🥇Die Domain corp.com steht zum Verkauf. Sie ist gefährlich für Hunderttausende von Unternehmenscomputern, die unter Windows laufen

Schema zur Datenlecks über Web Proxy Auto-Discovery (WPAD) bei Namenskonflikten (in diesem Fall ein Konflikt zwischen einer internen Domain und dem Namen einer neuen gTLD, aber das Prinzip bleibt dasselbe). Quelle: Studie der Universität von Michigan, 2016

Mike O’Connor, einer der ältesten Investoren in Domainnamen, stellt zum Verkauf das gefährlichste und umstrittenste Objekt seiner Sammlung: die Domain corp.com zum Preis von 1,7 Millionen Dollar. Im Jahr 1994 kaufte O’Connor zahlreiche einfache Domainnamen wie grill.com, place.com, pub.com und andere. Darunter war auch corp.com, das Mike 26 Jahre lang hielt. Der Investor ist mittlerweile 70 Jahre alt und hat beschlossen, seine langjährigen Investitionen zu monetarisieren.

Das eigentliche Problem ist, dass corp.com potenziell gefährlich für mindestens 375.000 Unternehmenscomputer ist, aufgrund einer fahrlässigen Konfiguration von Active Directory während der Aufbauzeiten von Unternehmensintranets Anfang der 2000er Jahre auf Windows Server 2000, als das interne Root einfach als „corp“ angegeben wurde. Bis Anfang der 2010er Jahre war dies kein Problem, aber mit der Zunahme von Laptops in der Geschäftswelt begannen immer mehr Mitarbeiter, ihre Arbeitscomputer außerhalb des Unternehmensnetzwerks zu verwenden. Die Besonderheiten der Implementierung von Active Directory führen dazu, dass sogar ohne direkte Benutzerabfrage an \/\/corp, einige Anwendungen (z. B. E-Mail) selbstständig auf die vertraute Adresse zugreifen. Aber bei einer externen Verbindung zu einem Netzwerk in einem hypothetischen Café um die Ecke führt dies dazu, dass Datenströme und Anfragen auf corp.com.

Jetzt hofft O'Connor sehr, dass die Domain von Microsoft selbst aufgekauft wird und in bester Google-Tradition irgendwo an einem dunklen und für Dritte unzugänglichen Ort vergraben wird, sodass das Problem mit einer derart grundlegenden Schwachstelle von Windows-Netzwerken gelöst wird.

Active Directory und Namenskollisionen

In Unternehmensnetzwerken mit Windows wird der Active Directory-Dienst verwendet. Dieser ermöglicht es Administratoren, Gruppenrichtlinien zu nutzen, um eine konsistente Konfiguration der Benutzerarbeitsumgebung sicherzustellen, Software auf mehreren Computern über Gruppenrichtlinien bereitzustellen, Autorisierungen durchzuführen usw.

Der Active Directory-Dienst ist in DNS integriert und funktioniert über TCP/IP. Zur Suche von Knoten innerhalb des Netzwerks wird das Protokoll zur automatischen Proxy-Konfiguration Web Proxy Auto-Discovery (WAPD) sowie die Funktion DNS-Name-Devolution (integriert im Windows DNS-Client). Diese Funktion erleichtert das Finden anderer Computer oder Server, ohne dass der vollständige Domainname angegeben werden muss.

Beispielsweise, wenn ein Unternehmen ein internes Netzwerk mit dem Namen internalnetwork.example.comverwaltet und ein Mitarbeiter auf ein freigegebenes Laufwerk mit dem Namen drive1zugreifen möchte, ist es nicht erforderlich, "drive1.internalnetwork.example.com" im Explorer einzugeben; es genügt, \drive1 einzugeben – der Windows DNS-Client vervollständigt den Namen automatisch. drive1.internalnetwork.example.com Im Explorer genügt es, \drive1 einzugeben – der Windows DNS-Client ergänzt den Namen automatisch.

In früheren Versionen von Active Directory, zum Beispiel in Windows 2000 Server, wurde standardmäßig für die zweite Ebene der Unternehmensdomain corp. Viele Unternehmen haben die Standardwerte für ihre internen Domains beibehalten. Schlimmer noch, viele haben begonnen, umfangreiche Netzwerke über diese fehlerhafte Konfiguration aufzubauen.

