डोमेन सिक्योरिटी क्या है?

जिस डोमेन को सुरक्षित नहीं किया गया, वह किसी मुसीबत का इंतज़ार कर रहा होता है। हर साल ब्रांड ऐसे हमलों में अपने डोमेन की पहुंच खो देते हैं जिन्हें कुछ आसान सेटिंग से रोका जा सकता था। नुकसान सिर्फ़ वेब एड्रेस खोने से कहीं आगे जाता है। जब कोई आपके डोमेन पर कंट्रोल कर लेता है, तो वह आपकी वेबसाइट, आपका ईमेल, आपकी सर्च रैंकिंग और आपके नाम पर आपके विज़िटर के भरोसे को भी कंट्रोल करता है। डोमेन सिक्योरिटी कोई एक टूल या एक सेटिंग नहीं है। यह उन सुरक्षाओं का मेल है जो मिलकर आपके डोमेन को हैक करना मुश्किल बनाती हैं।

डोमेन सिक्योरिटी में क्या-क्या आता है?

डोमेन सिक्योरिटी वह सब है जो डोमेन नाम को बिना इजाज़त की पहुंच, बिना इजाज़त के ट्रांसफ़र और बिना इजाज़त के बदलावों से बचाता है। इसमें तीन क्षेत्र आते हैं।

पहला है अकाउंट सिक्योरिटी। इसका मतलब है अपने रजिस्ट्रार अकाउंट को ऐसे सुरक्षित रखना कि कोई और लॉग इन करके बदलाव न कर सके। इसमें मज़बूत पासवर्ड, टू-फ़ैक्टर ऑथेंटिकेशन और अपने संपर्क ईमेल को लॉक रखना शामिल है।

दूसरा है ट्रांसफ़र प्रोटेक्शन। यह किसी को आपकी इजाज़त के बिना आपका डोमेन दूसरे रजिस्ट्रार पर ले जाने से रोकता है। रजिस्ट्रार लॉक और ऑथराइज़ेशन कोड यहां के मुख्य औज़ार हैं।

तीसरा है DNS प्रोटेक्शन। आपके DNS रिकॉर्ड इंटरनेट को बताते हैं कि आपकी वेबसाइट कहां है और आपका ईमेल कहां जाता है। अगर कोई उन रिकॉर्ड को बदल दे, तो वह डोमेन को ट्रांसफ़र किए बिना ही आपका ट्रैफ़िक मोड़ सकता है।

ज़्यादातर डोमेन सिक्योरिटी की चूक इन तीनों में से किसी एक के खुले रह जाने से होती है। डोमेन को सुरक्षित रखने के लिए तीनों को सुरक्षित करना ज़रूरी है।

आपके डोमेन के सबसे बड़े खतरे कौन से हैं?

डोमेन के खतरे कई श्रेणियों में आते हैं। हर एक अलग कमज़ोरी को निशाना बनाता है, और हर एक का अलग बचाव चाहिए।

डोमेन हाइजैकिंग

हाइजैकिंग तब होती है जब कोई आपके डोमेन को दूसरे रजिस्ट्रार पर ट्रांसफ़र कर देता है या मालिकाना हक़ अपने अकाउंट में बदल लेता है। ट्रांसफ़र पूरा होते ही आप डोमेन को संभालने, रिन्यू करने या कहीं इशारा कराने की ताकत खो देते हैं। रिकवरी धीमी होती है और हमेशा सफल नहीं होती। हाइजैकिंग कैसे काम करती है और उसे कैसे रोकें, इसका पूरा ब्योरा अपने डोमेन को हाइजैक होने से कैसे बचाएं वाले चैप्टर में हर कदम के साथ है।

खत्म हुए डोमेन को लपक लेना

जब डोमेन रजिस्ट्रेशन खत्म हो जाता है, तो वह ग्रेस अवधि में जाता है और आखिरकार किसी के भी रजिस्टर करने के लिए उपलब्ध हो जाता है। हमलावर और डोमेन सट्टेबाज़ खत्म होते डोमेन पर सक्रिय रूप से नज़र रखते हैं, खासकर उन पर जिनके पास पुराना ट्रैफ़िक और बैकलिंक हैं। जैसे ही डोमेन छूटता है, वे उसे रजिस्टर कर लेते हैं। उसके बाद उसे वापस पाने का मतलब है उससे बातचीत करना जिसने उसे हथिया लिया। डोमेन एक्सपायरी वाला चैप्टर खत्म होने की समय-रेखा का हर चरण और हर चरण पर क्या होता है, समझाता है।

