Cynllun gollwng data trwy Web Proxy Auto-Discovery (WPAD) oherwydd gwrthdrawiad enw (yn yr achos hwn, gwrthdrawiad parth mewnol gydag enw un o'r gTLDs newydd, ond mae'r hanfod yr un peth). Ffynhonnell: , 2016
Mike O'Connor, un o'r buddsoddwyr hynaf mewn enwau parth, y lot mwyaf peryglus a dadleuol yn ei gasgliad : parth corp.com am $1,7 miliwn Ym 1994, prynodd O'Connor lawer o enwau parth syml, fel grill.com, place.com, pub.com ac eraill. Yn eu plith roedd corp.com, a gadwodd Mike am 26 mlynedd. Roedd y buddsoddwr eisoes yn 70 oed a phenderfynodd roi arian i'w hen fuddsoddiadau.
Y broblem yw y gallai corp.com fod yn beryglus ar gyfer o leiaf 375 o gyfrifiaduron corfforaethol oherwydd cyfluniad diofal Active Directory yn ystod adeiladu mewnrwydi corfforaethol yn y 000au cynnar yn seiliedig ar Windows Server 2000, pan nodwyd y gwreiddyn mewnol yn syml fel “corp .” Hyd at y 2010au cynnar, nid oedd hyn yn broblem, ond gyda chynnydd mewn gliniaduron mewn amgylcheddau busnes, dechreuodd mwy a mwy o weithwyr symud eu cyfrifiaduron gwaith y tu allan i'r rhwydwaith corfforaethol. Mae nodweddion gweithredu Active Directory yn arwain at y ffaith, hyd yn oed heb gais defnyddiwr uniongyrchol i //corp, mae nifer o gymwysiadau (er enghraifft, post) yn taro ar gyfeiriad cyfarwydd ar eu pen eu hunain. Ond yn achos cysylltiad allanol â'r rhwydwaith mewn caffi confensiynol rownd y gornel, mae hyn yn arwain at lif o ddata a cheisiadau yn arllwys ar corp.com.
Nawr mae O'Connor wir yn gobeithio y bydd Microsoft ei hun yn prynu'r parth ac, yn nhraddodiadau gorau Google, ei bydru yn rhywle tywyll ac anhygyrch i bobl o'r tu allan, bydd y broblem gyda bregusrwydd mor sylfaenol o rwydweithiau Windows yn cael ei datrys.
Active Directory ac enw gwrthdrawiad
Mae rhwydweithiau corfforaethol sy'n rhedeg Windows yn defnyddio gwasanaeth cyfeiriadur Active Directory. Mae'n caniatáu i weinyddwyr ddefnyddio polisïau grŵp i sicrhau cyfluniad unffurf o amgylchedd gwaith y defnyddiwr, defnyddio meddalwedd ar gyfrifiaduron lluosog trwy bolisïau grŵp, perfformio awdurdodiad, ac ati.
Mae Active Directory wedi'i integreiddio â DNS ac yn rhedeg ar ben TCP / IP. I chwilio am westeion o fewn y rhwydwaith, mae'r protocol Web Proxy Auto- Discovery (WAPD) a'r swyddogaeth (wedi'i adeiladu i mewn i Cleient DNS Windows). Mae'r nodwedd hon yn ei gwneud hi'n hawdd dod o hyd i gyfrifiaduron neu weinyddion eraill heb orfod darparu enw parth cwbl gymwys.
Er enghraifft, os yw cwmni'n gweithredu rhwydwaith mewnol a enwir internalnetwork.example.com, ac mae'r gweithiwr eisiau cyrchu gyriant cyffredin o'r enw drive1, nid oes angen mynd i mewn drive1.internalnetwork.example.com yn Explorer, teipiwch \drive1 - a bydd cleient Windows DNS yn cwblhau'r enw ei hun.
Mewn fersiynau cynharach o Active Directory - er enghraifft, Windows 2000 Server - y rhagosodiad ar gyfer y parth corfforaethol ail lefel oedd corp. Ac mae llawer o gwmnïau wedi cadw'r rhagosodiad ar gyfer eu parth mewnol. Yn waeth byth, mae llawer wedi dechrau adeiladu rhwydweithiau helaeth ar ben y gosodiad diffygiol hwn.
Yn nyddiau cyfrifiaduron bwrdd gwaith, nid oedd hyn yn llawer o broblem diogelwch oherwydd nid oedd neb yn mynd â'r cyfrifiaduron hyn y tu allan i'r rhwydwaith corfforaethol. Ond beth sy'n digwydd pan fydd gweithiwr sy'n gweithio mewn cwmni â llwybr rhwydwaith corp yn Active Directory yn cymryd gliniadur corfforaethol ac yn mynd i'r Starbucks lleol? Yna daw protocol Web Proxy Auto- Discovery (WPAD) a swyddogaeth datganoli enwau DNS i rym.
