman ele aldığı başarısızlık biçimi de budur. İki model iyi birleşir, bu arada: temiz bir kimlikten satın alınmış bir owner-of-record tescili, ikisinden de tek başına daha güçlüdür.

Kayıt formu: neyi reddedebilirsiniz, ne sizi askıya aldırır

Form bir ad, bir posta adresi, bir telefon numarası ve bir e-posta ister. Bunlardan üçü, registrar'ın tutmak zorunda olduğu ve neredeyse hiç doğrulamayacağı sözleşme verisidir. Biri ise taşıyıcı niteliktedir. Önemli olan e-postadır: registrar akreditasyon sözleşmesi gereği kayıt sahibi adresi tescilden sonra doğrulanmak zorundadır ve kimse bağlantıya tıklamazsa domain askıya alınır — genellikle on beş gün içinde. Var olmaktan çıkan tek kullanımlık bir gelen kutusu, domain'i de beraberinde götürür.

Dolayısıyla adres, gerçekten kontrol ettiğiniz ve üç yıl sonra da okuyor olacağınız, hesap açmak için telefon numarası talep etmeyen ve hareketsizlik yüzünden hesabı kapatmayacak bir sağlayıcıdaki bir alias olmalıdır. O formdaki her şey bir doğruluk sorunu değil bir tutarlılık sorunudur: makul bir bilgi seti seçin, bunları şifreli saklayın ve registrar'da, hesap profilinde ve açtığınız her destek talebinde tam olarak aynılarını kullanın. Bir hesabı manuel incelemeye yönlendiren şey tutarsızlıktır ve manuel inceleme, bir insanın belge istemeye başladığı yerdir.

Sonra kayda hiçbir yasal ad taşımayan bir ödeme yolundan ödeyin. WHOIS ne derse desin bir kart tüm bu çabayı boşa çıkarır, çünkü işlemcinin kaydı tescilden daha uzun yaşar ve kolayca celp edilebilir; anonim ödeme rehberi seçenekleri her birinin sızdırdığına göre sıralar. Registrar doğrudan Monero kabul ediyorsa, temiz yol budur. Yalnızca Bitcoin kabul ediyorsa, ödemeyi kalıcı olarak izlenebilir sayın ve buna göre fonlayın. İkisini de kabul etmiyorsa, registrar size istediği müşteriler hakkında faydalı bir şey söylemiş demektir.

DNS ikinci bir tescildir

Bir zone yayınladığınız anda, kimsenin kimlik olarak düşünmediği alanlarda kendinizi de yeniden yayınlarsınız. SOA kaydı, ilk noktası @ yerine geçen şekilde kodlanmış bir e-posta adresi taşır ve elle yazılmış zone dosyaları rutin olarak gerçek bir tane taşır. Nameserver adları bir parmak izidir: iki domain'i aynı özel nameserver'lara yönlendirdiğinizde, onları ters-nameserver arama motorlarının indeksleyip sakladığı bir veri kümesinde kalıcı olarak birbirine bağlamış olursunuz. Ve bu nameserver'lar domain'in kendi içinde yaşadığında, registry glue kayıtlarını — sitenin önüne koyduğunuz herhangi bir CDN'in erişemeyeceği kök zone'daki IP adreslerini — yayınlar. İnsanlar bir orijini gizlemek için bir hafta harcar, sonra adresini bir glue kaydında dağıtır.

DNSSEC özel bir uyarıyı hak ediyor, çünkü bir güvenlik özelliği olarak satılıyor ama bir ifşa özelliği gibi davranıyor. Bir zone'u NSEC ile imzalamak, içindeki her ismin bağlı bir listesini yayınlar; bu liste herkes tarafından saniyeler içinde dolaşılabilir. NSEC3 bunun yerine isimleri hash'ler, ki bu daha iyi görünür ve yalnızca fiyatı yükseltir: hash'ler çevrimdışı kırılabilir ve başka hiçbir şey yapmayan araçlar vardır. Doğrulanmış yanıtlar istiyorsanız zone'u imzalayın, ama alt domain listenizi gizlemediğinizi bilerek girin. Zaten hiç gizlemiyordunuz.

