Домейнът corp.com се продава. Опасно е за стотици хиляди корпоративни компютри, работещи под Windows

Схема за изтичане на данни през Web Proxy Auto-Discovery (WPAD) поради сблъсък на имена (в случая сблъсък на вътрешен домейн с името на един от новите gTLD, но същността е същата). източник: Проучване на Мичиганския университет, 2016

Майк О'Конър, един от най-старите инвеститори в имена на домейни, излага за продажба най-опасната и противоречива партида в своята колекция: домейн corp.com за $1,7 млн. През 1994 г. О'Конър купува много прости имена на домейни, като grill.com, place.com, pub.com и други. Сред тях беше corp.com, който Майк поддържаше 26 години. Инвеститорът вече беше на 70 години и реши да монетизира старите си инвестиции.

Проблемът е, че corp.com е потенциално опасен за най-малко 375 000 корпоративни компютри поради небрежната конфигурация на Active Directory по време на изграждането на корпоративни интранет мрежи в началото на 2000-те години, базирани на Windows Server 2010, когато вътрешният корен беше просто посочен като „corp .” До началото на XNUMX г. това не беше проблем, но с нарастването на лаптопите в бизнес средите все повече служители започнаха да преместват работните си компютри извън корпоративната мрежа. Характеристиките на внедряването на Active Directory водят до факта, че дори без директна потребителска заявка към //corp, редица приложения (например поща) сами чукат на познат адрес. Но в случай на външна връзка към мрежата в конвенционално кафене зад ъгъла, това води до поток от данни и заявки, изливащи се към corp.com.

Сега О'Конър наистина се надява, че самият Microsoft ще купи домейна и в най-добрите традиции на Google ще го изгние някъде тъмно и недостъпно за външни лица, проблемът с такава фундаментална уязвимост на мрежите на Windows ще бъде решен.

Active Directory и сблъсък на имена

Корпоративните мрежи, работещи под Windows, използват услугата Active Directory директория. Тя позволява на администраторите да използват групови политики, за да осигурят еднаква конфигурация на работната среда на потребителя, да разположат софтуер на множество компютри чрез групови политики, да извършват оторизация и т.н.

Active Directory е интегрирана с DNS и работи върху TCP/IP. За да търсите хостове в мрежата, протоколът за автоматично откриване на уеб прокси (WAPD) и функцията Прехвърляне на имена на DNS (вграден в Windows DNS клиент). Тази функция улеснява намирането на други компютри или сървъри, без да се налага да предоставяте напълно квалифицирано име на домейн.

Например, ако една компания управлява вътрешна мрежа на име internalnetwork.example.com, и служителят иска достъп до споделено устройство, наречено drive1, няма нужда да влизате drive1.internalnetwork.example.com в Explorer просто напишете \drive1 - и Windows DNS клиентът сам ще завърши името.

В по-ранните версии на Active Directory – например Windows 2000 Server – настройката по подразбиране за корпоративен домейн от второ ниво беше corp. И много компании са запазили настройките по подразбиране за своя вътрешен домейн. Дори по-лошо, мнозина са започнали да изграждат огромни мрежи върху тази грешна настройка.

В дните на настолните компютри това не беше кой знае какъв проблем със сигурността, защото никой не изнасяше тези компютри извън корпоративната мрежа. Но какво се случва, когато служител работи в компания с мрежов път corp в Active Directory взема корпоративен лаптоп и отива в местния Starbucks? След това влизат в сила протоколът за автоматично откриване на уеб прокси (WPAD) и функцията за делегиране на имена на DNS.

Има голяма вероятност някои услуги на лаптопа да продължат да чукат на вътрешния домейн corp, но няма да го намери и вместо това заявките ще бъдат разрешени към домейна corp.com от отворения Интернет.

На практика това означава, че собственикът на corp.com може пасивно да прихваща лични заявки от стотици хиляди компютри, които случайно напускат корпоративната среда, използвайки обозначението corp за вашия домейн в Active Directory.

Изтичане на WPAD заявки в американски трафик. От проучване на Мичиганския университет от 2016 г. източник

Защо домейнът все още не е продаден?

През 2014 г. експертите на ICANN публикуваха страхотно проучване сблъсъци на имена в DNS. Проучването е финансирано отчасти от Министерството на вътрешната сигурност на САЩ, тъй като изтичането на информация от вътрешните мрежи заплашва не само търговските компании, но и правителствените организации, включително Тайните служби, разузнавателните агенции и военните клонове.

Майк искаше да продаде corp.com миналата година, но изследователят Джеф Шмид го убеди да отложи продажбата въз основа на гореспоменатия доклад. Проучването установи също, че 375 000 компютъра се опитват да се свържат с corp.com всеки ден без знанието на техните собственици. Заявките съдържаха опити за влизане в корпоративни интранети, мрежи за достъп или споделяне на файлове.

