🥇Домейнът corp.com е обявен за продажба. Той е опасен за стотици хиляди корпоративни компютри с операционна система Windows

Схема за泄漏 на данни чрез Web Proxy Auto-Discovery (WPAD) при конфликт на имена (в този случай конфликт на вътрешен домейн с името на един от новите gTLD, но същността е същата). Източник: изследване на Университета в Мичиган, 2016

Майк О’Коннор, един от най-старите инвеститори в домейни, поставя на продажба най-опасния и спорен лот от колекцията си: домейн corp.com за 1,7 млн. долара. През 1994 г. О’Коннор купи множество прости домейн имена, като grill.com, place.com, pub.com и други. Между тях беше и corp.com, който Майк запази в продължение на 26 години. Инвеститорът вече е на 70 години и реши да монетизира дългогодишните си вложения.

Цялата проблема е, че corp.com е потенциално опасен за най-малко 375 000 корпоративни компютри поради лошата настройка на Active Directory по време на изграждането на корпоративни интранет мрежи в началото на 2000-те на базата на Windows Server 2000, когато вътрешният корен просто се указваше като „corp“. Преди началото на 2010-те години това не беше проблем, но с увеличаването на броя на лаптопите в бизнес средата, все повече служители започнаха да изнасят работните си компютри извън корпоративната мрежа. Характеристиките на реализацията на Active Directory довеждат до факта, че дори без директен потребителски запит на \/\/corp, редица приложения (например, имейл) автоматично се свързват с познатия адрес. Но в случай на външна връзка с мрежата в условно кафене на ъгъла, това води до проблем, при който потокът от данни и запитвания се излива на corp.com.

Сега О’Коннор много се надява, че домейнът ще бъде купен от самата Microsoft и в най-добрите традиции на Google ще бъде скрит някъде на тъмно и недостъпно за непосветени място, за да бъде решен проблемът с такава фундаментална уязвимост на Windows мрежите.

Active Directory и конфликт на имена

В корпоративните мрежи под Windows се използва услугата за каталози Active Directory. Тя позволява на администраторите да използват групови политики, за да осигурят единство в настройките на работната среда на потребителите, да внедряват софтуер на множество компютри чрез групови политики, да извършват авторизация и др.

Услугата Active Directory е интегрирана с DNS и работи върху TCP\/IP. За търсене на възли в мрежата се използва протокол за автоматична настройка на прокси Web Proxy Auto-Discovery (WAPD) и функция DNS name devolution (вградена в Windows DNS Client). Тази функция улеснява търсенето на други компютри или сървъри, без да е необходимо да се посочва пълното доменно име.

Например, ако една компания управлява вътрешна мрежа на име internalnetwork.example.com, а служител иска да получи достъп до общ диск на име drive1, няма нужда да въвежда drive1.internalnetwork.example.com в Explorer, достатъчно е да напише \drive1 — клиентът Windows DNS сам ще допълни името.

В ранни версии на Active Directory — например в Windows 2000 Server — за второто ниво на корпоративния домейн по подразбиране беше зададено corp. И много компании запазиха настроената по подразбиране стойност за техния вътрешен домейн. По-лошо, много компании започнаха да изграждат обширни мрежи върху тази грешна настройка.

В ерата на десктоп компютрите това не представляваше особена проблем с безопасността, тъй като никой не изнасяше тези компютри извън корпоративната мрежа. Но какво става, когато служител, работещ в компания със сетеви път corp в службата Active Directory отнесе корпоративен лаптоп — и влезе в местния Starbucks? Тогава влиза в действие протоколът за автоматична настройка на прокси Web Proxy Auto-Discovery (WPAD) и функцията за деволюция на DNS имената.

Вероятно е някои услуги на лаптопа да продължат да се свързват с вътрешния домейн corp, но не могат да го намерят, а вместо това заявките се резолвят в домейн corp.com от отворения интернет.

На практика това означава, че собственикът на corp.com може пасивно да прихваща частни заявки от стотици хиляди компютри, които случайно излизат извън корпоративната среда, използваща обозначение corp за своя домейн в Active Directory.

У Leakage of WPAD requests in American traffic. From a study conducted by the University of Michigan in 2016, източник

Защо домейнът все още не е продаден

През 2014 г. специалисти от ICANN публикуваха голямо изследване на колизии в имената на DNS. Изследването беше частично финансирано от Министерството на вътрешната сигурност на САЩ, тъй като изтичането на информация от вътрешни мрежи застрашава не само търговски компании, но и държавни организации, включително секретни служби, разузнавателни агенции и армейски подразделения.

Майк искаше да продаде corp.com още миналата година, но изследователят Джеф Шмидт го убеди да отложи продажбата въз основа на именно споменатия доклад. В рамките на изследването също така стана ясно, че ежедневно 375 000 компютъра се опитват да се свържат с corp.com без знанието на собствениците. В запитванията имаше опити за достъп до корпоративни интранети, мрежи или файлови ресурси.