Zone'un nerede sunulduğu, ismi kimin tescil ettiğinden ayrı bir karardır ve bunları iki ülkede iki şirkete bölmek, iki seçimden herhangi birini tek başına yapmaktan daha değerlidir. Kendi nameserver'larınızı çalıştırmak size kontrol ve küçük, belirgin bir parmak izi kazandırır; büyük bir sağlayıcınınkini kullanmak ise bir kalabalığın içinde anonimlik ve her sorguyu günlükleyip hakkındaki bir talebi yanıtlayacak bir şirket kazandırır. Burada bedava bir seçenek yoktur, yalnızca hangi kaydın var olmasını tercih ettiğinize dair bir seçim vardır. Zone'un arkasındaki site bir edge'in arkasında duruyorsa, orijin-IP rehberi o zincirin geri kalanını ele alır.

Tescilden sonra ortaya çıkan sızıntılar

Sertifika şeffaflığı en büyüğüdür. Herkese açık güvenilir her sertifika, herkese açık, yalnızca ekleme yapılabilen, kalıcı olarak aranabilir bir günlüğe yazılır, dolayısıyla bir CA'ya imzalatmış olduğunuz her isim keşfedilebilir — kimsenin bilmediğini varsaydığınız staging., vpn. ve old- host'ları dahil, ve bir keresinde kazara yayınlayıp aynı öğleden sonra sildiğiniz iç isim dahil. Bir günlük girdisini geri çekemezsiniz. Tek kontrol noktası daha yukarıdadır: münferit hostname'lerin bir günlüğe hiç girmemesi için DNS-01 doğrulaması üzerinden bir wildcard talep edin ve gerçekten özel isimleri hiçbir şey günlüklemeyen bir dahili CA'da tutun.

E-posta iki tane daha yayınlar. Bir SPF kaydı, üzerinden gönderim yaptığınız relay'i adlandırır. Bir DMARC kaydı genellikle bir insanı adlandırır, çünkü raporların gittiği yer rua='dır ve insanlar oraya gerçek posta kutularını koyar. Ve sitenin kendisine de hizmet veren makineyi gösteren bir MX, tek bir sorgu çalıştıran herkese orijin adresini teslim eder — e-posta, bir orijinin bir edge'in arkasından kaçmasının tek en yaygın yoludur.

Son kategori korelasyondur ve aksi takdirde özenli olan işi bozan da budur. İki persona genelinde aynı nameserver kümesi onları birbirine bağlar. Bunları aynı sertifikanın her iki ismi birden kapsaması da bağlar, aynı analitik tanımlayıcı da, aynı favicon da — internet genelindeki tarayıcılar favicon hash'lerini tam da bu kadar iyi parmak izi verdikleri için indeksler — aynı sıra dışı yanıt başlığı da, aynı gecenin aynı saatindeki aynı registrar da. Bunlardan herhangi biri tek başına zayıf bir kanıttır. Üçü birlikte değildir. Dördüncü ve altıncı adımlar, bir düşmanın çalıştıracağı aramaları kendi domain'inize karşı çalıştırır; gerçekte ne yayınladığınızı öğrenmenin tek dürüst yolu da budur.

Yenileme, transfer ve üçüncü yıl başarısızlığı

Anonim domain'ler nadiren bir mahkeme celbinden ölür. Süresi dolmuş bir tescilden ölürler. Alias gelen kutusu okunmaz oldu, yenileme bildirimi geri döndü, bakiye tükendi ve inşa edilmesi bir yıl süren bir isim, bir drop-catcher'ın beklediği havuza düştü. Otomatik yenilemeyi açın, registrar'da birkaç yılı karşılayacak kadar kredi tutun ve son kullanma tarihini fiilen baktığınız hangi uyarı sistemine sahipseniz oraya koyun — yedinci adım bunu doğrudan registry'den çeker, böylece hatırlatma en çok başarısız olması muhtemel posta kutusuna bağlı kalmaz.

