הדומיין corp.com עומד למכירה. זה מסוכן למאות אלפי מחשבים ארגוניים שבהם פועל Windows

תכנית דליפת נתונים דרך Web Proxy Auto-Discovery (WPAD) עקב התנגשות שמות (במקרה זה, התנגשות של תחום פנימי עם השם של אחד מה-gTLDs החדשים, אבל המהות זהה). מָקוֹר: מחקר באוניברסיטת מישיגן, 2016

מייק אוקונור, אחד המשקיעים הוותיקים בשמות דומיין, מעמיד למכירה המגרש הכי מסוכן ושנוי במחלוקת באוסף שלו: תחום corp.com תמורת 1,7 מיליון דולר. בשנת 1994, אוקונור קנה שמות מתחם פשוטים רבים, כגון grill.com, place.com, pub.com ואחרים. ביניהם היה corp.com, אותו שמר מייק במשך 26 שנים. המשקיע כבר היה בן 70 והחליט להרוויח כסף מההשקעות הישנות שלו.

הבעיה היא ש-corp.com הוא פוטנציאלי מסוכן עבור לפחות 375 מחשבים ארגוניים בגלל התצורה הרשלנית של Active Directory במהלך בניית אינטראנטים ארגוניים בתחילת שנות ה-000 המבוססות על Windows Server 2000, כאשר השורש הפנימי צוין בפשטות כ"corp ." עד תחילת שנות ה-2010, זה לא היה בעיה, אבל עם עליית המחשבים הניידים בסביבות עסקיות, יותר ויותר עובדים החלו להעביר את מחשבי העבודה שלהם אל מחוץ לרשת הארגונית. תכונות הטמעת Active Directory מובילות לכך שגם ללא בקשת משתמש ישירה אל //corp, מספר יישומים (לדוגמה, דואר) דופקים בעצמם כתובת מוכרת. אבל במקרה של חיבור חיצוני לרשת בבית קפה קונבנציונלי מעבר לפינה, זה מוביל לזרם של נתונים ובקשות לזרם corp.com.

כעת אוקונור באמת מקווה שמיקרוסופט בעצמה תרכוש את הדומיין, ובמיטב המסורת של גוגל, תרקב אותו במקום חשוך ובלתי נגיש לגורמים מבחוץ, הבעיה עם פגיעות כה בסיסית של רשתות Windows תיפתר.

התנגשות Active Directory ושמות

רשתות ארגוניות שבהן פועלות Windows משתמשות בשירות הספריות של Active Directory. היא מאפשרת למנהלי מערכת להשתמש במדיניות קבוצתית כדי להבטיח תצורה אחידה של סביבת העבודה של המשתמש, לפרוס תוכנות במספר מחשבים באמצעות מדיניות קבוצתית, לבצע הרשאות וכו'.

Active Directory משולבת עם DNS ופועלת על גבי TCP/IP. כדי לחפש מארחים בתוך הרשת, פרוטוקול Web Proxy Auto-Discovery (WAPD) והפונקציה האצלת שם DNS (מובנה ב-Windows DNS Client). תכונה זו מקלה על מציאת מחשבים או שרתים אחרים מבלי לספק שם דומיין מוסמך מלא.

לדוגמה, אם חברה מפעילה רשת פנימית בשם internalnetwork.example.com, והעובד רוצה לגשת לאחסון שיתופי שנקרא drive1, אין צורך להיכנס drive1.internalnetwork.example.com בסייר, פשוט הקלד \drive1 - ולקוח ה-DNS של Windows ישלים את השם עצמו.

בגירסאות קודמות של Active Directory - לדוגמה, Windows 2000 Server - ברירת המחדל עבור הדומיין הארגוני ברמה השנייה הייתה corp. וחברות רבות שמרו על ברירת המחדל עבור התחום הפנימי שלהן. גרוע מכך, רבים החלו לבנות רשתות עצומות על גבי ההתקנה הפגומה הזו.

בימי המחשבים השולחניים, זו לא הייתה בעיה גדולה של אבטחה מכיוון שאף אחד לא הוציא את המחשבים האלה מחוץ לרשת הארגונית. אבל מה קורה כשעובד עובד בחברה עם נתיב רשת corp ב-Active Directory לוקח מחשב נייד ארגוני והולך לסטארבקס המקומי? אז פרוטוקול Web Proxy Auto-Discovery (WPAD) ופונקציית האצלת שם DNS נכנסים לתוקף.