रजिस्ट्रार अकाउंट पर फ़िशिंग हमले

यह सबसे आम प्रवेश रास्तों में से एक है। हमलावर एक ईमेल भेजता है जो आपके रजिस्ट्रार से आया लगता है। उसमें चेतावनी होती है कि आपका डोमेन खत्म होने वाला है, कोई संदिग्ध लॉगिन मिला है या आपके अकाउंट को वेरिफ़िकेशन चाहिए। लिंक नकली लॉगिन पेज पर ले जाता है। अगर आप अपनी जानकारी डाल दें, तो हमलावर के पास आपका यूज़रनेम और पासवर्ड आ जाता है और वह आपके असली अकाउंट में लॉग इन कर सकता है।

बचाव सीधा है, पर अनुशासन मांगता है। ईमेल के लॉगिन लिंक पर कभी क्लिक न करें। इसकी जगह हमेशा अपने ब्राउज़र से सीधे अपने रजिस्ट्रार की वेबसाइट पर जाएं।

DNS से छेड़छाड़

DNS छेड़छाड़ यह बदल देती है कि आपका डोमेन कहां इशारा करे, बिना यह बदले कि उसका मालिक कौन है। जो हमलावर आपके रजिस्ट्रार अकाउंट या DNS प्रोवाइडर तक पहुंच जाए, वह आपके A रिकॉर्ड, MX रिकॉर्ड या नेमसर्वर बदल सकता है। आपकी वेबसाइट का ट्रैफ़िक किसी दूसरे सर्वर पर चला जाता है। आपका ईमेल ऐसे इनबॉक्स में जाने लगता है जिस पर आपका कंट्रोल नहीं है। विज़िटर को ऐसा पेज दिखता है जो आपके जैसा लगता है पर आपका नहीं है।

पेचीदा बात यह है कि अगर आप अपने DNS रिकॉर्ड पर सक्रिय रूप से नज़र नहीं रखते, तो DNS छेड़छाड़ घंटों या दिनों तक पकड़ में नहीं आ सकती। जब तक आपको पता चलता है, हमलावर ग्राहकों का डेटा पकड़ चुका हो, लॉगिन चुरा चुका हो या आपकी साख बिगाड़ चुका हो सकता है।

सोशल इंजीनियरिंग

कुछ हमलावर तकनीकी तरीक़ा पूरी तरह छोड़ देते हैं। वे आपके रजिस्ट्रार की सपोर्ट टीम को फ़ोन करते हैं, आपका रूप धरते हैं और अकाउंट की जानकारी रीसेट करने को कहते हैं। अगर आपकी WHOIS जानकारी सार्वजनिक रूप से दिखती है, तो अपनी कहानी को भरोसेमंद बनाने के लिए उनके पास आपका नाम, ईमेल, फ़ोन नंबर और पता पहले से होता है। काफ़ी निजी जानकारी हो तो वे पहचान की उन जांचों को पार कर सकते हैं जो आपकी सुरक्षा के लिए बनी थीं।

रजिस्ट्रार लॉक से अपना डोमेन कैसे सुरक्षित करें?

रजिस्ट्रार लॉक, जिसे कभी-कभी ट्रांसफ़र लॉक भी कहते हैं, एक स्टेटस सेटिंग है जो आपके डोमेन को दूसरे रजिस्ट्रार पर ट्रांसफ़र होने से रोकती है। लॉक चालू हो तो हर ट्रांसफ़र रिक्वेस्ट अपने आप रिजेक्ट हो जाती है। बिना इजाज़त के ट्रांसफ़र से बचने का यह अकेला सबसे असरदार उपाय है।

ज़्यादातर रजिस्ट्रार यह सुविधा मुफ़्त देते हैं। कुछ इसे डिफ़ॉल्ट रूप से बंद रखते हैं, यानी आपको लॉग इन करके इसे खुद चालू करना पड़ता है। इसे सिर्फ़ तब बंद करें जब आप डोमेन को नए रजिस्ट्रार पर ट्रांसफ़र कर रहे हों, और उसके तुरंत बाद फिर चालू कर दें।

अगला चैप्टर डोमेन लॉकिंग को पूरे ब्योरे में समझाता है, जिसमें लॉक के अलग-अलग प्रकार और हर एक कब लागू होता है, शामिल हैं।

डोमेन के लिए टू-फ़ैक्टर ऑथेंटिकेशन क्यों मायने रखता है?

