🥇Домейн corp.com е изложен за продажба. Той представлява опасност за стотици хиляди корпоративни компютри, работещи с Windows

Схема на изтичане на данни чрез Web Proxy Auto-Discovery (WPAD) при колизия на имена (в конкретния случай колизия на вътрешен домейн с името на ново gTLD, но същността остава същата). Източник: изследване на Университета в Мичиган, 2016

Майк О’Коннор, един от най-старите инвеститори в домейни, предлага за продажба най-опасният и спорен лот в колекцията си: домейн corp.com за 1,7 млн. долара. През 1994 година О’Коннор закупи много прости домейни, като grill.com, place.com, pub.com и други. Включително и corp.com, който Майк съхранява в продължение на 26 години. Инвеститорът вече е на 70 години и е решил да монетизира дългогодишните си вложения.

Цялата проблема е, че corp.com е потенциално опасен за най-малко 375 000 корпоративни компютри заради недбалната настройка на Active Directory по време на изграждането на корпоративни интранет мрежи в началото на 2000-те, на базата на Windows Server 2000, когато вътрешният корен беше обозначен просто като "corp". Преди началото на 2010-те това не беше проблем, но с увеличаването на броя на лаптопите в бизнес среда, все повече и повече служители започнаха да изнасят работните си компютри извън корпоративната мрежа. Спецификата на реализацията на Active Directory води до това, че дори без пряко искане на потребителя към \/\/corp, редица приложения (например, имейл), се свързват с познатия адрес сами. Но в случай на външно свързване към мрежата в условна кафене на ъгъла, това води до изтичане на данни и заявки към corp.com.

Сега О’Коннор силно се надява, че домейнът ще бъде закупен от самата Microsoft и в най-добрите традиции на Google ще бъде забутан на някое тъмно и недостъпно за чужди места, а проблемът с такава фундаментална уязвимост в Windows мрежите ще бъде решен.

Active Directory и колизия на имена

В корпоративните мрежи под Windows се използва услуга за каталог Active Directory. Тя позволява на администраторите да прилагат групови политики за осигуряване на единна настройка на работната среда на потребителите, да внедряват софтуер на множество компютри чрез групови политики, да извършват авторизация и т.н.

Активната директория е интегрирана с DNS и работи върху TCP\/IP. За търсене на хостове в мрежата се използва протоколът за автоматична настройка на прокси Web Proxy Auto-Discovery (WAPD) и функцията DNS name devolution (вградена в Windows DNS клиент). Тази функция улеснява намирането на други компютри или сървъри без необходимостта от посочване на пълното доменно име.

Например, ако компанията управлява вътрешна мрежа с име internalnetwork.example.com, а служител иска да получи достъп до споделена папка с наименование drive1, не е нужно да въвежда drive1.internalnetwork.example.com в Explorer, достатъчно е да напише \drive1 — а клиентът Windows DNS сам ще допълни името.

В по-ранни версии на Active Directory — например, в Windows 2000 Server — за второто ниво на корпоративния домейн по подразбиране беше зададено corp. И много компании запазиха подразбиращата се стойност за своя вътрешен домейн. По-лошото е, че много от тях започнаха да изграждат обширни мрежи върху тази погрешна настройка.

В ерата на стационарните компютри това не представляваше особена проблема със сигурността, тъй като никой не изнасяше тези компютри извън корпоративната мрежа. Но какво се случва, когато служител, работещ в компания с мрежов път corp в службата на Active Directory, вземе корпоративния лаптоп — и влезе в местния Starbucks? Тогава влиза в сила протоколът за автоматична настройка на прокси Web Proxy Auto-Discovery (WPAD) и функцията за DNS devolution.

С голяма вероятност, някои услуги на лаптопа ще продължат да се свързват с вътрешния домейн, corpно няма да го намерят, а вместо това заявките ще се резолвват в домейна corp.com от открития интернет.

На практика това означава, че собственикът на corp.com може пасивно да прихваща частни заявки от стотици хиляди компютри, които случайно излизат извън корпоративната среда, използваща обозначението corp за своя домейн в Active Directory.

Изтичане на WPAD-заявки в американския трафик. От изследване на Университета в Мичиган през 2016 г., източник

Защо домейнът все още не е продаден

През 2014 г. експерти от ICANN публикуваха голямо изследване на колизии на имена в DNS. Изследването беше частично финансирано от Министерството на вътрешната сигурност на САЩ, тъй като изтичането на информация от вътрешни мрежи заплашва не само търговски компании, но и държавни организации, включително секретни служби, разузнавателни агенции и армейски подразделения.

Майк искаше да продаде corp.com още миналата година, но изследователят Джеф Шмидт го убеди да отложи продажбата на база на точно споменатия по-горе отчет. В рамките на изследването също така стана ясно, че всеки ден 375 000 компютъра се опитват да се свържат с corp.com без знанието на собствениците. В запитванията имаше опити за достъп до корпоративни интранети и файлови ресурси.

