Esquema de fuga de dades mitjançant Web Proxy Auto-Discovery (WPAD) per col·lisió de noms (en aquest cas, una col·lisió d'un domini intern amb el nom d'un dels nous gTLD, però l'essència és la mateixa). Font: , 2016
Mike O'Connor, un dels inversors més antics en noms de domini, el lot més perillós i polèmic de la seva col·lecció: el domini corp.com per 1,7 milions de dòlars. El 1994, O'Connor va comprar molts noms de domini simples, com ara grill.com, place.com, pub.com i altres. Entre ells hi havia corp.com, que Mike va mantenir durant 26 anys. L'inversor ja tenia 70 anys i va decidir monetitzar les seves antigues inversions.
El problema és que corp.com és potencialment perillós per a almenys 375 ordinadors corporatius a causa de la configuració descuidada d'Active Directory durant la construcció d'intranets corporatives a principis dels anys 000 basades en Windows Server 2000, quan l'arrel interna s'especificava simplement com a "corp". .” Fins a principis de la dècada de 2010, això no era un problema, però amb l'auge dels ordinadors portàtils en entorns empresarials, cada cop més empleats van començar a moure els seus ordinadors de treball fora de la xarxa corporativa. Les característiques de la implementació de l'Active Directory condueixen al fet que, fins i tot sense una sol·licitud directa de l'usuari a //corp, diverses aplicacions (per exemple, correu) truquen a una adreça coneguda per si soles. Però en el cas d'una connexió externa a la xarxa en una cafeteria convencional a la volta de la cantonada, això condueix a un flux de dades i peticions corp.com.
Ara O'Connor espera de debò que Microsoft compri el domini i, segons les millors tradicions de Google, el podrissi en un lloc fosc i inaccessible per als estrangers, es resoldrà el problema amb una vulnerabilitat tan fonamental de les xarxes de Windows.
Active Directory i col·lisió de noms
Les xarxes corporatives amb Windows utilitzen el servei de directori Active Directory. Permet als administradors utilitzar polítiques de grup per garantir una configuració uniforme de l'entorn de treball de l'usuari, desplegar programari en diversos ordinadors mitjançant polítiques de grup, realitzar autoritzacions, etc.
Active Directory està integrat amb DNS i s'executa sobre TCP/IP. Per cercar amfitrions dins de la xarxa, el protocol de descoberta automàtica del servidor intermediari web (WAPD) i la funció (integrat al client DNS de Windows). Aquesta característica fa que sigui fàcil trobar altres ordinadors o servidors sense haver de proporcionar un nom de domini totalment qualificat.
Per exemple, si una empresa opera una xarxa interna anomenada internalnetwork.example.com, i l'empleat vol accedir a una unitat compartida trucada drive1, no cal entrar drive1.internalnetwork.example.com a l'Explorador, només cal que escriviu \drive1 - i el client DNS de Windows completarà el nom.
En versions anteriors d'Active Directory, per exemple, Windows 2000 Server, el domini corporatiu de segon nivell era per defecte. corp. I moltes empreses han mantingut el predeterminat per al seu domini intern. Encara pitjor, molts han començat a construir grans xarxes sobre aquesta configuració defectuosa.
En l'època dels ordinadors d'escriptori, això no era gaire un problema de seguretat perquè ningú no treia aquests ordinadors fora de la xarxa corporativa. Però què passa quan un empleat treballa en una empresa amb una ruta de xarxa corp a Active Directory agafa un ordinador portàtil corporatiu i va al Starbucks local? Aleshores entren en vigor el protocol de descoberta automàtica del servidor intermediari web (WPAD) i la funció de transferència de noms DNS.
Hi ha una alta probabilitat que alguns serveis de l'ordinador portàtil continuïn afectant el domini intern corp, però no el trobarà i, en canvi, les sol·licituds es resoldran al domini corp.com des d'Internet obert.
A la pràctica, això significa que el propietari de corp.com pot interceptar passivament les sol·licituds privades de centenars de milers d'ordinadors que abandonen accidentalment l'entorn corporatiu mitjançant la designació. corp per al vostre domini a Active Directory.
Fuga de sol·licituds WPAD al trànsit nord-americà. D'un estudi de la Universitat de Michigan del 2016,
Per què encara no es ven el domini?
El 2014, experts de l'ICANN van publicar col·lisions de noms al DNS. L'estudi va ser finançat en part pel Departament de Seguretat Nacional dels Estats Units perquè les filtracions d'informació de xarxes internes amenacen no només les empreses comercials, sinó també les organitzacions governamentals, com ara el Servei Secret, les agències d'intel·ligència i les branques militars.
Mike va voler vendre corp.com l'any passat, però l'investigador Jeff Schmidt el va convèncer de retardar la venda basant-se en l'informe esmentat. L'estudi també va trobar que 375 ordinadors intenten contactar amb corp.com cada dia sense que els seus propietaris ho sàpiguen. Les sol·licituds contenien intents d'iniciar sessió a intranets corporatives, xarxes d'accés o recursos compartits de fitxers.