В собствен експеримент Шмидт заедно с JAS Global имитира на corp.com начина на обработка на файлове и запитвания, който използва локалната мрежа Windows. С това те всъщност откриха портал към ада за всеки специалист по информационна сигурност:

Това беше ужасно. Прекратихме експеримента след 15 минути и унищожихме [всичките събрани] данни. Добре известен тестер, който консултираше JAS по този въпрос, отбеляза, че експериментът беше подобен на "дъжд от конфиденциална информация", и че никога не е виждал нищо подобно.
[Настроихме прием на поща на corp.com] и приблизително след час получихме над 12 милиона електронни писма, след което прекратихме експеримента. Въпреки че подавляващото мнозинство от писмата бяха автоматизирани, установихме, че някои от тях бяха чувствителни [по отношение на сигурността], и затова унищожихме целия масив данни без допълнителен анализ.

Шмидт смята, че администратори по целия свят десетилетия наред, без да знаят, са подготвяли най-опасния ботнет в историята. Стотици хиляди работещи компютри по света са готови не само да станат част от ботнета, но и да предоставят конфиденциални данни за своите собственици и компании. Всичко, което е необходимо, за да се възползваш, е да контролираш corp.com. Като част от ботнета става всяка машина, която е била свързана веднъж с корпоративната мрежа, чиято Active Directory е била настроена чрез //corp.

Microsoft "забрави" за проблема преди 25 години.

Ако мислите, че MS по някакъв начин не е била в течение на настъпващата вакханалия около corp.com, то сериозно се лъжете. Майк тролеше Microsoft и лично Бил Гейтс още през 1997 година.с такава страница, на която попадали потребителите на бета версията на FrontPage ’97, в която corp.com бил посочен като подразбиращ се URL:

Когато Майк вече не може да търпи, corp.com започва да пренасочва потребители към сайт за секс играчки. В отговор той получава хиляди гневни писма от потребители, които той пренасочва през копие на Бил Гейтс.

Между другото, Майк също сам, от любопитство, е стартирал имейл сървър и е получавал конфиденциални писма на corp.com. Той е опитал да реши тези проблеми, свързвайки се с компаниите, но те просто не са знаели как да реагират:

Веднага започнах да получавам конфиденциални имейли, включително предварителни версии на корпоративни финансови отчети за Комисията по ценни книжа и фондови борси на САЩ, отчети за човешки ресурси и други тревожни неща. Няколко време опитвах да общувам с корпорации, но повечето не знаеха какво да правят. Така че в крайна сметка просто го изключих [почтовый сервер].

От страна на MS не се предприемат активни действия, а компанията отказва да коментира ситуацията. Да, Microsoft е пуснала няколко актуализации на Active Directory през годините, които частично решават проблема с колизиите на домейни, но те имат редица проблеми. Компанията също така е издавала препоръки инструкции за настройка на вътрешни домейн имена, препоръки за притежаване на домейн от второ ниво, за да се избегне колизия и други ръководства, които обикновено не се четат.

Но най-важното се крие в актуализациите. Първо: за да ги приложите, трябва напълно да приведете интранета на компанията в неработоспособност. Второ: някои приложения след подобни актуализации могат да започнат да работят по-бавно, неправилно или да спрат да работят изобщо. Ясно е, че повечето компании с изграден корпоративен мрежовост не биха поели такива рискове в краткосрочен план. Освен това много от тях дори не осъзнават мащаба на заплахата, която крие пренасочването на всичко и всякого към corp.com, когато машината е извадена извън вътрешната мрежа.

Максимумът на иронията възниква, когато преглеждате доклада на Шмидт за изследването на колизиите на домейн имената. Според неговите данни, някои заявки към corp.com идват от интранета на самата Microsoft.

И какво ще стане след това?

Изглежда решението на тази ситуация е очевидно и беше описано още в началото на статията: нека Microsoft купи домейна на Майк и забрани някъде в отдалечен ъгъл завинаги.

Но не всичко е толкова просто. Microsoft предложи на О’Конър да изкупи неговия токсичен за компаниите по целия свят домейн преди няколко години. Ето че громадата предложи за затваряне на такава дупка в собствените мрежи всичко $20 хиляди.

Сега домейнът се предлага за $1,7 млн. И дори ако Microsoft в последния момент реши да го закупи — ще успее ли?

Само регистрирани потребители могат да участват в анкетата. Влезте, моля.

А как бихте постъпили в положение на О’Конър?

59,6%Нека Microsoft купи домейна за $1,7 млн, или да го купи някой друг.501
3,4%Аз бих го продал за $20 хиляди, не искам да вляза в историята като човек, който е изтървал такъв домейн на непознат.29
3,3%Бих го погребал сам и завинаги, ако Microsoft не може да вземе правилното решение.28
21,2%Специално бих продал домейна на хакерите с условието, че те ще унищожат репутацията на Microsoft в корпоративната среда. Те знаят за проблема от 1997 година!178
12,4%Бих стартирал ботнет и пощенски сървър сам и щях да решавам съдбите на света.104