🥇Die Domain corp.com steht zum Verkauf. Sie ist gefährlich für Hunderttausende von Unternehmenscomputern, die unter Windows laufen

Das Schema eines Datenlecks über Web Proxy Auto-Discovery (WPAD) bei Namenskonflikten (in diesem Fall ein Konflikt zwischen einer internen Domain und dem Namen einer der neuen gTLDs, aber das Prinzip bleibt dasselbe). Quelle: Forschung der University of Michigan, 2016

Mike O’Connor, einer der ältesten Investoren in Domainnamen, stellt zum Verkauf die gefährlichste und umstrittenste Position seiner Sammlung: die Domain corp.com für 1,7 Millionen Dollar. 1994 kaufte O’Connor eine Vielzahl einfacher Domainnamen wie grill.com, place.com, pub.com und andere. Darunter war auch corp.com, das Mike 26 Jahre lang gehalten hat. Der Investor ist mittlerweile 70 Jahre alt und hat beschlossen, seine langjährigen Investitionen zu monetarisieren.

Das gesamte Problem ist, dass corp.com potenziell gefährlich ist für mindestens 375.000 Firmencomputer aufgrund einer nachlässigen Konfiguration von Active Directory während der Aufbauzeit von Unternehmensintranets Anfang der 2000er Jahre auf Basis von Windows Server 2000, als der interne Root einfach als „corp“ angegeben wurde. Bis Anfang der 2010er Jahre war das kein Problem, aber mit der Zunahme von Laptops im Geschäftsumfeld begannen immer mehr Mitarbeiter, ihre Arbeitscomputer außerhalb des Unternehmensnetzwerks zu nutzen. Die Besonderheiten der Implementierung von Active Directory führen dazu, dass sogar ohne direkte Anfrage des Benutzers an \/\/corp eine Reihe von Anwendungen (z.B. E-Mail) selbständig an die bekannte Adresse anklopfen. Im Falle einer externen Verbindung zu einem Netzwerk in einem hypothetischen Café an der Ecke führt dies dazu, dass der Daten- und Anfragefluss auf corp.com.

Jetzt hofft O’Connor sehr, dass die Domain von Microsoft selbst gekauft wird und, ganz in der Tradition von Google, dort irgendwo im Dunkeln und für Unbefugte unzugänglich, das Problem mit so einer grundlegenden Schwachstelle in Windows-Netzen gelöst wird.

Active Directory und Namenskonflikte

In Unternehmensnetzwerken unter Windows wird der Active Directory-Katalogdienst verwendet. Er ermöglicht Administratoren, Gruppenrichtlinien zu verwenden, um eine einheitliche Konfiguration der Benutzerarbeitsumgebungen sicherzustellen, Software auf vielen Computern über Gruppenrichtlinien bereitzustellen, Autorisierungen vorzunehmen usw.

Der Active Directory-Dienst ist in DNS integriert und arbeitet über TCP\/IP. Für die Suche nach Knoten innerhalb des Netzwerks wird das Protokoll für die automatische Proxy-Konfiguration Web Proxy Auto-Discovery (WAPD) und die Funktion verwendet. DNS-Namensdevolution (in Windows integrierten DNS-Client). Diese Funktion erleichtert das Auffinden anderer Computer oder Server, ohne dass der vollständige Domainname angegeben werden muss.

Zum Beispiel, wenn ein Unternehmen ein internes Netzwerk mit dem Namen internalnetwork.example.comverwaltet, und ein Mitarbeiter auf das gemeinsame Laufwerk mit dem Namen drive1zugreifen möchte, muss er nicht eingeben drive1.internalnetwork.example.com im Explorer, es reicht aus, \drive1 einzugeben – der Windows DNS-Client ergänzt den Namen automatisch.

In früheren Versionen von Active Directory – wie Windows 2000 Server – war für die zweite Ebene der Unternehmensdomain standardmäßig festgelegt corp. Und viele Unternehmen haben den Standardwert für ihre interne Domain beibehalten. Schlimmer noch, viele haben begonnen, umfangreiche Netzwerke über diese fehlerhafte Konfiguration zu bauen.