Mae tebygolrwydd uchel y bydd rhai gwasanaethau ar y gliniadur yn parhau i guro ar y parth mewnol corp, ond ni fydd yn dod o hyd iddo, ac yn lle hynny bydd ceisiadau'n cael eu datrys i'r parth corp.com o'r Rhyngrwyd agored.
Yn ymarferol, mae hyn yn golygu y gall perchennog corp.com ryng-gipio ceisiadau preifat yn oddefol gan gannoedd o filoedd o gyfrifiaduron sy'n gadael yr amgylchedd corfforaethol yn ddamweiniol gan ddefnyddio'r dynodiad corp ar gyfer eich parth yn Active Directory.
Gollyngiad o geisiadau WPAD mewn traffig Americanaidd. O astudiaeth gan Brifysgol Michigan yn 2016,
Pam nad yw'r parth wedi'i werthu eto?
Yn 2014, cyhoeddodd arbenigwyr ICANN enwi gwrthdrawiadau yn DNS. Ariannwyd yr astudiaeth yn rhannol gan Adran Diogelwch Mamwlad yr UD oherwydd bod gwybodaeth yn gollwng o rwydweithiau mewnol yn bygwth nid yn unig cwmnïau masnachol, ond hefyd sefydliadau'r llywodraeth, gan gynnwys y Gwasanaeth Cudd, asiantaethau cudd-wybodaeth a changhennau milwrol.
Roedd Mike eisiau gwerthu corp.com y llynedd, ond argyhoeddodd yr ymchwilydd Jeff Schmidt ef i ohirio'r gwerthiant yn seiliedig ar yr adroddiad a grybwyllwyd uchod. Canfu'r astudiaeth hefyd fod 375 o gyfrifiaduron yn ceisio cysylltu â corp.com bob dydd heb yn wybod i'w perchnogion. Roedd y ceisiadau'n cynnwys ymdrechion i fewngofnodi i fewnrwydi corfforaethol, rhwydweithiau mynediad neu rannu ffeiliau.
Fel rhan o'i arbrawf ei hun, fe wnaeth Schmidt, ynghyd â JAS Global, efelychu ar corp.com y ffordd y mae Windows LAN yn prosesu ffeiliau a cheisiadau. Trwy wneud hyn, fe wnaethant, mewn gwirionedd, agor porth i uffern ar gyfer unrhyw arbenigwr diogelwch gwybodaeth:
Roedd yn ofnadwy. Fe wnaethon ni stopio'r arbrawf ar ôl 15 munud a dinistrio [pob un] data. Nododd profwr adnabyddus a gynghorodd JAS ar y mater hwn fod yr arbrawf fel "glaw o wybodaeth gyfrinachol" ac nad oedd erioed wedi gweld unrhyw beth tebyg.
[Fe wnaethom sefydlu derbyniad post ar corp.com] ac ar ôl tua awr cawsom dros 12 miliwn o negeseuon e-bost, ac ar ôl hynny fe wnaethom roi'r gorau i'r arbrawf. Er bod y mwyafrif helaeth o'r e-byst yn awtomataidd, canfuom fod rhai yn [diogelwch] sensitif ac felly gwnaethom ddinistrio'r set ddata gyfan heb ddadansoddiad pellach.
Mae Schmidt yn credu bod gweinyddwyr ledled y byd wedi bod yn paratoi'r botnet mwyaf peryglus mewn hanes yn ddiarwybod ers degawdau. Mae cannoedd o filoedd o gyfrifiaduron gweithio llawn ledled y byd yn barod nid yn unig i ddod yn rhan o botnet, ond hefyd i ddarparu data cyfrinachol am eu perchnogion a'u cwmnïau. Y cyfan sydd angen i chi ei wneud i fanteisio arno yw control corp.com. Yn yr achos hwn, mae unrhyw beiriant sydd unwaith wedi'i gysylltu â'r rhwydwaith corfforaethol, y mae ei Active Directory wedi'i ffurfweddu trwy // corp, yn dod yn rhan o'r botnet.
Rhoddodd Microsoft y gorau i'r broblem 25 mlynedd yn ôl
Os ydych chi'n meddwl nad oedd MS rywsut yn ymwybodol o'r bacchanalia parhaus o amgylch corp.com, yna rydych chi'n camgymryd yn ddifrifol. Dyma'r dudalen y glaniodd defnyddwyr y fersiwn beta o FrontPage '97 arni, gyda corp.com wedi'i restru fel yr URL rhagosodedig:
Pan aeth Mike i flino ar hyn, dechreuodd corp.com ailgyfeirio defnyddwyr i wefan y siop ryw. Mewn ymateb, derbyniodd filoedd o lythyrau dig gan ddefnyddwyr, a ailgyfeiriodd trwy gopi at Bill Gates.