In der Ära der Desktop-Computer stellte dies kein großes Sicherheitsproblem dar, da diese Computer nicht außerhalb des Unternehmensnetzwerks verwendet wurden. Aber was passiert, wenn ein Mitarbeiter eines Unternehmens mit Netzwerkzugang corp seinen Unternehmenslaptop mitnimmt — und in einem lokalen Starbucks einloggt? Dann kommt das Protokoll zur automatischen Konfiguration des Proxy, Web Proxy Auto-Discovery (WPAD), und die Funktion der DNS-Namensentwicklung ins Spiel.

Es ist sehr wahrscheinlich, dass einige Dienste auf dem Laptop weiterhin auf die interne Domain zugreifen möchten corp, sie jedoch nicht finden können, sodass die Anfragen stattdessen auf die Domain corp.com aus dem offenen Internet aufgelöst werden.

In der Praxis bedeutet dies, dass der Besitzer von corp.com passive Zugriffe auf private Anfragen von Hunderttausenden von Computern abfangen kann, die versehentlich außerhalb der Unternehmensumgebung, die die Bezeichnung corp für ihre Domain in Active Directory verwendet, agieren.

WPAD-Anfragelecks im amerikanischen Datenverkehr. Aus einer Studie der Universität Michigan aus dem Jahr 2016, Quelle

Warum die Domain noch nicht verkauft wurde,

Im Jahr 2014 veröffentlichten Experten von ICANN eine umfangreiche Studie zu Namenskonflikten im DNS. Die Studie wurde teilweise vom US-Ministerium für Innere Sicherheit finanziert, da Lecks von Informationen aus internen Netzwerken nicht nur kommerzielle Unternehmen, sondern auch staatliche Organisationen bedrohen, einschließlich Geheimdiensten, Nachrichtendiensten und militärischen Einheiten.

Mike wollte corp.com schon letztes Jahr verkaufen, aber der Forscher Jeff Schmidt überzeugte ihn, den Verkauf basierend auf dem oben erwähnten Bericht zu verschieben. Im Rahmen der Studie wurde auch festgestellt, dass täglich 375.000 Computer versuchen, sich ohne Wissen der Eigentümer mit corp.com zu verbinden. In den Anfragen gab es Versuche, auf Unternehmens-Intranets zuzugreifen oder sich Zugang zu Netzwerken oder Dateispeicherressourcen zu verschaffen.

Im Rahmen eines eigenen Experiments simulierte Schmidt gemeinsam mit JAS Global auf corp.com eine Methode zur Verarbeitung von Dateien und Anfragen, die ein lokales Windows-Netzwerk verwendet. Damit öffneten sie tatsächlich ein Portal zur Hölle für jeden Informationssicherheitsspezialisten.

Es war schrecklich. Wir beendeten das Experiment nach 15 Minuten und zerstörten [alle erhaltenen] Daten. Ein bekannter Tester, der JAS zu diesem Thema konsultiert hatte, stellte fest, dass das Experiment wie ein „Regen aus vertraulichen Informationen“ war, und dass er so etwas noch nie gesehen hatte.
[Wir haben den E-Mail-Empfang auf corp.com eingerichtet] und erhielten nach etwa einer Stunde über 12 Millionen E-Mails, woraufhin wir das Experiment stoppten. Obwohl die überwiegende Mehrheit der E-Mails automatisiert war, stellten wir fest, dass einige davon [sicherheitsrelevant] waren, weshalb wir den gesamten Datensatz ohne weitere Analyse zerstörten.

Schmidt ist der Ansicht, dass Administratoren weltweit über Jahrzehnte hinweg unwissentlich das gefährlichste Botnetz der Geschichte vorbereitet haben. Hunderttausende vollständiger Arbeitsstationen weltweit sind bereit, nicht nur Teil des Botnetzes zu werden, sondern auch vertrauliche Daten über ihre Besitzer und Unternehmen bereitzustellen. Alles, was man tun muss, um es zu nutzen, ist, corp.com zu kontrollieren. Dabei wird jede Maschine, die einmal mit dem Unternehmensnetzwerk verbunden ist und dessen Active Directory über //corp konfiguriert wurde, Teil des Botnetzes.

Microsoft hat das Problem bereits vor 25 Jahren ignoriert.

Wenn Sie denken, dass MS nicht über das Chaos um corp.com informiert war, liegen Sie ernsthaft falsch. Mike hat Microsoft und persönlich Bill Gates bereits 1997 geneckt.Hier ist eine solche Seite, auf die Benutzer der Beta-Version von FrontPage ’97 gelangten, in der corp.com als Standard-URL angegeben war:

Als es Mike ganz zu viel wurde, begann corp.com, Benutzer auf die Seite eines Sexshops umzuleiten. Als Antwort erhielt er Tausende wütender E-Mails von Benutzern, die er über eine Kopie an Bill Gates umgeleitet hatte.