In Zeiten von Desktop-Computern stellte dies in Bezug auf die Sicherheit nicht wirklich ein Problem dar, da niemand diese Computer außerhalb des Unternehmensnetzwerks bewegte. Aber was passiert, wenn ein Mitarbeiter, der in einem Unternehmen mit einem Netzwerkpfad corp in Active Directory arbeitet, das Unternehmenslaptop nimmt – und in ein lokales Starbucks geht? Dann wird das Protokoll zur automatischen Konfiguration des Proxys Web Proxy Auto-Discovery (WPAD) und die Funktion der DNS-Namen-Devolution aktiv.

Es ist sehr wahrscheinlich, dass einige Dienste auf dem Laptop weiterhin auf die interne Domain zugreifen, corpaber sie werden sie nicht finden, und stattdessen werden die Anfragen ins öffentliche Internet zu corp.com aufgelöst.

In der Praxis bedeutet dies, dass der Eigentümer von corp.com passive Anfragen von Hunderttausenden von Computern abfangen kann, die zufällig die Unternehmensumgebung verlassen, die die Bezeichnung corp für ihre Domain in Active Directory verwendet.

Leckagen von WPAD-Anfragen im amerikanischen Verkehr. Aus einer Studie der Universität Michigan im Jahr 2016, Quelle

Warum die Domain noch nicht verkauft ist.

Im Jahr 2014 veröffentlichten ICANN-Experten eine umfangreiche Studie über Namenskonflikte im DNS. Die Studie wurde teilweise vom US-Ministerium für Innere Sicherheit finanziert, da Datenlecks aus internen Netzwerken nicht nur kommerziellen Unternehmen, sondern auch staatlichen Organisationen, einschließlich Geheimdiensten, Nachrichtendiensten und militärischen Einheiten, drohen.

Mike wollte corp.com bereits im letzten Jahr verkaufen, aber der Forscher Jeff Schmidt überredete ihn, den Verkauf basierend auf dem zuvor erwähnten Bericht zu verschieben. Im Rahmen der Untersuchung stellte sich auch heraus, dass täglich 375.000 Computer versuchen, sich ohne Wissen der Eigentümer mit corp.com zu verbinden. In den Anfragen gab es Versuche, in Unternehmens-Intranets einzudringen und auf Netzwerke oder Dateiquellen zuzugreifen.

Im Rahmen seines eigenen Experiments simulierte Schmidt zusammen mit JAS Global auf corp.com die Art und Weise, wie Dateien und Anfragen verarbeitet werden, die das lokale Windows-Netzwerk verwendet. Damit öffneten sie faktisch ein Portal zur Hölle für jeden IT-Sicherheitsspezialisten:

Es war schrecklich. Wir stellten das Experiment nach 15 Minuten ein und vernichteten [alle gesammelten] Daten. Ein bekannter Tester, der JAS zu diesem Thema beriet, bemerkte, dass das Experiment wie ein "Regen aus vertraulichen Informationen" war und dass er noch nie etwas Ähnliches gesehen hatte.
[Wir richteten den E-Mail-Empfang auf corp.com ein] und bekamen nach etwa einer Stunde über 12 Millionen E-Mails, danach stellten wir das Experiment ein. Obwohl der überwiegende Teil der E-Mails automatisiert war, stellten wir fest, dass einige davon [sicherheitsrelevant] waren, und deshalb vernichteten wir den gesamten Datensatz ohne weitere Analyse.

Schmidt ist der Meinung, dass Administratoren auf der ganzen Welt seit Jahrzehnten unwissentlich das gefährlichste Botnet der Geschichte vorbereitet haben. Hunderttausende von vollwertigen Arbeitscomputern weltweit sind bereit, nicht nur Teil eines Botnets zu werden, sondern auch vertrauliche Daten über ihre Eigentümer und Unternehmen bereitzustellen. Alles, was nötig ist, um davon Gebrauch zu machen, ist die Kontrolle über corp.com. Dabei wird jedes Gerät, das einmal mit dem Unternehmensnetz verbunden ist, Teil des Botnets, dessen Active Directory über //corp konfiguriert wurde.

Microsoft hat das Problem bereits vor 25 Jahren "vergessen".

Wenn Sie denken, dass MS irgendwie nicht über das Chaos um corp.com informiert war, dann täuschen Sie sich gewaltig. Mike hat Microsoft und persönlich Bill Gates bereits 1997 getrollt.mit einer solchen Seite, auf die Benutzer der Beta-Version von FrontPage ’97 geleitet wurden, in der corp.com als Standard-URL angegeben war:

Als Mike es schließlich leid war, begann corp.com, die Nutzer auf eine Sexshop-Website umzuleiten. Daraufhin erhielt er tausende wütende E-Mails von Nutzern, die er über eine Kopie von Bill Gates umgeleitet hatte.