Kilitler diğer yarısıdır ve ücretsizdirler. clientTransferProhibited, clientUpdateProhibited ve clientDeleteProhibited her biri tek bir tıklama alır ve birinin registrar hesabınıza girmesiyle başlayan tüm saldırı sınıfını devre dışı bırakır. Bazı registry'ler ayrıca, herhangi bir şey değişmeden önce bant dışı bir onay gerektiren ve kaybetmeyi göze alamayacağınız bir isim için parasını ödemeye değer bir registry lock da sunar. Transfer yetkilendirme kodunu şifreli ve çevrimdışı tutun ve kayıt sahibi iletişim bilgisini değiştirmenin altmış günlük bir transfer yasağını tetiklediğini bilin — dolayısıyla bu düzenlemeyi acelesi olmadığınız bir zamanda yapın, asla bir olayın ortasında değil.

Sonra sizin müsait olmadığınız versiyonunu planlayın. Anonim bir kimlik üzerinde tutulan bir domain'in ne veraseti, ne başvurulacak bir destek kademesi ne de kimlik bilgilerinin ötesinde bir sahiplik kanıtı vardır; bu da hesap bilgilerinin, kurtarma kodlarının ve auth kodunun şifreli bir kopyasını — güvendiğiniz birinin er ya da geç ulaşabileceği bir yerde saklanan — uzun ömürlü bir proje ile ölü bir isim arasında duran tek şey haline getirir. Aynı mantık arkasındaki makine için de geçerlidir: kimsenin geri yükleyemediği bir uzak konum şifreli yedeği, sahip olmadığınız bir yedektir.

Gerçekçi bir tehdit modeli

Bunun neyi alt ettiği konusunda kesin olun. Scraper'lara, veri komisyoncularına, rakiplere, açık kaynak araştırmacılarına ve isimlerinizden birinden diğerlerinin tümüne sıçrayan fırsatçıya karşı, sızıntısız bir zone'a sahip temiz bir kayıt sahibi kimliği işe yarar ve tamamen işe yarar — sıçrayacak hiçbir şey herkese açık kayıtta yoktur. Bir hukuki davacıya karşı, maliyeti bedava bir sorgulamadan bir hukuki süreçe yükseltir, ki bu gerçek ve çoğu zaman belirleyici bir farktır. Bir marka sahibi tarafından açılan bir UDRP'ye karşı, proxy modeli size çok az şey verir ve owner-of-record modeli size, sizin adınıza ne kadar sert savaşmak istediğine karar vermesi gereken bir şirket verir.

Registry'niz üzerinde yargı yetkisi olan bir devlete karşı kazanmaz, hiçbir registrar düzenlemesi de kazanamaz: isim, kim tuttuğuna bakılmaksızın kökte askıya alınabilir. Bu, daha akıllı bir registrar için değil, uzantıyı bilinçli olarak seçmek ve içeriğinize onu taşıyabilecek kadar iyi sahip olmak için bir argümandır. Ve kendi hatalarınıza karşı hiçbir şey sunmaz. Kişisel bir tarayıcı profilinden tek bir giriş, her zamanki adresinizden her zamanki tonunuzla yazılmış tek bir destek talebi, her iki personayı da kapsayan tek bir sertifika ve bu rehberi temiz tutmakla geçirdiğiniz kayıt bir öğleden sonra içinde yeniden dikilir.

Gerçekte sahip olduğunuz düşmana göre inşa edin. Çoğu insan için dürüst yanıt komisyoncular ve fırsatçılardır ve beş ve altıncı adımlardaki kayıtları kapatmak yeterlidir. Maruziyetiniz daha yüksekse, domain'in birkaç katmandan yalnızca biri olduğunu unutmayın: onu kim olduğunuzu hiç sormayan bir host'a, ilk günden sertleştirilmiş bir makineye ve hiçbir ad taşımayan bir ödemeye eşleyin. Gizlilik bir zincirdir ve buradaki her rehber aynı zincirin farklı bir halkasını anlatır.

