Cloudflare Domain Protectionのご紹介 — ドメインで妥協することはもうありません

Web上のすべては、ドメイン名から始まります。ドメイン名は、企業のオンラインプレゼンスを構築する基盤です。その土台の安全性が損なわれた場合のダメージは計り知れません。

CIO Weekの一環として、私たちは企業がオンライン上で直面し続けるあらゆる最大のリスクと、その対処法について考察しました。ドメイン名の漏洩は、依然として最大のリスクの1つです。ドメイン名が乗っ取られたり、その他の方法で侵害される可能性は数多くあり、最も深刻なのは、ドメイン名を完全に制御できなくなることです。

それは自分には起きて欲しくないことです。Webサイトだけでなく、会社のすべての電子メール、会社のドメインに結びついた無数のシステム、その他思いもよらないものを失うことを想像してみてください。攻撃者によって企業ドメインが侵害されることは、すべてのCIOにとって悪夢のような出来事です。もしあなたがCIOで、このことを心配していないのであれば、私たちは文字通り、他のすべてのドメインレジストラを調査し、そのセキュリティ慣行に満足できなかったために、独自に立ち上げざるを得ませんでした。

しかし、今、私たちは、ドメインの侵害を二度と起こしてはならないものにしたいと考えています。そのため、すべてのエンタープライズのお客様に、新しいレベルのドメインレコード保護の提供を発表できることを嬉しく思っています。Cloudflare Domain Protectionと名付け、Cloudflare Enterpriseのお客様には無料で提供します。Domain Protectionで保護されたドメインをお持ちのお客様には、そのドメインの登録料と更新料もすべて無料にさせていただきます。Cloudflare Domain Protectionは第1四半期に提供される予定です。このキャンペーンを利用するには、今すぐアカウントマネージャーにご相談ください。

ドメインの安全性がどのように侵害されるかを理解せずに、真に安全なドメインレジストラソリューションを構築することはできません。私たちが提供するサービスの詳細を説明する前に、ドメインがどのように危険にさらされるかを説明したいと思います。

よく耳にするドメインの不正アクセスには、3つのタイプがあります。それぞれについて見ていきましょう。

最も深刻な侵害の1つは、ドメインを別のレジストラに不正に移管することです。レジストラ間の協力体制は年々大きく改善されていますが、それでも盗まれたドメインを復元するのは非常に困難な場合があります。数週間から数ヶ月かかることもよくあります。法的措置が必要な場合もあります。運が良ければ、ドメインは数日で取り戻せるかもしれませんが、最悪の場合、二度と取り戻せないかもしれません。

レジストラ間で簡単にドメインを移管できることは極めて重要であり、ドメイン登録市場の競争力を維持するための一つの要素となっています。しかし、これには潜在的なリスクもあります。ほとんどのレジストリで使用されている移管プロセスでは、トークンを使用して移管を承認します。一般にアクセス可能なWhoisデータの編集が普及する以前は、電子メールによる承認プロセスも使用されていました。ドメインを盗むには、悪意のある行為者が認証コードにアクセスし、ドメインのロックを解除することができればよいのです。

不正移管は、多くの場合、アカウントの不正利用から始まります。多くの場合、顧客は自分のアカウントの認証情報が漏洩している可能性があります。他のケースでは、攻撃者は手の込んだソーシャルエンジニアリングのスキームを使ってドメインをコントロールし、ドメインを別のレジストラに移管する前にレジストラのアカウント間でドメインを移動させることがよくあります。

ネームサーバーの更新も、ドメインが危険にさらされる可能性のある方法の1つです。ドメイン移転は通常、ドメインを恒久的に乗っ取ろうとするものですが、ネームサーバーの更新はより一時的なものであることが特徴です。しかし、更新は通常すぐに元に戻すことができるとしても、この種のドメインの乗っ取りは非常に大きな被害をもたらす可能性があります。顧客データが盗まれたり、電子メールのトラフィックが傍受されたりする可能性があるからです。しかし、最も重要なことは、組織が深刻な風評被害にさらされる可能性があるということです。

ドメインの停止や削除の多くは、悪意ある行為によるものではなく、人為的なミスやシステム障害によって起こることが多いのです。多くの場合、お客様がドメインの更新を忘れたり、支払い方法の更新を怠ったりすることが原因です。また、レジストラが誤ってドメインを停止または削除してしまうケースもあります。