Като част от собствения си експеримент, Schmidt, заедно с JAS Global, имитираха на corp.com начина, по който Windows LAN обработва файлове и заявки. Правейки това, те всъщност отвориха портал към ада за всеки специалист по информационна сигурност:

Беше ужасно. Спряхме експеримента след 15 минути и унищожихме [всички получени] данни. Известен тестер, който съветваше JAS по този въпрос, отбеляза, че експериментът е като "дъжд от поверителна информация" и че той никога не е виждал нещо подобно.

[Настроихме получаване на поща на corp.com] и след около час получихме над 12 милиона имейла, след което спряхме експеримента. Въпреки че по-голямата част от имейлите бяха автоматизирани, ние открихме, че някои са чувствителни [за сигурност] и затова унищожихме целия набор от данни без допълнителен анализ.

Шмид смята, че администраторите по света несъзнателно са подготвяли най-опасния ботнет в историята от десетилетия. Стотици хиляди пълноценни работещи компютри по света са готови не само да станат част от ботнет, но и да предоставят поверителни данни за своите собственици и компании. Всичко, което трябва да направите, за да се възползвате от него, е да контролирате corp.com. В този случай всяка машина, която веднъж е свързана към корпоративната мрежа, чиято Active Directory е конфигурирана чрез //corp, става част от ботнет.

Microsoft се отказа от проблема преди 25 години

Ако мислите, че MS по някакъв начин не е знаела за продължаващата вакханалия около corp.com, тогава сериозно грешите. Майк троли Microsoft и Бил Гейтс лично през 1997 гТова е страницата, на която попадат потребителите на бета версията на FrontPage '97, като corp.com е посочен като URL адрес по подразбиране:

Когато Майк наистина се измори от това, corp.com започна да пренасочва потребителите към уебсайта на секс шопа. В отговор той получи хиляди гневни писма от потребители, които пренасочи чрез копие към Бил Гейтс.

Между другото, самият Майк от любопитство създаде пощенски сървър и получи поверителни писма на corp.com. Той се опита сам да реши тези проблеми, като се свърза с компании, но те просто не знаеха как да коригират ситуацията:

Веднага започнах да получавам поверителни имейли, включително предварителни версии на корпоративни финансови отчети до Комисията по ценни книжа и борси на САЩ, доклади за човешки ресурси и други страшни неща. Известно време се опитвах да си кореспондирам с корпорации, но повечето от тях не знаеха какво да правят. Така че най-накрая просто го изключих [пощенския сървър].

MS не са предприели никакви активни действия, а компанията отказва коментар на ситуацията. Да, Microsoft пусна няколко актуализации на Active Directory през годините, които частично решават проблема със сблъсъка на имената на домейни, но те имат редица проблеми. Фирмата също произвежда препоръки за настройка на вътрешни имена на домейни, препоръки за притежаване на домейн от второ ниво за избягване на конфликти и други уроци, които обикновено не се четат.

Но най-важното се крие в актуализациите. Първо: за да ги приложите, трябва напълно да премахнете интранета на компанията. Второ: след такива актуализации някои приложения могат да започнат да работят по-бавно, неправилно или изобщо да спрат да работят. Ясно е, че повечето компании с изградена корпоративна мрежа няма да поемат подобни рискове в краткосрочен план. Освен това много от тях дори не осъзнават пълния мащаб на заплахата, която е изпълнена с пренасочване на всичко към corp.com, когато машината бъде изведена извън вътрешната мрежа.

Максимална ирония се постига, когато гледате Изследователски доклад за сблъсък на имена на домейни на Schmidt. И така, според неговите данни, някои заявки към corp.com идват от собствения интранет на Microsoft.

И какво ще стане след това?

Изглежда, че решението на тази ситуация е на повърхността и е описано в началото на статията: нека Microsoft купи домейна на Майк от него и го забрани някъде в отдалечен шкаф завинаги.

Но не е толкова просто. Microsoft предложи на О'Конър да изкупи неговия токсичен домейн за компании по целия свят преди няколко години. Това е просто Гигантът предложи само $20 хиляди за затваряне на такава дупка в собствените си мрежи.

Сега домейнът се предлага за $1,7 млн. И дори Microsoft да решат да го купят в последния момент, ще имат ли време?

В анкетата могат да участват само регистрирани потребители. Впиши се, Моля те.

Какво бихте направили, ако бяхте на мястото на О'Конър?

• 59,6%Нека Microsoft купи домейна за $1,7 милиона или някой друг да го купи.501

• 3,4%Бих го продал за 20 хиляди долара; не искам да вляза в историята като човекът, издал такъв домейн на неизвестен човек.29

• 3,3%Сам бих го погребал завинаги, ако Microsoft не може да вземе правилното решение.28

• 21,2%Специално бих продал домейна на хакери при условие, че те унищожат репутацията на Microsoft в корпоративната среда. Те знаят за проблема от 1997 г.!178

• 12,4%Сам бих създал ботнет + пощенски сървър и бих започнал да решавам съдбата на света.104

840 потребители гласуваха. 131 потребител се въздържа.

Източник: www.habr.com