Schema di fuga dei dati tramite Web Proxy Auto-Discovery (WPAD) in caso di collisione dei nomi (in questo caso collisione tra il dominio interno e il nome di uno dei nuovi gTLD, ma il concetto rimane lo stesso). Fonte: , 2016
Mike O’Connor, uno dei più antichi investitori in nomi di dominio, il lotto più pericoloso e controverso della sua collezione: il dominio corp.com per $1,7 milioni. Nel 1994, O’Connor ha acquistato numerosi nomi di dominio semplici, come grill.com, place.com, pub.com e altri. Tra questi c'era anche corp.com, che Mike ha conservato per 26 anni. L'investitore ha già compiuto 70 anni e ha deciso di monetizzare i suoi investimenti di lunga data.
Il problema è che corp.com è potenzialmente pericoloso per almeno 375.000 computer aziendali a causa della configurazione negligente di Active Directory durante la costruzione di intranet aziendali all'inizio degli anni 2000 basate su Windows Server 2000, quando la radice interna veniva semplicemente indicata come «corp». Fino all'inizio degli anni 2010, ciò non costituiva un problema, ma con l'aumento dell'uso dei laptop nell'ambiente aziendale, sempre più dipendenti hanno iniziato a portare i propri computer di lavoro al di fuori della rete aziendale. Le peculiarità dell'implementazione di Active Directory portano al fatto che, anche senza una richiesta diretta dell'utente a \/\/corp, diverse applicazioni (ad esempio, la posta) si connettono autonomamente a quell'indirizzo familiare. Ma in caso di connessione esterna alla rete in un ipotetico caffè all'angolo, ciò porta a un flusso di dati e richieste verso corp.com.
Ora O’Connor spera vivamente che il dominio venga acquistato da Microsoft e che, nelle migliori tradizioni di Google, venga sepolto in un luogo oscuro e inaccessibile, risolvendo il problema con una vulnerabilità così fondamentale delle reti Windows.
Active Directory e collisione dei nomi
Nelle reti aziendali basate su Windows viene utilizzato il servizio directory Active Directory. Esso consente agli amministratori di utilizzare le policy di gruppo per garantire coerenza nella configurazione dell'ambiente di lavoro degli utenti, distribuire software su più computer tramite policy di gruppo, eseguire autorizzazioni e così via.
Il servizio Active Directory è integrato con DNS e funziona sopra TCP\/IP. Per la ricerca di nodi all'interno della rete viene utilizzato il protocollo di configurazione automatica del proxy Web Proxy Auto-Discovery (WAPD) e la funzione (integrato nel client DNS di Windows). Questa funzione semplifica la ricerca di altri computer o server senza dover specificare il nome di dominio completo.
Ad esempio, se un'azienda gestisce una rete interna chiamata internalnetwork.example.com, e un dipendente desidera accedere a una unità condivisa chiamata drive1, non è necessario digitare drive1.internalnetwork.example.com in Esplora file, basta digitare \drive1 — il client Windows DNS completerà automaticamente il nome.
Nelle versioni precedenti di Active Directory — come Windows 2000 Server — per il secondo livello del dominio aziendale era impostato per impostazione predefinita corp. E molte aziende hanno mantenuto il valore predefinito per il proprio dominio interno. Peggio ancora, molte hanno iniziato a costruire ampie reti su questa configurazione errata.
Ai tempi dei computer desktop, ciò non rappresentava un particolare problema di sicurezza, poiché nessuno portava questi computer al di fuori della rete aziendale. Ma cosa succede quando un dipendente, lavorando in un'azienda con un percorso di rete corp nel servizio Active Directory prende un laptop aziendale — e va in un Starbucks locale? Allora entra in gioco il protocollo di configurazione automatica del proxy Web Proxy Auto-Discovery (WPAD) e la funzione di devoluzione di nome DNS.
È probabile che alcuni servizi sul laptop continuino a cercare di accedere al dominio interno corp, ma non lo trovano, e invece le richieste vengono risolte nel dominio corp.com da internet aperto.
In pratica, ciò significa che il proprietario di corp.com può intercettare passivamente le richieste private di centinaia di migliaia di computer che accidentalmente si trovano al di fuori dell'ambiente aziendale che utilizza la designazione corp per il proprio dominio in Active Directory.
Fuga di richieste WPAD nel traffico americano. Da uno studio dell'Università del Michigan nel 2016,
Perché il dominio non è ancora stato venduto
Nel 2014, esperti di ICANN hanno pubblicato sulle collisioni di nomi nel DNS. La ricerca è stata parzialmente finanziata dal Ministero della Sicurezza Nazionale degli Stati Uniti, poiché le fughe di informazioni dalle reti interne rappresentano una minaccia non solo per le aziende private, ma anche per le organizzazioni governative, comprese le agenzie di intelligence e le unità militari.
Mike voleva vendere corp.com già l'anno scorso, ma il ricercatore Jeff Schmidt lo ha convinto a posticipare la vendita sulla base del suddetto rapporto. Nello studio è emerso anche che ogni giorno 375.000 computer tentano di connettersi a corp.com senza il consenso dei proprietari. Le richieste includevano tentativi di accesso a intranet aziendali, reti o risorse di file.