しかし、その理由はともかく、結果としてドメインが解決されなります。

ドメインが危険にさらされる可能性はこれだけではありませんが、最も被害が大きいものの一つです。私たちは、このような侵害とその防止策に多くの時間を費やしてきました。

多くの人がそうであるように、私たちも長い間、ドメインビジネスの現状に不満を抱いてきました。だから、今回が初めてのロデオではありません。

私たちはすでにレジストラサービス（Cloudflare Registrar）を提供しており、これはCloudflareのお客様なら誰でも利用することができます。私たちは、Cloudflareと統合することで超簡単に始めることができ、私たちの価格設定にマークアップはありません。私たちは、各TLDが課す卸売価格以上は決して請求しないと約束しています。その目的である"おとり商法や" "無限のアップセル"（当社のお客様によると、この2つはドメイン業界に関連する最も一般的な言葉だそうです）はありません。その代わり、お客様に愛されるレジストラになります。もちろん、Cloudflareですから、その運営方法にも多くのセキュリティのベストプラクティスを取り入れています。

最も要求の厳しい企業のお客様には、 Custom Domain Protectionもご用意しています。Custom Domain Protectionを使用するすべてのクライアントは、レコードを更新するための独自のプロセスを定義します。導入時に述べたとおりです。"もし、Custom Domain Protectionのクライアントが、6人の異なる個人が、あらかじめ定義された電話番号から順番に電話をかけてきて、それぞれが複数の固有のパスコードを読み取り、満月でもある火曜日に自分の好きなアイスクリームの味を伝えない限り、ドメインの記録を変更しないことを望むなら、我々はそれを実施します。文字通りです。 "

確かに安全ですが、拡張性が最も高いわけではありません。そのため、私たちはプレミアム価格を設定しています。しかし、企業のお客様にお話を伺うと、その中間のもの、いわばゴルディロックスソリューションが必要であるとのことでした。

Cloudflare Domain Protectioに入ります。

Domain Protectionでドメインを保護するための私たちのアプローチは非常に簡単です。さまざまな攻撃ベクトルを特定し、それぞれの潜在的な脅威に対処するために、階層的なセキュリティモードを設計します。

各セキュリティレイヤーを見ていく前に、レジストラとレジストリの関係と、それがドメインのセキュリティにどのように影響するかを理解することが重要です。レジストリは、ドメイン名の卸売業者と考えることができます。レジストリは、トップレベルドメイン（TLD）内のすべての登録済みドメインの中央データベースを管理します。また、卸売価格を決定し、TLD固有のポリシーを確立する責任も負っています。

一方、レジストラは、ドメインの小売業者であり、エンドユーザーにドメインを販売する責任を負っています。登録、譲渡、または更新のたびに、レジストラはレジストリに取引手数料を支払います。

レジストラとレジストリは、共有登録システム（SRS）と呼ばれるものでドメイン登録を共同で管理しています。レジストラは、拡張可能なプロビジョニングプロトコル（EPP）と呼ばれるIETF標準を使用してレジストリと通信します。EPP標準に組み込まれているのは、レジストラとレジストリが適用してドメインをロックし、更新、削除、（別のレジストラへの）移管を防止するための一連のドメインステータスです。

レジストラは、よくレジストラロックと呼ばれる、「クライアント」ロックを適用することができます。レジストリは、レジストリロックとも呼ばれる「サーバー」ロックを適用できます。レジストリロックは常にレジストラロックより優先されるため、レジストリロックが削除されるまで、レジストラロックは削除されません。

それでは、私たちが計画しているアプローチについて、もう少し詳しく見ていきましょう。

まず、EPPレジストラロックをドメイン名に適用します。これらは、ドメインの更新、移管、削除を防止するEPPクライアントロックです。

その後、 内部ロックを適用し、そのドメインへのAPI 呼び出しが処理されないようにします。このロックはEPPの外部で機能し、EPPのロックが削除された場合や、EPPの外部でオペレーションが実行される可能性がある場合に、ドメインを保護するために設計されています。例えば、いくつかのTLDでは、ドメインのコンタクトデータはレジストラにのみ保存され、レジストリに送信されることはありません。このような場合、EPP以外のロック機構を持つことが重要です。

レジストラロックが適用された後、私たちはレジストリにレジストリロックを、EPPを使用しない特別な手順で適用するようリクエストします。すべてのレジストリがレジストリロックをサービスとして提供しているわけではないことに注意してください。場合によっては、この最後のロック機能を適用できないことがあります。

最後に、将来的にドメインのロック解除や変更を要求された場合に対応できるように、安全な検証手順を作成します。

私たちの目標は、Cloudflare Domain Protectionを、最もスケーラブルで安全なドメイン向けソリューションにすることです。お客様にとって最も重要なドメイン、つまりミッションクリティカルで価値の高いドメインが安全に保護されることを保証したいと考えています。

Cloudflare Enterprise契約に明示的に含まれている対象ドメインは、追加費用なしでドメイン保護登録サービスに含まれる場合があります。また、前述の通り、登録料や更新料もカバーされるため、ドメインの保護に関する心配事が1つ減るだけでなく、その費用も支払われることになります。

Cloudflare Domain Protectionのドメイン名への適用にご興味がありますか？アカウントマネージャーまでご連絡ください。詳細については、2022年第1四半期に発表する予定です。