Com a part del seu propi experiment, Schmidt, juntament amb JAS Global, van imitar a corp.com la manera com Windows LAN processa fitxers i sol·licituds. Fent això, de fet, van obrir un portal a l'infern per a qualsevol especialista en seguretat de la informació:
Va ser terrible. Vam aturar l'experiment després de 15 minuts i vam destruir [totes les dades obtingudes]. Un conegut provador que va assessorar JAS sobre aquest tema va assenyalar que l'experiment era com "una pluja d'informació confidencial" i que mai havia vist res semblant.
[Vam configurar la recepció de correu a corp.com] i al cap d'aproximadament una hora vam rebre més de 12 milions de correus electrònics, després dels quals vam aturar l'experiment. Tot i que la gran majoria dels correus electrònics estaven automatitzats, vam trobar que alguns eren sensibles a la [seguretat] i, per tant, vam destruir tot el conjunt de dades sense més anàlisis.
Schmidt creu que els administradors de tot el món han estat preparant sense saber-ho la botnet més perillosa de la història durant dècades. Centenars de milers d'ordinadors de treball complets a tot el món estan preparats no només per formar part d'una botnet, sinó també per proporcionar dades confidencials sobre els seus propietaris i empreses. Tot el que has de fer per aprofitar-ho és controlar corp.com. En aquest cas, qualsevol màquina que un cop estigui connectada a la xarxa corporativa, l'Active Directory de la qual es va configurar mitjançant //corp, passa a formar part de la botnet.
Microsoft va renunciar al problema fa 25 anys
Si creieu que MS d'alguna manera desconeixia la bacanalisme en curs al voltant de corp.com, aleshores us equivoqueu seriosament. Aquesta és la pàgina a la qual van aterrar els usuaris de la versió beta de FrontPage '97, amb corp.com llistat com a URL predeterminat:
Quan Mike es va cansar molt d'això, corp.com va començar a redirigir els usuaris al lloc web de la botiga sexual. En resposta, va rebre milers de cartes enfadades dels usuaris, que va redirigir mitjançant còpia a Bill Gates.
Per cert, el mateix Mike, per curiositat, va crear un servidor de correu i va rebre cartes confidencials a corp.com. Ell mateix va intentar resoldre aquests problemes posant-se en contacte amb les empreses, però simplement no sabien com corregir la situació:
Immediatament, vaig començar a rebre correus electrònics confidencials, incloses versions preliminars d'informes financers corporatius a la Comissió de Valors i Borsa dels EUA, informes de recursos humans i altres coses espantoses. Vaig intentar mantenir correspondència amb les corporacions durant un temps, però la majoria no sabien què fer-hi. Així que finalment el vaig apagar [el servidor de correu].
MS no va prendre cap acció activa i l'empresa es nega a comentar la situació. Sí, Microsoft ha publicat diverses actualitzacions d'Active Directory al llarg dels anys que solucionen parcialment el problema de col·lisió de noms de domini, però tenen una sèrie de problemes. L'empresa també va produir recomanacions sobre la configuració de noms de domini interns, recomanacions sobre la possessió d'un domini de segon nivell per evitar conflictes i altres tutorials que normalment no es llegeixen.
Però el més important rau en les actualitzacions. Primer: per aplicar-los, cal deixar completament la intranet de l'empresa. Segon: després d'aquestes actualitzacions, algunes aplicacions poden començar a funcionar més lentament, de manera incorrecta o deixar de funcionar completament. És evident que la majoria de les empreses amb una xarxa corporativa construïda no assumiran aquests riscos a curt termini. A més, molts d'ells ni tan sols s'adonen de l'escala total de l'amenaça que està plena de la redirecció de tot a corp.com quan la màquina es porta fora de la xarxa interna.
S'aconsegueix la màxima ironia quan es mira . Així, segons les seves dades, algunes sol·licituds a corp.com provenen de la intranet de Microsoft.
I què passarà després?
Sembla que la solució a aquesta situació es troba a la superfície i es va descriure al principi de l'article: deixar que Microsoft li compri el domini de Mike i prohibir-lo per sempre en algun lloc d'un armari remot.
Però no és tan senzill. Microsoft va oferir a O'Connor comprar el seu domini tòxic per a empreses de tot el món fa uns quants anys. Això és només El gegant va oferir només 20 dòlars per tancar aquest forat a les seves pròpies xarxes.
Ara s'ofereix el domini per 1,7 milions de dòlars, i encara que Microsoft decideixi comprar-lo a l'últim moment, tindran temps?
Només els usuaris registrats poden participar en l'enquesta. si us plau.
Què faries si fossis O'Connor?
-
59,6%Deixeu que Microsoft compri el domini per 1,7 milions de dòlars, o deixeu que algú altre el compri.501
-
3,4%El vendria per 20 dòlars, no vull passar a la història com la persona que va filtrar aquest domini a algú desconegut.29
-
3,3%L'enterraria jo mateix per sempre si Microsoft no pot prendre la decisió correcta.28
-
21,2%Vendria específicament el domini als pirates informàtics amb la condició que destrueixin la reputació de Microsoft a l'entorn corporatiu. Coneixen el problema des de 1997!178
-
12,4%Jo mateix configuraria una botnet + un servidor de correu i començaria a decidir el destí del món.104
Han votat 840 usuaris. 131 usuari es va abstenir.
Font: www.habr.com