Adım adım

1. 01

   İsmin zaten neyi yayınladığını denetleyin

   Elinizdeki domain'le başlayın, ya da birinden satın almak üzere olduğunuz biriyle. RDAP, gTLD'ler için port-43 WHOIS'in yerini alan makine tarafından okunabilir tescil hizmetidir, HTTPS üzerinden JSON konuşur ve rdap.org sizi doğru registry'ye yönlendirir. Birçok ccTLD hâlâ yalnızca port 43'te yanıt verir ve bunlardan birçoğu bir gTLD'nin yapacağından daha fazlasını yayınlar.

   # gTLDs: RDAP is the authoritative registration record
   curl -s https://rdap.org/domain/example.com | jq '{
     status,
     ns:     [.nameservers[]?.ldhName],
     events: [.events[] | {(.eventAction): .eventDate}],
     roles:  [.entities[]?.roles[]?]
   }'
   
   # the fields that are supposed to be blank -- read them, do not assume
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.. | objects | select(has("vcardArray")) | .vcardArray[1][]
              | select(.[0]=="fn" or .[0]=="email" or .[0]=="adr")
              | "\(.[0]): \(.[3])"'
   
   # ccTLDs: many are port-43 only, and less redacted than you expect
   whois example.de | grep -viE '^%|^$'

   Gerçek bir isim, gerçek bir adres ya da kişisel bir e-posta geri gelirse burada durun: domain'i transfer etmek onu silmez, çünkü arşivler zaten ona sahiptir. O isim gizlilik amaçları için yanmıştır ve dürüst hamle yeni bir tane tescil edip yönlendirmektir.

2. 02

   Taahhüt etmeden önce uzantıyı test edin

   Aday uzantıları bir blog yazısından değil ampirik olarak karşılaştırın. Her birinde sahibi olmadığınız bir domain'e bakın ve registry'nin gerçekte ne döndürdüğünü okuyun, ardından o registry'yi kimin ve nerede işlettiğini kontrol edin. Çıktı biçimleri registry'ler arasında farklılık gösterir, bunu varsaymak yerine çalıştırmaya değer kılan da tam olarak budur.

   # what does each registry publish about a registrant?
   for d in example.com example.de example.is example.nl; do
     printf '\n== %s\n' "$d"
     curl -s "https://rdap.org/domain/$d" \
       | jq -r '.entities[]? | "\(.roles|join(",")): \(
           [.vcardArray[1][]? | select(.[0]=="fn")][0][3] // "redacted")"' \
       2>/dev/null || whois "$d" | grep -iE '^(registrant|owner|admin-c)'
   done
   
   # who runs the registry, and under whose law does that company sit?
   curl -s https://www.iana.org/domains/root/db/is.html \
     | sed -n 's/.*Organisation:*//p;/Registry Information/,+6p' | head -20

   Buna üç yanıt karar verir. Registry varsayılan olarak bir kayıt sahibi adı yayınlıyor mu? Doğrulanmış bir yerel varlık talep ediyor mu? Ve registry operatörüne hangi mahkemeler erişebiliyor? Yerel varlık gerektiren her şey, bunu gerçekten karşılayabileceğiniz durumlar dışında elenir ve operatörü özellikle kaçındığınız bir yargı alanında oturan her şey, registrar ne kadar iyi görünürse görünsün elenir.

3. 03

   Hesabı açmadan önce kimliği inşa edin

   Kimliği tek oturuşta oluşturun ve hiçbir şeyi düz metin olarak yazmayın. Kullanıcı adının hiçbir geçmişi olmamalı — başka bir yerde kullandığınız bir takma ad değil, sizin için anlamı olan bir kelime değil. Gelen kutusu, telefon numarası talep etmeyen bir sağlayıcıda bir alias olmalı ve üç yıllık ihmale dayanmalı, çünkü registrar'ın doğrulama postası ve her yenileme bildirimi oraya iner.

