Schema di perdita di dati tramite Web Proxy Auto-Discovery (WPAD) in caso di collisione dei nomi (in questo caso una collisione tra un dominio interno e il nome di uno dei nuovi gTLD, ma il concetto è lo stesso). Fonte: , 2016
Mike O'Connor, uno dei più esperti investitori in nomi di dominio, il lotto più pericoloso e controverso della sua collezione: il dominio corp.com per $1,7 milioni. Nel 1994, O'Connor acquistò molti nomi di dominio semplici, come grill.com, place.com, pub.com e altri. Tra questi c'era anche corp.com, che Mike ha mantenuto per 26 anni. L'investitore ha già compiuto 70 anni e ha deciso di monetizzare i suoi investimenti di lunga data.
Il problema principale è che corp.com è potenzialmente pericoloso per almeno 375.000 computer aziendali a causa di una configurazione negligente di Active Directory durante la creazione delle intranet aziendali all'inizio degli anni 2000 basate su Windows Server 2000, quando la radice interna era semplicemente indicata come "corp". Prima degli anni 2010, questo non rappresentava un problema, ma con l'aumento dei laptop nell'ambiente lavorativo, sempre più dipendenti hanno iniziato a portare i propri computer di lavoro al di fuori della rete aziendale. Le peculiarità di implementazione di Active Directory portano al fatto che, anche senza una richiesta diretta dell'utente a //corp, diverse applicazioni (come l'email) tentano autonomamente di connettersi all'indirizzo familiare. Ma nel caso di una connessione esterna alla rete in un ipotetico caffè all'angolo, questo porta a un flusso di dati e richieste che si riversano su corp.com.
Ora O’Connor spera molto che il dominio venga acquisito direttamente da Microsoft e che, seguendo le migliori tradizioni di Google, venga sepolto in un luogo oscuro e inaccessibile, risolvendo così un problema con una vulnerabilità così fondamentale delle reti Windows.
Active Directory e collisione dei nomi
Nelle reti aziendali basate su Windows, si utilizza il servizio Active Directory. Questo consente agli amministratori di applicare criteri di gruppo per garantire una configurazione uniforme dell'ambiente di lavoro degli utenti, distribuire software su più computer attraverso politiche di gruppo, eseguire autorizzazioni, ecc.
Il servizio Active Directory è integrato con DNS e funziona su TCP/IP. Per la ricerca di nodi all'interno della rete viene utilizzato il protocollo Web Proxy Auto-Discovery (WAPD) e la funzione (integrata nel Client DNS di Windows). Questa funzione facilita la ricerca di altri computer o server senza la necessità di specificare il nome di dominio completo.
Ad esempio, se un'azienda gestisce una rete interna con il nome internalnetwork.example.com, e un dipendente desidera accedere a un'unità condivisa chiamata drive1, non è necessario digitare drive1.internalnetwork.example.com esplorando le cartelle, basta inserire \drive1 — e il client DNS di Windows completerà automaticamente il nome.
Nelle versioni precedenti di Active Directory — ad esempio, in Windows 2000 Server — per il secondo livello del dominio aziendale era impostato per default corp. E molte aziende hanno mantenuto il valore predefinito per il proprio dominio interno. Peggio ancora, molte hanno iniziato a costruire estese reti sopra questa impostazione errata.
Ai tempi dei computer desktop, questo non rappresentava un grande problema di sicurezza, poiché nessuno portava questi computer oltre la rete aziendale. Ma cosa succede quando un dipendente di un'azienda con un percorso di rete corp in Active Directory prende un laptop aziendale e si collega a un Starbucks locale? Qui entra in gioco il protocollo di configurazione automatica del proxy Web Proxy Auto-Discovery (WPAD) e la funzione di devoluzione del nome DNS.
È probabile che alcuni servizi sul laptop continuino a cercare nel dominio interno corp, ma non lo trovano, risolvendo invece le richieste nel dominio corp.com di internet aperto.
In pratica, questo significa che il proprietario di corp.com può intercettare passivamente le richieste private da centinaia di migliaia di computer che casualmente escono oltre l'ambiente aziendale, utilizzando la designazione corp per il proprio dominio in Active Directory.
Fuga delle richieste WPAD nel traffico statunitense. Dallo studio dell'Università del Michigan del 2016,
Perché il dominio non è ancora stato venduto
Nel 2014, gli esperti di ICANN pubblicarono sulle collisioni dei nomi nel DNS. La ricerca è stata parzialmente finanziata dal Dipartimento della Sicurezza Nazionale degli Stati Uniti, poiché le fughe di informazioni da reti interne minacciano non solo le aziende commerciali, ma anche le organizzazioni governative, incluse le agenzie segrete, di intelligence e le unità militari.
Mike voleva vendere corp.com già l'anno scorso, ma il ricercatore Jeff Schmidt lo ha convinto a rinviare la vendita sulla base del rapporto appena menzionato. Dallo studio è emerso anche che quotidianamente 375.000 computer cercano di connettersi con corp.com senza la conoscenza dei proprietari. Nelle richieste c'erano tentativi di accedere a intranet aziendali, reti o risorse di file.