टू-फ़ैक्टर ऑथेंटिकेशन (2FA) आपके रजिस्ट्रार अकाउंट में लॉग इन करते समय वेरिफ़िकेशन का दूसरा कदम जोड़ता है। फ़िशिंग हमले या डेटा ब्रीच से हमलावर आपका पासवर्ड चुरा भी ले, तो आपके दूसरे फ़ैक्टर पर कंट्रोल के बिना वह अंदर नहीं जा सकता।

SMS वेरिफ़िकेशन की जगह ऑथेंटिकेशन ऐप इस्तेमाल करें। SMS कोड SIM स्वैप हमलों से बीच में पकड़े जा सकते हैं, जिनमें कोई आपके मोबाइल कैरियर को राज़ी कर लेता है कि आपका फ़ोन नंबर उसके डिवाइस पर ट्रांसफ़र कर दे। ऐप वाले ऑथेंटिकेटर को हैक करना ज़्यादा मुश्किल है।

2FA अपने रजिस्ट्रार अकाउंट पर और उस ईमेल एड्रेस पर चालू करें जो उस अकाउंट से जुड़ा है। अगर इनमें से कोई भी असुरक्षित है, तो हमलावर उसे अंदर आने के रास्ते के रूप में इस्तेमाल कर सकता है।

मज़बूत पासवर्ड आपके डोमेन की रक्षा कैसे करता है?

आपके रजिस्ट्रार अकाउंट का पासवर्ड हमलावर और आपके डोमेन के बीच पहली दीवार है। अगर वह छोटा है, आम है या किसी दूसरी सर्विस से दोबारा इस्तेमाल किया गया है, तो वह दीवार असल में है ही नहीं।

हमलावर ऑटोमैटिक टूल इस्तेमाल करते हैं, जो दूसरे डेटा ब्रीच के लीक हुए यूज़रनेम और पासवर्ड के जोड़ों को रजिस्ट्रार के लॉगिन पेज पर आज़माते हैं। अगर आपने वही पासवर्ड किसी ऐसे फ़ोरम पर इस्तेमाल किया जो तीन साल पहले हैक हुआ था, तो आज आपका रजिस्ट्रार अकाउंट खतरे में है।

कम से कम 16 अक्षरों का रैंडम पासवर्ड बनाने के लिए पासवर्ड मैनेजर इस्तेमाल करें। उसे पासवर्ड मैनेजर में ही रखें। उसे कहीं लिखकर न रखें, दोबारा इस्तेमाल न करें, और किसी दूसरी जगह के पासवर्ड का कोई बदला हुआ रूप भी न रखें।

डोमेन सिक्योरिटी में WHOIS प्राइवेसी की क्या भूमिका है?

WHOIS प्राइवेसी सार्वजनिक WHOIS डेटाबेस में आपके निजी रजिस्ट्रेशन ब्योरे की जगह आपके रजिस्ट्रार की प्रॉक्सी जानकारी रख देती है। आपका असली नाम, ईमेल, फ़ोन नंबर और पता किसी भी सार्वजनिक लुकअप करने वाले से छिपे रहते हैं।

यह सुरक्षा के लिए इसलिए मायने रखता है कि हमलावर को मिली हर निजी जानकारी सोशल इंजीनियरिंग को आसान बनाती है। अगर उन्हें आपका नाम, ईमेल और पता मालूम हो, तो आपका रूप धरना सीधा हो जाता है। WHOIS प्राइवेसी वे ब्योरे सार्वजनिक नज़र से हटा देती है। डोमेन प्राइवेसी वाला चैप्टर बताता है कि यह कैसे काम करती है और इसे किसे चालू रखना चाहिए।

क्या आपको ऑटो-रिन्यूअल चालू करना चाहिए?

हां। ऑटो-रिन्यूअल आपके डोमेन को इसलिए खत्म होने से रोकता है कि आप रिन्यूअल की तारीख़ भूल गए या रिन्यूअल ईमेल आपके स्पैम फ़ोल्डर में चला गया। खत्म हुआ डोमेन आसान निशाना है। हमलावर खत्म होने वाले डेटाबेस पर नज़र रखते हैं और कीमती डोमेन उपलब्ध होते ही रजिस्टर कर लेते हैं।

अपने हर डोमेन पर ऑटो-रिन्यूअल चालू करें। फिर पक्का करें कि फ़ाइल पर आपका पेमेंट मेथड मौजूदा है। भुगतान फ़ेल हो जाए तो ऑटो-रिन्यूअल बेकार है। बैकअप के तौर पर खत्म होने से 60 दिन पहले का कैलेंडर रिमाइंडर लगाएं। अगर किसी वजह से ऑटो-रिन्यूअल फ़ेल हो जाए, तो डोमेन छूटने से पहले उसे ठीक करने का आपके पास समय रहता है।

ऐसा रजिस्ट्रार कैसे चुनें जो सिक्योरिटी को गंभीरता से लेता हो?