Übrigens richtete Mike auch aus Neugier einen Mailserver ein und erhielt vertrauliche E-Mails auf corp.com. Er versuchte, diese Probleme selbst zu lösen, indem er die Firmen kontaktierte, aber die wussten einfach nicht, wie sie die Situation beheben sollten:

Sofort begann ich, vertrauliche E-Mails zu erhalten, darunter vorläufige Entwürfe von Unternehmensfinanzberichten an die US-Börsenaufsichtsbehörde, Berichte über Personalangelegenheiten und andere beunruhigende Dinge. Eine Zeit lang versuchte ich, mit den Unternehmen zu kommunizieren, aber die meisten wussten nicht, was sie tun sollten. Also schaltete ich schließlich einfach meinen [Mailserver] aus.

Von Seiten von Microsoft wurden keine aktiven Maßnahmen ergriffen, und das Unternehmen weigert sich, die Situation zu kommentieren. Ja, Microsoft hat im Laufe der Jahre mehrere Updates für Active Directory veröffentlicht, die das Problem mit den Domain-Namenskonflikten teilweise lösen, jedoch gibt es dabei eine Reihe von Problemen. Außerdem hat das Unternehmen Empfehlungen Empfehlungen zur Einrichtung interner Domainnamen, Ratschläge zum Besitz von Second-Level-Domains zur Vermeidung von Konflikten und andere Tutorials veröffentlicht, die in der Regel nicht gelesen werden.

Aber das Wichtigste liegt in den Updates. Erstens: Um sie anzuwenden, muss das gesamte Intranet des Unternehmens vorübergehend offline genommen werden. Zweitens: Einige Anwendungen können nach solchen Updates langsamer, fehlerhaft oder sogar ganz nicht mehr funktionieren. Offensichtlich schrecken die meisten Unternehmen, die ein gut funktionierendes Unternehmensnetzwerk haben, vor solchen Risiken zurück. Zudem sind sich viele von ihnen nicht einmal des gesamten Ausmaßes der Bedrohung bewusst, die mit der Umleitung aller Daten nach corp.com verbunden ist, wenn die Maschine das interne Netzwerk verlässt.

Die maximale Ironie erreicht man, wenn man Schmidts Bericht über die Untersuchung von Domain-Namenskonfliktenbeachtet. So zeigt seine Daten, dass einige Anfragen an corp.com aus dem Intranet von Microsoft selbst stammen.

Und was kommt als Nächstes?

Es scheint, als läge die Lösung dieser Situation auf der Hand und wurde bereits zu Beginn des Artikels beschrieben: Lass Microsoft Mike seine Domain kaufen und in irgendeinem abgelegenen Raum für immer sperren.

Aber nicht alles ist so einfach. Microsoft hat O’Connor vor einigen Jahren angeboten, seine für Unternehmen weltweit toxische Domain zu kaufen. Nur, bot der Gigant nur 20.000 Dollar, um ein solches Loch in seinen eigenen Netzwerken zu schließen..

Jetzt wird die Domain für 1,7 Millionen Dollar angeboten. Und selbst wenn Microsoft sich in letzter Minute entscheiden sollte, sie doch zu kaufen — werden sie rechtzeitig sein?

Nur registrierte Benutzer können an der Umfrage teilnehmen. Bitte einloggen.

Was würden Sie an O’Connors Stelle tun?

59,6%Lass Microsoft die Domain für 1,7 Millionen Dollar kaufen, oder jemand anderes wird es tun.
3,4%Ich würde sie für 20.000 Dollar verkaufen, ich möchte nicht in die Geschichte eingehen als die Person, die eine solche Domain an jemanden unbekannten verkauft hat.
3,3%Ich würde sie selbst begraben und für immer verschwinden lassen, wenn Microsoft nicht in der Lage ist, die richtige Entscheidung zu treffen.
21,2%Ich würde die Domain absichtlich an Hacker verkaufen mit der Bedingung, dass sie den Ruf von Microsoft in der Unternehmenswelt zerstören. Sie wussten seit 1997 über das Problem Bescheid!
12,4%Ich würde selbst ein Botnetz und einen Mailserver aufbauen und die Geschicke der Welt lenken.