Nell'ambito del proprio esperimento, Schmidt, insieme a JAS Global, ha simulato su corp.com un metodo di elaborazione di file e richieste utilizzato da una rete locale Windows. Questo ha praticamente aperto un portale all'inferno per qualsiasi specialista della sicurezza informatica:
È stato orribile. Abbiamo interrotto l'esperimento dopo 15 minuti e distrutto [tutti i dati raccolti]. Un noto tester, che ha consigliato JAS su questa questione, ha osservato che l'esperimento era simile a "una pioggia di informazioni sensibili" e che non aveva mai visto nulla di simile.
[Abbiamo configurato la ricezione della posta su corp.com] e dopo circa un'ora abbiamo ricevuto oltre 12 milioni di email, dopodiché abbiamo interrotto l'esperimento. Anche se la grande maggioranza delle email era automatizzata, abbiamo scoperto che alcune di esse contenevano informazioni [sensibili per la sicurezza] e quindi abbiamo distrutto l'intero set di dati senza ulteriori analisi.
Schmidt ritiene che gli amministratori di tutto il mondo, per decenni, senza saperlo, abbiano preparato il botnet più pericoloso della storia. Centinaia di migliaia di computer di lavoro in tutto il mondo sono pronti non solo a far parte del botnet, ma anche a fornire informazioni riservate sui propri proprietari e azienda. Tutto ciò che serve per approfittarne è controllare corp.com. In questo modo, ogni macchina connessa almeno una volta alla rete aziendale, la cui Active Directory è stata configurata tramite \/\/corp, diventa parte del botnet.
Microsoft ha "ignorato" il problema già 25 anni fa
Se pensate che MS fosse, in qualche modo, all'oscuro della vacanza intorno a corp.com, vi sbagliate di grosso. con una pagina simile, alla quale accedevano gli utenti della beta di FrontPage '97, in cui corp.com era indicato come URL predefinito:
Quando a Mike questa situazione è diventata insopportabile, corp.com ha iniziato a reindirizzare gli utenti a un sito di sex shop. In risposta ha ricevuto migliaia di lettere indignate da utenti che venivano reindirizzati attraverso una copia di Bill Gates.
A proposito, Mike ha anche attivato per curiosità un server di posta e ha ricevuto lettere riservate su corp.com. Ha cercato di risolvere i problemi contattando le aziende, ma lì semplicemente non sapevano come affrontare la situazione:
Immediatamente ho iniziato a ricevere e-mail riservate, compresi i draft preliminari di rapporti finanziari aziendali per la Commissione per i Titoli e gli Scambi degli Stati Uniti, rapporti sulle risorse umane e altre cose inquietanti. Per un po' ho cercato di comunicare con le aziende, ma la maggior parte di esse non sapeva cosa fare. Così, alla fine, ho semplicemente spento [il server di posta].
Dalla parte di MS non sono state intraprese azioni attive e l'azienda si rifiuta di commentare la situazione. Sì, Microsoft negli anni ha rilasciato alcuni aggiornamenti di Active Directory che affrontano parzialmente il problema delle collisioni dei nomi di dominio, tuttavia presentano alcuni problemi. L'azienda ha anche rilasciato raccomandazioni guide per la configurazione dei nomi di dominio interni, raccomandazioni sulla proprietà dei domini di secondo livello per evitare collisioni e altri tutorial che di solito non vengono letti.
Ma il punto più importante riguarda gli aggiornamenti. Primo: per applicarli, bisogna spegnere completamente l'intranet dell'azienda. Secondo: alcune applicazioni dopo tali aggiornamenti possono iniziare a funzionare più lentamente, in modo errato o smettere di funzionare del tutto. È chiaro che la maggior parte delle aziende con una rete aziendale consolidata non correrà tali rischi a breve termine. Inoltre, molte di esse non sono nemmeno consapevoli dell'entità della minaccia, che comporta il reindirizzamento di tutto e di tutti su corp.com quando si estrae la macchina dalla rete interna.
Il massimo dell'ironia si raggiunge quando si visualizza . Secondo i suoi dati, alcune richieste a corp.com provengono dall'intranet della stessa Microsoft.
E cosa succederà dopo?
Sembrerebbe che la soluzione a questa situazione sia ovvia e sia stata descritta all'inizio dell'articolo: lasciare che Microsoft acquisti il dominio di Mike e vietarlo in qualche oscuro angolo per sempre.
Ma non è tutto così semplice. Microsoft ha offerto a O'Connor di riacquistare il suo dominio tossico per le aziende di tutto il mondo già alcuni anni fa. Solo che il gigante ha proposto solo $20.000 per chiudere una simile falla nelle sue reti..
Ora il dominio è in vendita per $1,7 milioni. E anche se Microsoft decidesse all'ultimo momento di riacquistarlo, riusciranno?
Solo gli utenti registrati possono partecipare al sondaggio. , per favore.
E voi come vi comportereste al posto di O'Connor?
59,6%Lasciate che Microsoft compri il dominio per $1,7 milioni o che lo compri qualcun altro.
3,4%Io lo venderei per $20.000, non voglio entrare nella storia come la persona che ha ceduto un dominio del genere a chissà chi.
3,3%Lo seppellirei io stesso per sempre, se Microsoft non è in grado di prendere la decisione giusta.
21,2%Lo venderei apposta a hacker garantendo che distruggano la reputazione di Microsoft nell'ambiente aziendale. Sapevano del problema dal 1997!
12,4%Avrei creato un botnet e un server di posta io stesso per decidere le sorti del mondo.
840 utenti hanno votato. 131 utenti si sono astenuti.
Fonte: habr.com