   # a handle with no history and no meaning
   head -c 10 /dev/urandom | base32 | tr -d '=' | tr 'A-Z' 'a-z'
   
   # a key for the secrets this account is about to hand you
   age-keygen -o registrar.key            # public key is printed on stderr
   
   # store profile details, recovery codes and (later) the auth code
   age -r age1... -o registrar.age registrar.txt && shred -u registrar.txt
   
   # read it back only when you need it
   age -d -i registrar.key registrar.age

   Hiçbir zaman kişisel bir hesaba dokunmamış bir tarayıcı profili kullanın ve registrar'a her seferinde aynı ağ yolu üzerinden ulaşın — oturumlar arasında bir ev bağlantısıyla bir VPN'i karıştırmak, ikisinden birini tutarlı biçimde kullanmaktan daha belirgindir. Gönderdiğiniz tam profil ayrıntılarını kaydedin; bunları iki yıl sonra bir destek talebinde harfiyen tekrarlamanız gerekecek.

4. 04

   Tescil edin, sonra kendinize bir yabancı gibi bakın

   İsmi tescil edin, doğrulama bağlantısına aynı gün tıklayın ve sonra kaydı kontrol etmeden önce registry'ye yayılmasını bekleyin — ilginç çıktı birkaç saat sonra ortaya çıkar, hemen değil. Aradığınız şey, redakte edilmemiş herhangi bir alan ve doğrulamanın gerçekten tamamlandığını söyleyen durum kodlarıdır.

   # the public record, 24h in
   curl -s https://rdap.org/domain/example.com | jq '{status, events}'
   # expect: "active" -- NOT "pendingVerification" or "clientHold"
   
   # anything at all that survived redaction
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.. | objects | .vcardArray? // empty | .[1][]
              | select(.[0]=="fn" or .[0]=="email" or .[0]=="adr" or .[0]=="tel")
              | "\(.[0]): \(.[3])"'
   
   # and the archive view: does this name have a past you did not buy?
   curl -s 'https://crt.sh/?q=example.com&output=json' \
     | jq -r '.[] | "\(.not_before)  \(.name_value)"' | sort -u | head -20

   Bir hafta sonra bir clientHold ya da pendingVerification durumu, doğrulama postasının hiç gelmediği ya da hiç tıklanmadığı anlamına gelir ve domain askıya alınmaya doğru geri sayımdadır. Her şeyden önce bunu düzeltin — doğru tescil edilmiş anonim bir domain'in ilk ayında kaybedilmesinin tek en yaygın yolu budur.

5. 05

   Sizi adlandırmayan bir zone yayınlayın

   Şimdi en çok sızan ve en az kontrol edilen kısım. Kendi zone'unuzu bir yabancının okuduğu gibi okuyun: SOA adresi, nameserver adları, registry'nin sizin adınıza yayınladığı glue ve birinin tüm bunu basitçe indirip indiremeyeceği.

   # SOA -- the second field is an email, first dot standing in for @
   dig +short SOA example.com
   # ns1.example.com. hostmaster.example.com. 2026090601 7200 3600 1209600 3600
   #                  ^-- must not be a personal address
   
   # glue: if your nameservers live inside the domain, the ROOT holds their IPs
   dig +norec +short NS example.com @a.gtld-servers.net
   dig +norec +short ns1.example.com A @a.gtld-servers.net
   
   # can anyone download the entire zone?
   dig AXFR example.com @ns1.example.com | head
   # want: "Transfer failed" -- anything else is your full host inventory
   
   # pin issuance to one CA, and give abuse somewhere impersonal to land
   dig +short CAA example.com
   # 0 issue "letsencrypt.org"
   # 0 iodef "mailto:abuse@example.com"

   Şu sırayla düzeltin: SOA adresini domain'in kendisinde bir rol posta kutusuyla değiştirin, nameserver'ları domain'in dışına taşıyın (ya da tamamen kendi makinenizden çıkarın) böylece hiçbir glue gerekmesin, secondary'leriniz dışında herkesten AXFR'yi reddedin ve bir CAA kaydı ekleyin. DNSSEC ile imzalıyorsanız NSEC3 kullanın ve alt domain listenizin, bir saatini harcamaya istekli herkes tarafından hâlâ numaralandırılabilir olduğunu kabul edin.

