Une personne utilisant le même serveur DNS que moi peut-elle pirater mes domaines?

Lorsque j'enregistre un nouveau domaine, je l'envoie à mon fournisseur d'hébergement en lui attribuant ses serveurs de noms de domaine dans les paramètres du registraire. Par exemple, avec Digital Ocean, j’ai saisi les informations suivantes:

ns1.digitalocean.com
ns2.digitalocean.com
ns3.digitalocean.com

J'ajoute ensuite les paramètres de domaine dans l'enregistrement A de mon serveur. Je viens de penser que quiconque sur le même fournisseur d'hébergement peut ajouter un enregistrement A avec un domaine que je possède.

Y at-il quelque chose empêchant cela de se produire? Si deux serveurs différents utilisant le même serveur de noms de domaine tentent de se attribuer un domaine par le biais des enregistrements A, où le domaine sera-t-il résolu lorsque vous l'introduisez dans le navigateur? qu'est-ce qui empêche les collisions de noms de domaine sur le même serveur DNS?

Ne vous occupez jamais de la section commentaires ci-dessous, et ne vous occupez jamais des réponses précédentes dans l'historique des modifications. Après environ une heure de conversation avec des amis (merci @joeQwerty, @Iain et @JourneymanGeek), et quelques remarques joviales, nous sommes allés au fond de votre question et de la situation dans son ensemble. Désolé pour la brusquerie et mal comprendre la situation complètement au début.

Passons en revue le processus:

1. Vous achetez wesleyisaderp.comsur, disons, NameCheap.com.
2. Namecheap en tant que votre registraire sera l'endroit où vous peuplerez vos enregistrements NS. Supposons que vous souhaitiez réellement héberger la zone DNS sur Digital Ocean.
3. Vous pointez les enregistrements NS de votre nouveau domaine brillant vers ns1.digitalocean.comet ns2.digitalocean.com.
4. Cependant, supposons que j'ai pu déterminer que vous aviez enregistré ce domaine et que vous ayez également changé vos enregistrements NS en Digital Ocean . Ensuite, je vous ai battu sur un compte Digital Ocean et j'ai ajouté la zone wesleyisaderp.com à la mienne.
5. Vous essayez d'ajouter la zone dans * votre * compte mais Digital Ocean indique que la zone existe déjà dans leur système! Oh non!
6. Je CNAME wesleyisaderp.comà wesleyisbetterthanyou.com.
7. L'hilarité s'ensuit.

Certains amis et moi avons joué ce scénario exact, et oui, cela fonctionne. Si @JoeQwerty achète un domaine et le pointe vers les serveurs de noms Digital Ocean, mais que cette zone a déjà été ajoutée à mon compte, je suis le maître de la zone et je peux en faire ce que je veux.

Cependant, considérez que quelqu'un doit d'abord ajouter la zone à son compte DNS, puis vous devez pointer vos enregistrements NS vers les serveurs de noms du même hôte pour que tout ce qui ne va pas se passer. En outre, en tant que propriétaire du domaine, vous pouvez changer les enregistrements NS à tout moment et éloigner la résolution de l'hôte de la zone incorrecte.

La probabilité que cela se produise est un peu faible pour le moins. Il est dit que statistiquement, vous pouvez mélanger un jeu de 52 cartes à jouer et obtenir un ordre qu'aucun autre humain n'a jamais eu, et aucun autre humain ne le fera jamais. Je pense que le même raisonnement existe ici. La probabilité que quelqu'un exploite cela est si faible et il existe de meilleurs raccourcis, que cela ne se produira probablement pas dans la nature.

De plus, si vous possédez un domaine chez un registraire et que quelqu'un entre en collision avec une zone telle qu'un fournisseur tel que Digital Ocean, je suis sûr que si vous fournissez une preuve de propriété, il demanderait à la personne qui a créé le fichier. zone dans leur compte pour le supprimer car il n'y a aucune raison pour qu'il existe car ils ne sont pas le propriétaire du nom de domaine.

Mais qu'en est-il des enregistrements

La première personne à avoir une zone, par exemple Digital Ocean, sera celle qui la contrôle. Vous ne pouvez pas avoir plusieurs zones identiques sur la même infrastructure DNS. Ainsi, par exemple, en utilisant les noms idiots ci-dessus, si wesleyisaderp.com est une zone de Digital Ocean, personne d'autre sur l'infrastructure DNS de Digital Ocean ne pourra l'ajouter à son compte.

Voici la partie amusante: j’ai vraiment ajouté wesleyisaderp.com à mon compte Digital Ocean! Allez-y et essayez de l'ajouter à la vôtre. Cela ne fera de mal à rien.

En conséquence, vous ne pouvez pas ajouter un enregistrement A à wesleyisaderp.com. C'est tout a moi.

Mais qu'en est-il ...

