Säkerhetshål på Loopia
 

digitalunit och jag upptäckte detta för en tid sedan. Slängde iväg ett mail till Loopia, och tydligen har de skaffat säkerhetshålet eftersom det är "smidigt".

Då ett mail säger mer än tusen ord;

Bara en varning liksom; se upp!

Ytterligare ett i raden av korkade supportsvar från Loopia. De räknar kallt med att alla som skriver till dom knappt vet var strömkabeln till datorn sitter.

Visst har de rätt i att man bör skapa ett nytt konto innan eventuellt överlåtelse men hur många kunder tänker på det? Kundnumrena är dessutom varken särskilt hemliga eller komplicerade. Deras nuvarande lösning är minst sagt urusel.

Vet inte om det ska klassas som "allvarligt säkerhetshål". Vid köp av domäner borde det finnas kvitton (digitala/analoga) som bevisar köpet och som man kan hänvisa till vid ev tvist. Tycker inte att det är speciellt mycket säkrare med en analoga underskrifter (som också kan förfalskas) vid köp/försäljning av domäner.

Ibland vet de nog själva inte var strömkabeln sitter..

Håller med, dessutom vill jag inte ha ett konto för varje domän (visserligen går det att sedan överlåta till sig själv, men det är onödigt krångel).

Javisst går det säkert att få tillbaka eventuella stulna domännamn, men då kan sidan redan ha varit nere några veckor, kanske månader.

Beklagar syftningsfelet i mitt mail, menade såklart att en analog signatur är osäker.

Jag förstår inte, vad är säkerhetshålet, att man kan begå urkundsförfalskning?
Kräver inte överlåtelser av .se domäner en verifikationskod?

Inte inom samma registrar har jag för mig.

Jag överlät en domän inom Binero för ett tag sedan, bara att fylla i blanketten skriva under och vips så var det klart.

Innan nya systemet trädde ikraft kunde man bara fejka en överlåtelse med underskrift. Detta är ju en klar förbättring :)

Som Ztream antyder så är det betydligt enklare nu. Antalet bedrägerier har knappast minskat sedan internet dök upp.

Jag har nu läst tråden 7 gånger, kollat Loopias hemsida, och jag förstår fortfarande inte vad säkerhetshålet går ut på, men jag kanske är dum?

//En som hade hoppats ta över newyork.se idag :)

Jag förstår problemet men hur får man tag på en persons kundnummer hos Loopia?

Man måste gjort en affär med någon tidigare och gett dem kundnumret så att de kunnat överföra domänen till ditt konto.

Den person man då gjort affären med kan sno domäner med ditt kundnummer. Så alla ni jag köpt domäner av.... sno inte mina namn pls? ;)

Vad glad jag är att jag inte har några domäner på Loopia. :)

Jag är glad att jag köpt domäner av dan ;)

:d

___________

Jag vet inte säkert om det fortfarande är så, men åtminstone tidigare fanns det en funktion hos Loopia för att slå ihop konton på ett mycket enkelt sätt.

Jag håller med om att det borde krävas inloggning innan man kan påbörja överlåtelse av domäner, och givetvis att man då endast kan överlåta domäner som finns på det kontot man är inloggad på.

Det här är också intressant.


Håller loopia på att göra en binero?


http://www.binero.se/whois/loopia.se

state: active
domain: loopia.se
holder: looloo8804-00001
admin-c: -
tech-c: -
billing-c: -
created: 2003-09-15
modified: 2009-03-09
expires: 2009-09-15
transferred: 2009-03-09
nserver: ns1.loopia.se 194.9.94.240
nserver: ns2.loopia.se 194.9.95.240
nserver: ns3.loopia.se 194.9.94.245
nserver: ns4.loopia.se 194.9.95.245
dnssec: unsigned delegation
status: ok
registrar: Loopia AB

Heh, nu har de uppdaterat domänen igen! ;)

Som många har sagt; det är urkundsförfalskning, lätt att få tillbaka domännamnen, svårt att få tag på andras kundnummer osv.

Det är dock inte hela grejen. Om någon skulle få ett domännamn stulet lär den sidan få en rejäl nedtid, i och med att DNS-datan slopas, och alla vet väl hur roliga nedtider är?

Vidare, om Loopia inte bryr sig om säkerheten här, på vilka andra punkter har de tummat på den?

Jo, i LoopiaDNS är det snabbt gjort (den enda delen av deras kontrollpanel som är smidigt upplagd).

Man kör whois på domänen, där har man namnet på ägaren. Sedan går man in på upplysning.se och tar fram personnumret.

Du har då:
> domänen
> personnumret
> namnet

Det som saknas är kundnumret.
------------------------

Hoppsan, jag läste fel. Gott nytt år.