Nell'ambito di un esperimento interno, Schmidt insieme a JAS Global ha simulato su corp.com un metodo di elaborazione di file e richieste utilizzato nella rete locale di Windows. Con questo, hanno di fatto aperto un portale nell'inferno per qualsiasi specialista della sicurezza informatica:
È stato terribile. Abbiamo interrotto l'esperimento dopo 15 minuti e distrutto [tutti i dati raccolti]. Un noto tester che ha consulato JAS su questa questione ha osservato che l'esperimento era simile a una "pioggia di informazioni riservate" e che non aveva mai visto nulla di simile.
[Abbiamo configurato la ricezione di email su corp.com] e circa un'ora dopo abbiamo ricevuto oltre 12 milioni di email, dopo di che abbiamo interrotto l'esperimento. Anche se la stragrande maggioranza delle email era automatizzata, abbiamo scoperto che alcune erano sensibili [alla sicurezza] e quindi abbiamo distrutto l'intero set di dati senza ulteriori analisi.
Schmidt crede che gli amministratori di tutto il mondo abbiano, per decenni, inconsapevolmente preparato il botnet più pericoloso della storia. Centinaia di migliaia di computer di lavoro funzionanti in tutto il mondo sono pronti non solo a far parte del botnet, ma anche a fornire dati riservati sui loro proprietari e aziende. Tutto ciò che serve per sfruttarlo è controllare corp.com. Ogni macchina che si connette una sola volta alla rete aziendale, la cui Active Directory è stata configurata tramite //corp, diventa parte del botnet.
Microsoft ha ignorato il problema già 25 anni fa
Se pensate che Microsoft fosse all'oscuro del caos che circondava corp.com, vi sbagliate di grosso. con una pagina come questa, a cui gli utenti della beta di FrontPage '97 venivano indirizzati, in cui corp.com era indicato come URL predefinito:
Quando a Mike è davvero stancato, corp.com ha iniziato a reindirizzare gli utenti a un sito di sex shop. In risposta ha ricevuto migliaia di lettere scoraggiate da utenti che lui reindirizzava attraverso una copia a Bill Gates.
A proposito, Mike ha anche sollevato, per curiosità, un server di posta e ha ricevuto email riservate su corp.com. Ha cercato di risolvere questi problemi contattando le aziende, ma loro semplicemente non sapevano come sistemare la situazione:
Immediatamente ho cominciato a ricevere email riservate, tra cui versioni preliminari dei rapporti finanziari aziendali alla Commissione per i titoli e gli scambi degli Stati Uniti, rapporti sulle risorse umane e altre questioni spiacevoli. Per un po’ ho cercato di corrispondere con le aziende, ma la maggior parte di esse non sapeva cosa fare. Così, alla fine, ho semplicemente spento il [server di posta].
Dalla parte di MS non sono state intraprese azioni attive, e l'azienda si rifiuta di commentare la situazione. Sì, Microsoft ha rilasciato nel corso degli anni diversi aggiornamenti di Active Directory che in parte affrontano il problema delle collisioni dei nomi di dominio, ma presentano anche una serie di problemi. Inoltre, l'azienda ha rilasciato raccomandazioni linee guida sulla configurazione dei nomi di dominio interni, raccomandazioni per la proprietà del dominio di secondo livello per evitare collisioni e altri tutorial che solitamente non vengono letti.
Ma la cosa più importante risiede negli aggiornamenti. Primo: per applicarli, è necessario spegnere completamente l'intranet dell'azienda. Secondo: alcune applicazioni potrebbero iniziare a funzionare più lentamente, in modo errato, o smettere di funzionare del tutto dopo tali aggiornamenti. È chiaro che la maggior parte delle aziende con una rete aziendale consolidata non si avventurerebbe in tali rischi nel breve termine. Inoltre, molte di esse non sono nemmeno consapevoli dell'entità della minaccia che comporta il reindirizzamento di tutto a corp.com quando si porta un dispositivo al di fuori della rete interna.
Il massimo dell'ironia si raggiunge quando si visualizza . Così, secondo i suoi dati, alcune richieste a corp.com provengono dall'intranet della stessa Microsoft.
E cosa succederà dopo?
A prima vista, la soluzione a questa situazione è evidente ed è stata descritta all'inizio dell'articolo: Microsoft dovrebbe acquistare il dominio di Mike e proibire da qualche parte in un angolo remoto per sempre.
Ma non è tutto così semplice. Microsoft ha offerto a O'Connor di acquistare il suo dominio tossico per le aziende di tutto il mondo già qualche anno fa. Solo che ha proposto un gigante per chiudere tale falla nelle proprie reti per soli 20 mila dollari.
Adesso il dominio è in vendita per 1,7 milioni di dollari. E anche se Microsoft decidesse all'ultimo di acquistarlo, arriverà in tempo?
Solo gli utenti registrati possono partecipare al sondaggio. , per favore.
E tu come ti comporteresti al posto di O'Connor?
59,6%Facciamo che Microsoft acquisti il dominio per 1,7 milioni di dollari, oppure lo prenderà qualcun altro.
3,4%Lo venderei per 20 mila dollari, non voglio entrare nella storia come la persona che ha ceduto un dominio così importante a chissà chi.
3,3%Lo seppellirei da solo e per sempre, se Microsoft non riesce a prendere la decisione giusta.
21,2%Lo venderei appositamente a dei hacker con la condizione che distruggano la reputazione di Microsoft nel mondo corporate. Loro sapevano del problema fin dal 1997!
12,4%Avrei lanciato un botnet e un server di posta e avrei iniziato a decidere il destino del mondo.
Hanno votato 840 utenti. 131 utenti si sono astenuti.
Fonte: habr.com