Übrigens hat Mike auch aus Neugier selbst einen Mailserver eingerichtet und erhielt vertrauliche E-Mails an corp.com. Er versuchte, die Probleme selbst zu lösen, indem er sich mit den Unternehmen in Verbindung setzte, aber sie wussten einfach nicht, wie sie die Situation beheben sollten:

Sofort begann ich, vertrauliche E-Mails zu erhalten, darunter Entwürfe von Unternehmensfinanzberichten für die US Securities and Exchange Commission, Personalberichte und andere besorgniserregende Dinge. Einige Zeit versuchte ich, mit den Unternehmen zu kommunizieren, aber die meisten wussten nicht, wie sie damit umgehen sollten. Schließlich schaltete ich einfach [den Mailserver] aus.

Von Seiten von Microsoft wurden keine aktiven Maßnahmen ergriffen, und das Unternehmen weigert sich, die Situation zu kommentieren. Ja, Microsoft hat in den letzten Jahren mehrere Updates für Active Directory veröffentlicht, die teilweise das Problem der Domainnamenskonflikte lösen. Allerdings gibt es dabei verschiedene Probleme. Das Unternehmen hat auch Empfehlungen Richtlinien zur Konfiguration interner Domainnamen, Empfehlungen zum Besitz von Second-Level-Domains zur Vermeidung von Konflikten und andere Tutorials veröffentlicht, die in der Regel nicht gelesen werden.

Doch das Wichtigste liegt in den Updates. Erstens: Um diese anzuwenden, muss das gesamte Intranet des Unternehmens heruntergefahren werden. Zweitens: Einige Anwendungen können nach solchen Updates langsamer, fehlerhaft oder sogar ganz funktionsuntüchtig werden. Es ist klar, dass die meisten Unternehmen mit einer gut strukturierten Unternehmensnetzwerk auf kurze Sicht solche Risiken nicht eingehen werden. Zudem sind sich viele von ihnen nicht einmal des gesamten Ausmaßes der Bedrohung bewusst, die sich aus der Umlenkung aller Anfragen auf corp.com ergibt, sobald der Rechner das interne Netzwerk verlässt.

Maximaler Ironiegrad wird erreicht, wenn Sie den Schmidt-Bericht über die Kollision von Domainnamen. Laut seinen Daten kommen einige Anfragen an corp.com sogar aus dem Intranet von Microsoft selbst.

Und wie geht es weiter?

Es scheint, als läge die Lösung dieses Dilemmas auf der Hand und wurde bereits zu Beginn des Artikels beschrieben: Lassen Sie Microsoft Mike seinen Domainnamen abkaufen und verbieten Sie ihn irgendwo in einer dunklen Ecke für immer.

Aber so einfach ist es nicht. Microsoft hatte O’Connor bereits vor einigen Jahren angeboten, seinen für Unternehmen auf der ganzen Welt toxischen Domainnamen zu kaufen. Nur … Ein Gigant bot 20.000 $ für den Schließvorgang einer solchen Lücke in seinen eigenen Netzwerken an..

Derzeit wird die Domain für 1,7 Millionen $ angeboten. Und selbst wenn Microsoft sich in letzter Minute entscheiden sollte, sie doch zu kaufen – werden sie es rechtzeitig schaffen?

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte melden Sie sich an.Sind Sie an Contour interessiert?

Was würden Sie an O’Connors Stelle tun?

59,6%Lassen Sie Microsoft die Domain für 1,7 Millionen $ kaufen, oder soll sie jemand anderes erwerben?
3,4%Ich würde sie für 20.000 $ verkaufen, ich möchte nicht in die Geschichte eingehen als jemand, der eine solche Domain an Unbekannte verkauft hat.
3,3%Ich würde sie selbst für immer beerdigen, wenn Microsoft nicht in der Lage ist, die richtige Entscheidung zu treffen.
21,2%Ich würde die Domain absichtlich an Hacker verkaufen mit der Bedingung, dass sie den Ruf von Microsoft in der Unternehmenswelt zerstören. Sie wussten seit 1997 von dem Problem!
12,4%Ich würde ein Botnet und einen Mailserver selbst aufbauen und das Schicksal der Welt bestimmen.