Domæne-sikkerhed halter i Danmark

Sikkerheden hos den danske toplevel administrator DK-Hostmaster er ikke god nok og skal strammes op, så det bliver sværere at registrere et dansk domæne i en anden persons navn.

Det mener Michael Dahl, der er chef for den danske afdeling af sikkerhedsfirmaet F-Secure, som nu fremlægger tre nye danske eksempler på den samme type identitetstyveri, som en københavnsk studerende i sidste uge blev udsat for.

Det sker i forbindelse med opdagelsen af tre nye phishingsider, som indeholder den samme falske PayPal-side, som i sidste uge blev afsløret i København.

"Det er samme opbygning. Det er folk, som ingenting har med det her at gøre, men som på en eller anden måde har fået deres navn og adresse indgivet til registrering af et domæne," siger Michael Dahl.

Engelsk vejnavn i Randers
Denne gang er det ifølge Michael Dahl gået ud over en gård i Glamsbjerg og to andre private i henholdsvis Randers og Hvidovre, som alle har fået stjålet deres identitet i forbindelse med oprettelsen af et domæne, som bruges til at hoste det falske PayPal-site.

Michael Dahl fortæller, at alle servere nu er taget ned, og at det endnu er ukendt, hos hvem domænet er registreret.

Det er også ukendt om phishingsiden har påført danske pengeinstitutter et økonomisk tab.

Et af de nye tilfælde af identitetstyveri adskiller sig dog fra de andre på et punkt.

Offeret fra Randers har nemlig ifølge Michael Dahl aldrig modtaget noget fysisk brev, fordi der er blevet brugt et engelsk vejnavn i forbindelse med registreringen.

Blandt andet derfor mener Michael Dahl, at den danske registreringsmodel er for liberal og bør strammes op.

"Når der kan opgives vejadresser som tydeligvis ikke er danske, så er det problematisk," siger Michael Dahl.

Muligvis endnu flere tilfælde
Hos DK-Cert bekræfter leder Shehzad Ahmad, at det er korrekt, at der er flere phishing-sites i Danmark, som bør lukkes.

Samtidig fortæller han, at de nu fire kendte tilfælde muligvis ikke er de eneste.

"Der kan godt være flere," siger Shehzad Ahmad.

Ifølge Shehzad Ahmad er der ingen tvivl om, at phishing er et problem, som vi vil komme til at se meget mere til fremover.

Derfor er DK-Cert nu gået med i en stor international anti-phishing gruppe, som har stort fokus på netop de skandinaviske lande.

Selvom der nu er fire eksempler på identitetstyveri i forbindelse med oprettelse af domæner, vil DK-Cert ikke opfordre til at stramme reglerne for oprettelse af danske domæner.

"Det er ikke noget, som vi koncentrerer os om lige nu. Vi tager os af de tekniske detaljer lige nu, og så må vi kigge på det andet med lovgivning og så videre," siger Shehzad Ahmad.

Opfordrer til ændring af procedurer
Hos F-Secure åbner Michael Dahl imidlertid nu direkte kritik af sikkerhedsproceduren hos den danske toplevel- administrator DK-Hostmaster.

Problemet er ifølge Michael Dahl, at sikkerheden omkring identiteten på domæneregistranten ligger i at reagere på det fysiske brev, som DK-hostmaster altid udsender i forbindelse med oprettelsen af et domæne.

I stedet mener han at domænet først burde aktiveres, når folk aktivt bekræfter at de er den rigtige person, og at de faktisk har ønsket at oprette det pågældende domæne.

"Der findes altså folk som bare lader som ingenting, og så er det jo egentligt let for de her kriminelle folk at misbruge," siger Michael Dahl.

Han peger på, at en løsning kan være at gøre som Finland. Her sender finnernes pendant til DK-Hostmaster et fysisk brev med en kode ud til registranten, som bagefter skal aktiveres på en side, for at bekræfte, at man ønsker at aktivere og registrere domænet.