ישנה סבירות גבוהה ששירותים מסוימים במחשב הנייד ימשיכו לדפוק על התחום הפנימי corp, אך לא ימצא אותו, ובמקום זאת בקשות ייפתרו לדומיין corp.com מהאינטרנט הפתוח.

בפועל, זה אומר שהבעלים של corp.com יכול ליירט באופן פסיבי בקשות פרטיות ממאות אלפי מחשבים שיוצאים בטעות מהסביבה הארגונית באמצעות הייעוד corp עבור הדומיין שלך ב-Active Directory.

דליפה של בקשות WPAD בתעבורה אמריקאית. ממחקר מאוניברסיטת מישיגן ב-2016, מקור

מדוע הדומיין עדיין לא נמכר?

בשנת 2014 פרסמו מומחי ICANN מחקר נהדר התנגשויות שמות ב-DNS. המחקר מומן בחלקו על ידי המחלקה לביטחון המולדת של ארה"ב מכיוון שדליפות מידע מרשתות פנימיות מאיימות לא רק על חברות מסחריות, אלא גם על ארגונים ממשלתיים, כולל השירות החשאי, סוכנויות מודיעין וזרועות צבאיות.

מייק רצה למכור את corp.com בשנה שעברה, אבל החוקר ג'ף שמידט שכנע אותו לעכב את המכירה על סמך הדיווח הנ"ל. המחקר מצא גם כי 375 מחשבים מנסים ליצור קשר עם corp.com מדי יום ללא ידיעת בעליהם. הבקשות הכילו ניסיונות להתחבר לאינטראנטים של החברה, גישה לרשתות או שיתופי קבצים.

כחלק מהניסוי שלו, שמידט, יחד עם JAS Global, חיקה ב-corp.com את האופן שבו Windows LAN מעבד קבצים ובקשות. בכך הם למעשה פתחו פורטל לעזאזל לכל מומחה אבטחת מידע:

זה היה נורא. הפסקנו את הניסוי לאחר 15 דקות והשמדנו את כל הנתונים שהושגו. בוחן ידוע שייעץ ל-JAS בנושא זה ציין שהניסוי היה כמו "גשם של מידע סודי" ושהוא מעולם לא ראה דבר כזה.

[הקמנו קבלת דואר ב-corp.com] ולאחר כשעה קיבלנו למעלה מ-12 מיליון מיילים, ולאחר מכן הפסקנו את הניסוי. למרות שהרוב המכריע של המיילים היו אוטומטיים, גילינו שחלקם היו רגישים [אבטחה] ולכן הרסנו את כל מערך הנתונים ללא ניתוח נוסף.

שמידט מאמין שמנהלי מערכת ברחבי העולם מכינים מבלי לדעת את הבוטנט המסוכן ביותר בהיסטוריה במשך עשרות שנים. מאות אלפי מחשבים עובדים מלאים ברחבי העולם מוכנים לא רק להפוך לחלק מרשת בוט, אלא גם לספק נתונים סודיים על בעליהם וחברותיהם. כל מה שאתה צריך לעשות כדי לנצל את זה הוא control corp.com. במקרה זה, כל מכונה שמחוברת פעם אחת לרשת הארגונית, שה-Active Directory שלה הוגדרה באמצעות //corp, הופכת לחלק מהבוטנט.

מיקרוסופט ויתרה על הבעיה לפני 25 שנה

אם אתה חושב ש-MS לא הייתה מודעת איכשהו לבקצ'אנליה המתמשכת סביב corp.com, אז אתה טועה ברצינות. מייק טרל את מיקרוסופט וביל גייטס באופן אישי ב-1997זה הדף שמשתמשים בגרסת הבטא של FrontPage '97 נחתו בו, כאשר corp.com רשומה ככתובת ברירת המחדל:

כאשר למייק נמאס מזה, corp.com החל להפנות משתמשים לאתר של חנות המין. בתגובה, הוא קיבל אלפי מכתבים זועמים ממשתמשים, אותם הפנה באמצעות עותק לביל גייטס.