सभी रजिस्ट्रार एक जैसी सुरक्षा नहीं देते। रजिस्ट्रार चुनने से पहले जांचें कि वे 2FA सपोर्ट करते हैं या नहीं, रजिस्ट्रार लॉक देते हैं या नहीं, WHOIS प्राइवेसी शामिल है या नहीं, और उनकी सपोर्ट टीम अकाउंट रिकवरी की रिक्वेस्ट कैसे संभालती है।

जो रजिस्ट्रार अकाउंट में बदलाव करने से पहले पहचान की ठीक से जांच करता है, वह उस रजिस्ट्रार से ज़्यादा सुरक्षित है जो कम जांच के साथ रिक्वेस्ट जल्दी निपटा देता है। जब फ़ोन करने वाला हमलावर हो, तो तेज़ सपोर्ट की सुविधा ही कमज़ोरी बन जाती है।

ऐसे रजिस्ट्रार ढूंढें जो सारी सिक्योरिटी सुविधाएं सामान्य रजिस्ट्रेशन का हिस्सा बनाकर दें, पैसे वाले ऐड-ऑन के रूप में नहीं, जिन्हें चालू करना आपको याद रखना पड़े।

आपकी डोमेन सिक्योरिटी चेकलिस्ट कैसी होनी चाहिए?

अपने हर डोमेन के लिए यह लिस्ट देखें। अगर कोई भी बिंदु पूरा नहीं है, तो उसे अभी ठीक करें।

• रजिस्ट्रार लॉक चालू है
• आपके रजिस्ट्रार अकाउंट पर टू-फ़ैक्टर ऑथेंटिकेशन चालू है
• आपके रजिस्ट्रार अकाउंट से जुड़े ईमेल पर टू-फ़ैक्टर ऑथेंटिकेशन चालू है
• आपका रजिस्ट्रार पासवर्ड अलग, रैंडम और कम से कम 16 अक्षरों का है
• आपके रजिस्ट्रार ईमेल का पासवर्ड अलग है और 2FA से सुरक्षित है
• WHOIS प्राइवेसी चालू है
• ऑटो-रिन्यूअल चालू है
• फ़ाइल पर आपका पेमेंट मेथड मौजूदा है और अगले रिन्यूअल से पहले खत्म नहीं होगा
• आपने पक्का किया है कि आपके रजिस्ट्रार की अकाउंट रिकवरी प्रक्रिया में पहचान की मज़बूत जांच होती है
• आप समय-समय पर अपने DNS रिकॉर्ड जांचते हैं कि कुछ बदला तो नहीं

इस लिस्ट का हर बिंदु एक खास खतरे का जवाब है। रजिस्ट्रार लॉक बिना इजाज़त के ट्रांसफ़र रोकता है। 2FA चोरी हुए पासवर्ड को बेकार कर देता है। WHOIS प्राइवेसी सोशल इंजीनियरिंग का कच्चा माल हटा देती है। ऑटो-रिन्यूअल खत्म होने पर आधारित हमलों को रोकता है। साथ मिलकर ये पूरा डोमेन सिक्योरिटी सेटअप बनाते हैं।

WEMASY आपके डोमेन को सुरक्षित रखने में कैसे मदद करता है?

अपने डोमेन के लिए इस चैप्टर की चेकलिस्ट अपनाएं। अगर आप कहीं और रजिस्टर किया हुआ डोमेन अपनी WEMASY साइट से जोड़ते हैं, तो लॉक, प्राइवेसी, 2FA और ऑटो-रिन्यूअल की सेटिंग उसी रजिस्ट्रार पर रहती हैं।

WEMASY अकाउंट में आपका डोमेन और वेबसाइट एक ही जगह संभाले जाते हैं।

हर प्लान में क्या शामिल है, यह WEMASY प्राइसिंग पर देखें।

अक्सर पूछे जाने वाले सवाल

अगला चैप्टर डोमेन लॉकिंग के बारे में है, जिसमें लॉक के अलग-अलग प्रकार, वे कैसे काम करते हैं और हर एक का इस्तेमाल कब करना चाहिए, यह शामिल है।