6. 06

   Sertifika ve e-posta sızıntılarını kapatın

   İki herkese açık veri kümesi, altyapınız hakkında DNS'inizden daha fazlasını bilir. Sertifika şeffaflığı, imzalattığınız her hostname'i bilir; kendi e-posta kayıtlarınız ise relay'inizi, raporlama posta kutunuzu ve çoğu zaman orijininizi adlandırır. İkisini de kendinize karşı numaralandırın.

   # every name you have ever asked a CA to sign, including deleted ones
   curl -s 'https://crt.sh/?q=%25.example.com&output=json' \
     | jq -r '.[].name_value' | tr ' ' '\n' | sort -u
   
   # the mail records, read for identity rather than deliverability
   dig +short TXT example.com          # SPF include: names your relay
   dig +short TXT _dmarc.example.com   # rua=mailto: usually names a human
   dig +short MX  example.com          # an MX on the origin IS the origin
   
   # does the site answer on its own address, ignoring the edge?
   curl -sI --resolve example.com:443:203.0.113.10 https://example.com/ | head -1

   Gelecekteki tüm ihraçları DNS-01 üzerinden doğrulanan bir wildcard'a taşıyın, böylece hostname'ler günlüklere girmeyi bıraksın; rua='ı kişisel bir posta kutusu yerine domain üzerindeki bir adrese yönlendirin; ve e-postayı orijinden taşıyın — bir relay ya da ayrı bir makine, asla sitenin çalıştığı kutu değil. Günlüklerdeki isimler zaten geri çekilemez; onları emekliye ayırın ya da sonsuza dek herkese açık olduklarını kabul edin.

7. 07

   Kilitleyin, izleyin ve yokluğunuz için plan yapın

   Son olarak: tescili taşıması zor ve unutulması zor hale getirin. Üç client kilidi ücretsizdir ve registrar hesabınızın içinden başlayan tüm saldırı sınıfını durdurur. Son kullanma tarihi, okumayı bırakabileceğiniz bir gelen kutusundan çok, uyarı sisteminize ait olmalıdır.

   # what the registry says about locks and dates
   curl -s https://rdap.org/domain/example.com \
     | jq -r '.status[], (.events[] | "\(.eventAction) \(.eventDate)")'
   # want: clientTransferProhibited, clientUpdateProhibited, clientDeleteProhibited
   
   # days until expiry, straight from the registry -- no email involved
   exp=$(curl -s https://rdap.org/domain/example.com \
         | jq -r '.events[] | select(.eventAction=="expiration") | .eventDate')
   echo $(( ( $(date -d "$exp" +%s) - $(date +%s) ) / 86400 )) days left
   
   # keep the escape hatch encrypted and off the machine it protects
   age -r age1... -o auth-code.age auth-code.txt && shred -u auth-code.txt

   Bu son kullanma kontrolünü cron'dan çalıştırın ve doksan günde uyarın. Şifreli paketi — hesap bilgileri, kurtarma kodları, transfer auth kodu — güvendiğiniz bir kişinin ulaşabileceği bir yerde saklayın, çünkü anonim bir domain'in ne veraseti ne de başvurulacak bir destek kademesi vardır. Sonra dört ile altı arasındaki adımları yılda bir kez yeniden çalıştırın: zone'lar kayar, sertifikalar unutan insanlar tarafından ihraç edilir ve ocakta kapattığınız sızıntı genellikle sonbahara kadar geri döner.