В рамките на собствен експеримент Шмидт в сътрудничество с JAS Global имитира на corp.com начина на обработка на файлове и запитвания, който използва локалната мрежа на Windows. Така те фактически откриха портал в ада за всеки специалист по информационна сигурност:

Това беше ужасно. Прекратихме експеримента след 15 минути и унищожихме [всички получени] данни. Добре известен тестер, който консултираше JAS по този въпрос, отбеляза, че експериментът приличаше на „дъжд от поверителна информация“ и че никога не е виждал нищо подобно.
[Настанихме прием на имейли на corp.com] и приблизително след час получихме над 12 милиона електронни писма, след което прекратихме експеримента. Въпреки че огромното мнозинство от писмата бяха автоматизирани, открихме, че някои от тях бяха чувствителни [по отношение на сигурността], затова унищожихме целия масив от данни без допълнителен анализ.

Шмидт смята, че администраторите по целия свят в продължение на десетилетия, без да знаят, създават най-опасния ботнет в историята. Стотици хиляди напълно функционални работни компютри по целия свят са готови не само да станат част от ботнета, но и да предоставят конфиденциални данни за своите собственици и компании. Всичко, което е необходимо, за да се възползваш от него, е да контролираш corp.com. Като част от ботнета става всяка машина, която веднъж е свързана с корпоративната мрежа, чиято Active Directory е настроена през \/\/corp.

Microsoft „игнорира“ проблема още преди 25 години

Ако мислите, че MS уж не е била наясно с вакханалията около corp.com, вие сериозно се заблуждавате. Майк тролваше Microsoft и лично Бил Гейтс още през 1997 годинас такава страница, на която попадат потребителите на бета версията на FrontPage '97, в която corp.com е указан като по подразбиране URL:

Когато Майк се умори от всичко това, corp.com започна да пренасочва потребителите към сайта на секс шоп. В отговор той получи хиляди гневни писма от потребители, които той пренасочваше чрез копие на Бил Гейтс.

Между другото, Майк сам, от любопитство, също създаде пощенски сървър и получаваше конфиденциални писма на corp.com. Той самият се опита да реши тези проблеми, свързвайки се с компаниите, но те просто не знаеха как да поправят ситуацията:

Веднага започнах да получавам конфиденциални електронни писма, включително предварителни версии на корпоративни финансови отчети до Комисията по ценни книжа и фондови борси в САЩ, отчети за човешките ресурси и други ужасни неща. Няколко месеца се опитвах да комуникирам с корпорациите, но повечето от тях не знаеха какво да правят с това. Така че, накрая просто го изключих [пощенския сървър].

От страна на MS не се предприемат активни действия, а компанията отказва да коментира ситуацията. Да, Microsoft през годините е пуснала няколко ъпдейта на Active Directory, които частично решават проблема с колизията на домейни, но в тях има редица проблеми. Също така, компанията е публикувала препоръките инструкции за настройка на вътрешни домейни, препоръки за притежаване на домейн от второ ниво, за да се избегне колизия, и други ръководства, които обикновено не се четат.

Но най-важното е в ъпдейтите. Първото: за да ги приложите, трябва напълно да спуснете интранета на компанията. Второто: някои приложения след подобни ъпдейти могат да започнат да работят по-бавно, неправилно или да спрат да работят напълно. Ясно е, че повечето компании с изградена корпоративна мрежа не биха рискували в краткосрочен план. Освен това, много от тях дори не осъзнават целия мащаб на заплахата, която крие пренасочването на всичко и всички към corp.com при изнасяне на машината извън вътрешната мрежа.

Максимумът на иронията се достига, когато преглеждате доклада на Шмидт за изследване на колизията на домейни. Така, според неговите данни, някои заявки към corp.com идват от интранета на самата Microsoft.

И какво ще се случи нататък?

Изглежда, че решението на тази ситуация е на повърхността и беше описано още в началото на статията: нека Microsoft да купи домейна на Майк и да забрани за винаги използването му в някой отдалечен ъгъл.

Но не всичко е толкова просто. Microsoft предложи на О'Коннър да изкупи токсичния домейн за компаниите по целия свят преди няколко години. Ето че гигантът предложи за закриването на такава дупка в собствените си мрежи едва $20 хиляди..

Сега домейнът е на цена $1,7 млн. И дори ако Microsoft реши в последния момент да го изкупи — ще успеят ли?

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

Как бихте постъпили в ситуацията на О'Коннър?

59,6%Нека Microsoft купи домейна за $1,7 млн, или да го вземе някой друг.
3,4%Аз бих го продал за $20 хиляди, не искам да вляза в историята като човек, който е загубил такъв домейн на непознат.
3,3%Бих го погребал завинаги, ако Microsoft не може да вземе правилното решение.
21,2%Специално бих продал домейна на хакери с условието, че те ще унищожат репутацията на Microsoft в корпоративната среда. Те знаят за проблема от 1997 година!
12,4%Бих извел ботнет и пощенски сървър сам и бих станал управник на световната съдба.