אגב, מייק עצמו, מתוך סקרנות, הקים שרת דואר וקיבל מכתבים חסויים באתר corp.com. הוא ניסה לפתור את הבעיות הללו בעצמו באמצעות פנייה לחברות, אך הן פשוט לא ידעו כיצד לתקן את המצב:

מיד התחלתי לקבל אימיילים חסויים, כולל גרסאות ראשוניות של דוחות כספיים תאגידיים לרשות ניירות ערך בארה"ב, דוחות משאבי אנוש ועוד דברים מפחידים. ניסיתי זמן מה להתכתב עם תאגידים, אבל רובם לא ידעו מה לעשות עם זה. אז סוף סוף פשוט כיביתי אותו [שרת הדואר].

מ.ס לא נקטה כל פעולה אקטיבית, והחברה מסרבת להגיב על המצב. כן, מיקרוסופט פרסמה כמה עדכוני Active Directory במהלך השנים שמטפלים באופן חלקי בבעיית ההתנגשות של שמות דומיין, אבל יש להם מספר בעיות. החברה גם הפיקה המלצות על הגדרת שמות דומיין פנימיים, המלצות על בעלות על דומיין ברמה שנייה כדי למנוע התנגשויות, ומדריכים אחרים שבדרך כלל לא נקראים.

אבל הדבר החשוב ביותר טמון בעדכונים. ראשית: כדי ליישם אותם, אתה צריך להוריד לחלוטין את האינטראנט של החברה. שנית: לאחר עדכונים כאלה, אפליקציות מסוימות עשויות להתחיל לעבוד לאט יותר, בצורה שגויה או להפסיק לפעול לחלוטין. ברור שרוב החברות עם רשת ארגונית בנויה לא ייקחו סיכונים כאלה בטווח הקצר. בנוסף, רבים מהם אפילו לא מבינים את מלוא היקף האיום הכרוך בהפניה מחדש של הכל ל-corp.com כאשר המכשיר נלקח מחוץ לרשת הפנימית.

אירוניה מירבית מושגת כאשר אתה צופה דוח מחקר התנגשות שם דומיין של שמידט. אז לפי הנתונים שלו, חלק מהבקשות ל-corp.com מגיעות מהאינטראנט של מיקרוסופט עצמה.

ומה יקרה אחר כך?

נראה שהפתרון למצב הזה נמצא על פני השטח ותואר בתחילת המאמר: תן למיקרוסופט לקנות ממנו את הדומיין של מייק ולאסור אותו איפשהו בארון מרוחק לנצח.

אבל זה לא כל כך פשוט. מיקרוסופט הציעה לאוקונור לרכוש את הדומיין הרעיל שלו עבור חברות ברחבי העולם לפני מספר שנים. זה פשוט הענקית הציעה רק 20 אלף דולר עבור סגירת חור כזה ברשתות שלה.

כעת הדומיין מוצע תמורת 1,7 מיליון דולר, וגם אם מיקרוסופט תחליט לקנות אותו ברגע האחרון, האם יהיה להם זמן?

רק משתמשים רשומים יכולים להשתתף בסקר. להתחברבבקשה.

מה היית עושה אילו היית אוקונור?

• 59,6%תן למיקרוסופט לקנות את הדומיין תמורת 1,7 מיליון דולר, או תן למישהו אחר לקנות אותו.501

• 3,4%הייתי מוכר אותו ב-20 אלף דולר; אני לא רוצה להיכנס להיסטוריה בתור האדם שהדליף דומיין כזה למישהו לא ידוע.29

• 3,3%הייתי קובר את זה בעצמי לנצח אם מיקרוסופט לא תוכל לקבל את ההחלטה הנכונה.28

• 21,2%הייתי מוכר במיוחד את הדומיין להאקרים בתנאי שהם יהרסו את המוניטין של מיקרוסופט בסביבה הארגונית. הם יודעים על הבעיה מאז 1997!178

• 12,4%הייתי מקים בעצמי שרת בוטנט + דואר ומתחיל להכריע את גורל העולם.104

840 משתמשים הצביעו. משתמש אחד נמנע.

מקור: www.habr.com