Gyda llaw, sefydlodd Mike ei hun, allan o chwilfrydedd, weinydd post a derbyniodd lythyrau cyfrinachol ar corp.com. Ceisiodd ddatrys y problemau hyn ei hun trwy gysylltu â chwmnïau, ond nid oeddent yn gwybod sut i unioni'r sefyllfa:
Ar unwaith, dechreuais dderbyn negeseuon e-bost cyfrinachol, gan gynnwys fersiynau rhagarweiniol o adroddiadau ariannol corfforaethol i Gomisiwn Gwarantau a Chyfnewid yr Unol Daleithiau, adroddiadau adnoddau dynol a phethau brawychus eraill. Ceisiais ohebu â chorfforaethau am gyfnod, ond nid oedd y rhan fwyaf ohonynt yn gwybod beth i'w wneud ag ef. Felly o'r diwedd fe wnes i ei ddiffodd [y gweinydd post].
Ni chymerodd MS unrhyw gamau gweithredol, ac mae'r cwmni'n gwrthod gwneud sylw ar y sefyllfa. Ydy, mae Microsoft wedi rhyddhau sawl diweddariad Active Directory dros y blynyddoedd sy'n mynd i'r afael yn rhannol â'r broblem gwrthdrawiad enw parth, ond mae ganddyn nhw nifer o broblemau. Cynhyrchodd y cwmni hefyd argymhellion ar sefydlu enwau parth mewnol, argymhellion ar fod yn berchen ar barth ail lefel i osgoi gwrthdaro, a thiwtorialau eraill nad ydynt fel arfer yn cael eu darllen.
Ond mae'r peth pwysicaf yn gorwedd yn y diweddariadau. Yn gyntaf: i'w cymhwyso, mae angen ichi roi mewnrwyd y cwmni i lawr yn llwyr. Yn ail: ar ôl diweddariadau o'r fath, gall rhai cymwysiadau ddechrau gweithio'n arafach, yn anghywir, neu roi'r gorau i weithio'n gyfan gwbl. Mae'n amlwg na fydd y rhan fwyaf o gwmnïau sydd â rhwydwaith corfforaethol adeiledig yn cymryd risgiau o'r fath yn y tymor byr. Yn ogystal, nid yw llawer ohonynt hyd yn oed yn sylweddoli maint llawn y bygythiad sy'n llawn ailgyfeirio popeth i corp.com pan fydd y peiriant yn cael ei gymryd y tu allan i'r rhwydwaith mewnol.
Cyflawnir eironi mwyaf wrth edrych . Felly, yn ôl ei ddata, daw rhai ceisiadau i corp.com o fewnrwyd Microsoft ei hun.
A beth fydd yn digwydd nesaf?
Mae'n ymddangos bod yr ateb i'r sefyllfa hon yn gorwedd ar yr wyneb ac fe'i disgrifiwyd ar ddechrau'r erthygl: gadewch i Microsoft brynu parth Mike ganddo a'i wahardd yn rhywle mewn cwpwrdd anghysbell am byth.
Ond nid yw mor syml â hynny. Cynigiodd Microsoft i O'Connor brynu ei barth gwenwynig i gwmnïau ledled y byd sawl blwyddyn yn ôl. Dyna yn unig Dim ond $20 mil a gynigiodd y cawr ar gyfer cau twll o'r fath yn ei rwydweithiau ei hun.
Nawr mae'r parth yn cael ei gynnig am $1,7 miliwn, a hyd yn oed os yw Microsoft yn penderfynu ei brynu ar y funud olaf, a fydd amser ganddyn nhw?
Dim ond defnyddwyr cofrestredig all gymryd rhan yn yr arolwg. os gwelwch yn dda.
Beth fyddech chi'n ei wneud petaech chi'n O'Connor?
-
59,6%Gadewch i Microsoft brynu'r parth am $1,7 miliwn, neu gadewch i rywun arall ei brynu.501
-
3,4%Byddwn yn ei werthu am $20 mil; nid wyf am fynd i lawr mewn hanes fel y person a ddatgelodd parth o'r fath i rywun anhysbys.29
-
3,3%Byddwn yn ei gladdu fy hun am byth os na all Microsoft wneud y penderfyniad cywir.28
-
21,2%Byddwn yn gwerthu'r parth yn benodol i hacwyr ar yr amod eu bod yn dinistrio enw da Microsoft yn yr amgylchedd corfforaethol. Maent wedi gwybod am y broblem ers 1997!178
-
12,4%Byddwn yn sefydlu gweinydd post botnet+ fy hun ac yn dechrau penderfynu tynged y byd.104
Pleidleisiodd 840 o ddefnyddwyr. Ymatalodd 131 defnyddiwr.
Ffynhonnell: hab.com