Comme l'a souligné @Iain ci-dessous, le point 4 ci-dessus est trop bavard. Je n'ai pas à attendre ou complot ou régime du tout. Je peux créer des milliers de zones dans un compte, puis attendre. Techniquement. Si je crée des milliers de domaines et que j'attends qu'ils soient enregistrés, j'espère qu'ils utiliseront les hôtes DNS sur lesquels j'ai défini mes zones ... peut-être que je peux faire quelque chose de mal? Peut être? Mais probablement pas?

Toutes mes excuses à Digital Ocean & NameCheap

Notez que Digital Ocean et NameCheap ne sont pas uniques et n'ont aucun rapport avec ce scénario. C'est un comportement normal. Ils sont irréprochables sur tous les fronts. Je viens de les utiliser car c'est l'exemple cité, et ce sont des marques très connues.

En plus de l'excellente réponse de Wesley, j'aimerais ajouter qu'il existe déjà une solution pour empêcher cela. Cela s'appelle DNSSEC.

Les bases sont les suivantes:

• Vous enregistrez votre domaine (je vais aller avec le nom éminent wesleyisaderp.comici, juste parce que.)
• Vous enregistrez vos serveurs de noms auprès de votre registraire, généralement via une interface Web à laquelle vous vous authentifiez avec un combo nom d'utilisateur / mot de passe.
• Vous créez également une paire de clés publique / privée et vous téléchargez votre clé publique sur votre registraire sous la forme d'un enregistrement DNSKEY. (C'est ainsi que le bureau d'enregistrement peut configurer la chaîne de confiance sur les serveurs racine pour le domaine de niveau supérieur - dans ce cas, les serveurs racine .com.) combo, il est donc connecté à votre (vos) domaine (s) et non à celui de quelqu'un d'autre.
• Vous allez sur le serveur de noms, vous entrez vos enregistrements et vous signez le fichier de zone obtenu avec votre clé privée. Ou, si vous avez une interface Web avec votre service d'hébergement DNS, vous téléchargez la clé privée sur eux afin qu'ils puissent signer le fichier de zone.
• Lorsque Wesley essaiera si grossièrement de détourner votre domaine et de le nommer wesleyisbetterthanyou.com, ses enregistrements ne seront pas acceptés par les serveurs de domaine racine .com, car ils ne sont pas signés avec la bonne clé. Si votre fournisseur d'hébergement DNS est malin, il le vérifiera immédiatement et ne lui permettra même pas d'essayer d'ajouter des enregistrements à ce domaine s'il ne dispose pas de la clé privée appropriée.
• Lorsque vous entrez vos propres enregistrements, ils sont signés par la bonne touche, ils vont donc fonctionner.
• Vous pouvez maintenant vous asseoir et rire de Wesley.

(Dans le cas initial, celui décrit par Wesley, l'erreur principale serait que Digital Ocean n'ait pas vérifié la propriété d'un domaine avant de permettre à quelqu'un de configurer des enregistrements DNS pour ce domaine. Malheureusement, ils ne sont pas les seuls dans ce domaine. Je sais d'au moins un registraire suédois avec les mêmes problèmes.)

Tout ira bien tant que vous réclamerez la propriété du domaine chez DigitalOcean (c'est-à-dire que vous l'associez à votre compte) avant de dire au registraire d'utiliser ses serveurs de noms.

Si quelqu'un a déjà associé votre domaine à son compte, vous le saurez avant que les serveurs de noms DigitalOcean fassent autorité. Et si cela se produit, discutez avec DigitalOcean de la possibilité de démarrer cette personne avec son compte.

Conformément aux meilleures pratiques, {ns1, ns2, ns3} .DigitalOcean.com ne fait pas office de résolveurs récursifs pour les domaines hébergés ailleurs. S'ils le faisaient et si les serveurs hébergés par DigitalOcean les utilisaient comme résolveurs à usage général, le problème serait beaucoup plus grave. Bien que cette pratique soit connue pour être mauvaise, il n’est probablement pas si difficile de trouver des fournisseurs d’hébergement malhonnêtes, ce qui ouvre la voie à des abus.

Je pense que ce problème signifie que personne ne devrait utiliser de tels serveurs de noms (tels que celui de Digital Ocean) comme résolveurs, car tout le monde peut créer un serveur de noms pour un domaine existant. La bataille pour le contrôle du domaine est sans importance car la propriété du domaine peut être prouvée facilement, mais le fait que quelqu'un puisse par exemple diriger n'importe quel domaine existant qui n'est PAS déjà hébergé sur Digital Ocean vers n'importe où.

En bout de ligne: ne faites pas confiance aux serveurs DNS de tout service d’hébergement qui n’exige pas de preuve de propriété du domaine (cela peut être fait facilement et rapidement, par exemple, à l’aide de la méthode suggérée ci-dessus: en ajoutant d’abord un enregistrement TXT avec une certaine valeur sur le domaine , c’est ce que Microsoft O365 et Google font par exemple).