Όταν το Domain Σου Γίνεται Παιχνίδι για Αγνώστους: Wildcard DNS και το Πρόβλημα με το GitHub Pages

Φαντάσου να ταξιδεύεις στην Αφρική με ασταθή σύνδεση και να ανακαλύπτεις ξαφνικά ότι κάποιος άλλος φιλοξενεί περιεχόμενο σε υποτομέα του domain σου. Ακριβώς αυτό συνέβη σε έναν προγραμματιστή που είχε ρυθμίσει το GitHub Pages για ένα στατικό site 3D οπτικοποίησης.

Η Ευκολία Που Γυρίζει Μπούμερανγκ

Το GitHub Pages είναι ιδανικό για στατικές ιστοσελίδες. Στήνεις DNS records, τα δείχνεις προς τους servers του GitHub και το site σου είναι online χωρίς περιττές ρυθμίσεις.

Ο συγκεκριμένε προγραμματιστής είχε επιλέξει την απλή λύση: ένα wildcard record (*.immersivepoints.com) που οδηγούσε σε IPs του GitHub. Η λογική ήταν απλή – μόνο αυτός θα μπορούσε να δημιουργήσει υποτομείς αφού μόνο αυτός κατέχει το domain.

Ωστόσο, το GitHub δεν λειτουργεί έτσι.

Τι Πραγματικά Συμβαίνει με το GitHub

Το GitHub δέχεται οποιοδήποτε CNAME file από οποιονδήποτε χρήστη και φιλοξενεί το περιεχόμενο στο υποτομέα που δείχνει το DNS. Δεν υπάρχει έλεγχος ιδιοκτησίας στο επίπεδο του repository.

Έτσι, όταν ένας άλλος χρήστης έγρασε σε ένα repository το kafka.immersivepoints.com ως custom domain, το GitHub άρχεσε να φιλοξενεί το περιεχόμενό του εκεί – χωρίς έλεγχο, χωρίς ειδοποίηση.

Το χειρότερο; Το repository ήταν private, οπότε ο ιδιοκτήτης του domain δεν μπορούσε να το δει ή να το αναφέρει εύκολα.

Wildcard DNS Χωρίς Φίλτρα

Η χρήση wildcard DNS (*.yourdomain.com) σημαίνει ότι όλα τα υποτομέα οδηγούν προς το GitHub. Είναι πρακτικό αλλά ανοίγεται ευάλωτο. Με τη φιλική πολιτική του GitHub, οτιδήποτε μπορεί να περάσει μέσα σε σου subdomain.

Στην περίπτωση αυτή, το hijacked subdomain χρησιμοποιούταν για scam sites με κουλοχέρηδες, κάτι που έπληξε άμεσα τη reputation του domain στα search engines.

Πώς Ανακαλύφθηκε το Πρόβλημα

Ο προγραμματιστής το έμαθε μόνο από το Google Search Console. Χωρίς αυτή τη ρύθμιση, οι scam pages θα μπορούσαν να μείνουν και πομπευτικά για ποθάς. Σε αυτήν τα monitoring δεν είναι μόνο για αύρωση, είναι από απαραίτητα εργαλία ασφαλείας.

Η Μετάφραση της GitHub

Το GitHub έχει τη δυνατότητα domain verification, αλλά αυτή βρίσ

Η Λύση που δεν Ανακοινώνεται

Το GitHub έχει τη δυνατότητα domain verification, αλλά αυτή βρίσται σε settings του account και όχι του repository. Άρα πολλοί χρήστες δεν το βρίσκουν ή δεν το καταλαβαίνουν.

Το GitHub πρέπει να:

• Εμφανίζει προειδοποιήσεις όταν το domain δεν είναι verified
• Να απαιτεί verification πριν δεχτεί το CNAME file
• Να προσφέρει challenge με DNS TXT records για επιβεβαίωση ιδιοκτησίας

Ενέργειες Πρόληψης

Αν χρησιμοδημόνεις GitHub Pages με custom domain, ακόλουθης αυτές τις πρακτικές:

• Απόφυγε wildcard DNS εκτός αν είναι απαραίτητο. Χρησιμοποίησε μόνο συγκεκριμένα A ή CNAME records για τους υποτομέα που χρειάζεσαι.
• Verify το domain σου από τα account settings του GitHub.
• Χρησιμοποίησε DNS TXT records για να πιστοποιείς ιδιοκτεία σου.
• Παρακολούθησε το domain σου με Google Search Console και ανάλογα εργαλία.