Beveiligingsissue? domeinnaam administrative contact vrij.

[Vunzz]

In een poging een organisatie te laten weten dat het via een webformulier op hun website mogelijk is om klantgegevens te achterhalen heb ik de administrative contact van hun domein (organisatie.nl) gemaild. Die mail bouncede met een curieuze reden: de domeinnaam (organisatie-plaatsnaam.nl) die bij dat mailadres ([e-mail]) hoort bestaat niet (meer).
organisatie-plaatsnaam.nl kan ik vrijelijk registreren, waardoor ik controle krijg over [e-mail]. Klopt mijn aanname dat dit een groot beveiligingsrisico is voor het "gewone" domein organisatie.nl?

^{Uiteraard zijn de genoemde domeinnamen gefingeerd.}

[ Voor 0% gewijzigd door Vunzz op 16-06-2017 16:59 . Reden: typo in mailadres ]

[ehtweak]

SIDN gegevens opzoeken, en/of gewoon naar de NAW gegevens op zoek gaan en ze ff bellen?

[anboni]

Of melding maken bij de SIDN en hun het uitzoekwerk laten doen. Ze hebben vrij heldere voorwaarden over de bereikbaarheid van contactpersonen bij .nl domeinen, en dit klinkt alsof het niet aan die voorwaarden voldoet.

[Vunzz]

SIDN even op de hoogte stellen is inderdaad ook een mogelijkheid, dat zal ik meteen even doen.
Los daarvan: de mogelijkheid om controle te krijgen over het administrative mailadres is toch een security issue?

[Thijmen]

Je hebt het over [e-mail] en [e-mail].
Welk van de twee is het?

[Vunzz]

Die met het streepje. Typo meteen even verwijderd.

[anboni]

Vunzz schreef op vrijdag 16 juni 2017 @ 16:14:
SIDN even op de hoogte stellen is inderdaad ook een mogelijkheid, dat zal ik meteen even doen.
Los daarvan: de mogelijkheid om controle te krijgen over het administrative mailadres is toch een security issue?

Niet noodzakelijk, denk ik. Tenminste, als dat email adres ook wordt gebruikt (of is gekoppeld) om in te loggen bij de registrar wel. Als het email adres echt alleen een contactpersoon is, valt de security impact denk ik wel mee.

[Rmg]

Vunzz schreef op vrijdag 16 juni 2017 @ 16:14:
SIDN even op de hoogte stellen is inderdaad ook een mogelijkheid, dat zal ik meteen even doen.
Los daarvan: de mogelijkheid om controle te krijgen over het administrative mailadres is toch een security issue?

Ja het is een potentieel security issue, iemand kan dat domein registreren en zo als 'administratief contact' gaan mailen met registrars of SIDN bijvoorbeeld.

Hoe groot de impact is / kan zijn, tjah lastig te zeggen

[eric.1]

Vunzz schreef op vrijdag 16 juni 2017 @ 16:02:
organisatie[.]plaatsnaam.nl kan ik vrijelijk registreren, waardoor ik controle krijg over postmaster@organisatie[-]plaatsnaam.nl. Klopt mijn aanname dat dit een groot beveiligingsrisico is voor het "gewone" domein organisatie.nl?

Nog een typo?

In theorie wel. Je zou dat organisatie-plaatsnaam.nl domein kunnen registreren, dat specifieke emailadres aanmaken (van het Admin Contact) en een verzoek kunnen doen om wijzigingen voor domein organisatie.nl door te voeren. Zodoende zou je bijvoorbeeld het www-record naar jouw servertje kunnen laten verwijzen en zo de website "overnemen". Aangenomen dat je verzoek zonder pardon wordt gehonoreerd door de beherende partij van domein organisatie.nl.

Of het hele domein moet beheerd kunnen worden met een account gekoppelt op [e-mail] (dan kun je alles doen).

Staan er op die website zelf geen contactgegevens van de beheerder? Dan kun je die even een mailtje sturen.

[unezra]

Vunzz schreef op vrijdag 16 juni 2017 @ 16:02:
In een poging een organisatie te laten weten dat het via een webformulier op hun website mogelijk is om klantgegevens te achterhalen heb ik de administrative contact van hun domein (organisatie.nl) gemaild. Die mail bouncede met een curieuze reden: de domeinnaam (organisatie-plaatsnaam.nl) die bij dat mailadres ([e-mail]) hoort bestaat niet (meer).
organisatie.plaatsnaam.nl kan ik vrijelijk registreren, waardoor ik controle krijg over [e-mail]. Klopt mijn aanname dat dit een groot beveiligingsrisico is voor het "gewone" domein organisatie.nl?

^{Uiteraard zijn de genoemde domeinnamen gefingeerd.}

Hoe ga je controle krijgen over [e-mail] als je organisatie.plaatsnaam.nl registreert? Daarvoor zul je organisatie-plaatsnaam.nl moeten registreren.

[Vunzz]

Ja precies. Ik denk dat veel af hangt van registrars, maar toegang tot het administrative mailadres wordt nog wel eens gebruikt als bewijs van eigenaarschap.

[Vunzz]

Het verschil tussen een - en een . is in dit geval nogal belangrijk
Het gaat dus om organisatie.nl en (postmaster@)organisatie-plaatsnaam.nl.