對於enom,我的一些擔心

[Yulun]

可以說enom給了註冊者的最大的便利，但同時感覺風險也加大了，因爲所有的安全機制都在一個用戶密碼，要是丟了（其實很簡單，一個鍵盤紀錄木馬就成了），就很麻煩了。竊取者先改變需要竊取域名的admin油箱，然後開始轉移，再來就是改變用戶油箱，這樣可以讓你收不到enom的通知信（這點有很大的問題，很多公司比如escrow.com，你要修改油箱，他會發兩封信：一個給原來的，一個給新的要求確認，這樣如果有人擅自修改你的郵箱你也會第一時間知道）成功轉移后，他可以再都改回來。當你發現的時候，我想你要證明那個轉出行爲不是你做的都需要很大的功夫，如果竊取者再賣給毫不知情的第三者，那估計漫長的訴訟就避免不了了。

不知道我的擔心是不是多餘？

[ismile]

有便利有危險, 密碼保護好, 定期更換, 確定 WHOIS 資料正確, 上 domain lock, 就不會有事吧.

[哈啦]

不知道我的擔心是不是多餘？


不算多餘，確實如此。愈方便也就愈危險，因為它同時對所有人方便，不是嗎？但退一步想，保管好你自己的帳號和密碼，別讓任何木馬或駭客有機可乘是自己的責任，網路上任何東西的帳號和密碼一旦落入別人手裡，下場都差不多。
而且這種方便的移轉在平常提供給我們的好處，遠大於這個風險。而且像一些以轉移域名麻煩著稱的註冊商如networksolutions.com，它的域名失竊比率大概是最高的，而且還最貴。

[Yulun]

networksolutions.com ? 不會吧，cd.com sex.com china.com 等等都是它的吧？

其實我想只要enom系統在用戶更改郵箱、密碼、whois信息（最好）給原有郵箱發一封信就感覺很安全了。這樣你賬號的任何變動你都可以知道了。而且這种程度的修改對enom來説應該很簡單（若是用php應該不到10條語句吧），我想對咱們消費者應該是好事吧。
我打算寫封建議信，版上的衆位仁兄要是覺得這樣有必要也請發一封吧。哈大！您也要發啊，您也有上家吧，這樣作爲下家的也不怕在不知情的狀況下被上家修改信息了。我想有了這種機制應該更有利您推廣您的業務。

[cokee]

說出來好像是吹牛皮
但我幾年前確實在 networksolutions 上給人偷走了 shy.org

[哈啦]

sex.com正是在networksoultions.com手上「失竊」長達數年的一個最有名的案例。最後終於回到原主手上，而竊盜者幾年賺了沒有上億也有數千萬美元，也遭法院判賠並因竊者逃亡而正在通緝中。而同時間，networksolutions.com也正因保管上的疏失同樣遭到法院判決要賠償原主一大筆金錢。相關文章可見
http://www.domain.club.tw/viewtopic.php?t=1199

另外有關enom上下線之間的安全問題，確實存在著，我最近也才寫信去告訴enom一個安全性的問題，他們答應正在修正中，包括上線無法任意修改下線reseller(一般的下線retail不在此列)的一切資料，例如密碼或者push網址。
不過有一個觀念應該要說清楚，就是對enom而言，你是上線，向enom買了「網址」的預註權再去賣給下線們，因此等於你要對所有下線負責，而下線是基於對於你的信賴在註冊網址(其中包括你提供比較便宜的註冊價位在內)。所以你對於你的下線的地位就如enom對於你或其他直接去註冊人的地位一般，本來就可以操控一切帳號，包括資料在內。中間細節很多，於此不多說了。
你當然還是可以向enom反應，但我可以告訴你他們會如此回答你的。

註：如果你是reseller的話，則你的上線「理論上」是不能亂動你的。這個部份enom正在修改bug中。

[哈啦]

說出來好像是吹牛皮
但我幾年前確實在 networksolutions 上給人偷走了 shy.org

確實可惜。你是電郵被盜了嗎？

[Yulun]

謝謝哈大的解釋，其實我的意思只是enom的系統可以多發一個郵件通知，我想這樣對於我等來説就應該夠了。無論是黑客還是上家，只要可以第一時間知道，就有足夠的時間做出反應。無論怎樣，域名轉出也要個5，6天吧。

[哈啦]

只是enom的系統可以多發一個郵件通知


這確實是個不錯的方式，反正你多寫信給enom反應，他們的客服還不錯，一般都會有所回答的。
另一個自保的方式，就是請常常檢查自己的註冊帳號、網名的whois。一般被偷的網址都和長時間沒人在家一樣，被人闖了空門一段時間才發現自己被偷了。

[哈啦]

好消息，根據親身實驗，enom已經修正上線對下線reseller的存取權限，目前上線已無法對下線的reseller帳戶的個人資訊和網址push進行任何動作，一旦企圖存取就會出現：The page you are trying to access is only available to the original LoginID 的字樣。對於下線的reseller保護大大增進。
但對於一般的retailer帳號不在此限，因為性質不同。

[seesawgame]

謝謝哈大的解釋，其實我的意思只是enom的系統可以多發一個郵件通知，我想這樣對於我等來説就應該夠了。無論是黑客還是上家，只要可以第一時間知道，就有足夠的時間做出反應。無論怎樣，域名轉出也要個5，6天吧。

小弟支持Yulun大大的想法
如果英文信寫出來了，請PM一份給小弟我
我也想跟eNOM反應這個問題 ~youarebe:

[iBlog]

Hi, 我是yulun 且不是大大，我是小小 ：）
我已經發信了，但還沒有回復，内容如下：
Hello Jerry G. ,

Thank you for your answering.
Is it possible to have some suggestions on your security measures?

1. I noticed that the activating letter is only sent to the new email address if customer changed the registered email address. Actually, some companies, such as escrow.com, send the informing letter to the previous one as well as activating letter to the new mailbox if the customers change their email.
2. When customer changed the password, it is also necessary to send an informing letter to the customer, which could be helpful for exposing hacker as soon as possible.

I really hope you can consider the above proposes because I suppose that it is the good method for you to enlarge your business if customers feel reassured.

Best Regards,

[seesawgame]

感謝Yulun+iBlog(合體?!)大大
其實我覺得這是很重要的info與想法，一定要支持的
我也把你的信件把抬頭跟署名做了我自已的名字與用法寄給enom了