corp.com 도메인이 판매 중입니다. Windows를 실행하는 수십만 대의 기업 컴퓨터에는 위험합니다.

이름 충돌로 인한 WPAD(웹 프록시 자동 검색)를 통한 데이터 유출 계획(이 경우 내부 도메인과 새 gTLD 중 하나의 이름이 충돌하지만 본질은 동일함) 원천: 미시간대학교 연구, 2016

도메인 이름 분야의 가장 오래된 투자자 중 한 명인 Mike O'Connor는 매물로 내놓는다 컬렉션에서 가장 위험하고 논란이 많은 부분: 도메인 corp.com 1,7만 달러에 1994년에 O'Connor는 grill.com, place.com, pub.com 등과 같은 간단한 도메인 이름을 많이 구입했습니다. 그 중에는 Mike가 26년 동안 운영했던 corp.com도 있었습니다. 그 투자자는 이미 70세였고 그의 오래된 투자를 수익화하기로 결정했습니다.

문제는 375년대 초반 윈도우 서버 000 기반 기업 인트라넷 구축 과정에서 단순히 내부 루트를 'corp'로 지정했을 때, 부주의한 Active Directory 구성으로 인해 최소 2000대의 기업 컴퓨터에 corp.com이 잠재적으로 위험할 수 있다는 점이다. .” 2010년대 초반까지는 이것이 문제가 되지 않았지만, 비즈니스 환경에서 노트북이 증가하면서 점점 더 많은 직원들이 업무용 컴퓨터를 기업 네트워크 외부로 옮기기 시작했습니다. Active Directory 구현의 특징은 사용자가 //corp에 직접 요청하지 않아도 여러 응용 프로그램(예: 메일)이 스스로 익숙한 주소를 노크한다는 사실로 이어집니다. 하지만 모퉁이에 있는 기존 카페에서 네트워크에 대한 외부 연결의 경우 이로 인해 데이터 스트림과 요청이 쏟아져 나옵니다. corp.com.

이제 O'Connor는 Microsoft 자체가 도메인을 구매하고 Google의 최고의 전통에 따라 도메인을 어둡고 외부인이 접근할 수 없는 곳에서 썩게 하여 Windows 네트워크의 근본적인 취약성 문제가 해결되기를 진심으로 바라고 있습니다.

Active Directory와 이름 충돌

Windows를 실행하는 기업 네트워크는 Active Directory 디렉터리 서비스를 사용합니다. 이를 통해 관리자는 그룹 정책을 사용하여 사용자 작업 환경의 균일한 구성을 보장하고, 그룹 정책을 통해 여러 컴퓨터에 소프트웨어를 배포하고, 인증을 수행하는 등의 작업을 수행할 수 있습니다.

Active Directory는 DNS와 통합되어 TCP/IP 위에서 실행됩니다. 네트워크 내에서 호스트를 검색하려면 WAPD(Web Proxy Auto-Discovery) 프로토콜과 기능이 필요합니다. DNS 이름 축소 (Windows DNS 클라이언트에 내장됨) 이 기능을 사용하면 정규화된 도메인 이름을 제공하지 않고도 다른 컴퓨터나 서버를 쉽게 찾을 수 있습니다.

예를 들어 회사에서 내부 네트워크를 운영하는 경우 internalnetwork.example.com, 직원은 다음과 같은 공유 드라이브에 액세스하려고 합니다. drive1, 입력할 필요가 없습니다. drive1.internalnetwork.example.com 탐색기에서 \drive1을 입력하면 Windows DNS 클라이언트가 이름 자체를 완성합니다.

이전 버전의 Active Directory(예: Windows 2000 Server)에서 두 번째 수준 회사 도메인의 기본값은 corp. 그리고 많은 회사에서는 내부 도메인에 대해 기본값을 유지해 왔습니다. 더 나쁜 것은 많은 사람들이 이 결함이 있는 설정 위에 대규모 네트워크를 구축하기 시작했다는 것입니다.

데스크톱 컴퓨터 시대에는 아무도 이러한 컴퓨터를 회사 네트워크 외부로 가져가지 않았기 때문에 이는 보안 문제가 되지 않았습니다. 그런데 직원이 네트워크 경로가 있는 회사에서 근무하면 어떻게 될까요? corp Active Directory에서 회사 노트북을 들고 동네 스타벅스에 가시나요? 그러면 WPAD(웹 프록시 자동 검색) 프로토콜과 DNS 이름 계승 기능이 적용됩니다.

노트북의 일부 서비스가 내부 도메인을 계속 노크할 가능성이 높습니다. corp, 그러나 해당 도메인을 찾지 못하고 대신 공개 인터넷에서 corp.com 도메인으로 요청이 해결됩니다.

실제로 이는 corp.com의 소유자가 해당 지정을 사용하여 실수로 회사 환경을 떠나는 수십만 대의 컴퓨터에서 개인 요청을 수동적으로 가로챌 수 있음을 의미합니다. corp Active Directory의 도메인에 대해.

미국 트래픽에서 WPAD 요청 누출. 2016년 미시간 대학교 연구에서, 출처

도메인이 아직 판매되지 않은 이유는 무엇입니까?

2014년에 ICANN 전문가들은 다음과 같은 내용을 발표했습니다. 훌륭한 연구 DNS의 이름 충돌. 내부 네트워크에서 정보가 유출되면 상업 기업뿐 아니라 비밀경호국, 정보기관, 군부대 등 정부 기관도 위협을 받기 때문에 이 연구는 미국 국토안보부에서 부분적으로 자금을 지원받았습니다.

Mike는 작년에 corp.com을 매각하고 싶었지만 연구원 Jeff Schmidt는 앞서 언급한 보고서를 토대로 매각을 연기하도록 그를 설득했습니다. 또한 연구에 따르면 375대의 컴퓨터가 소유자 모르게 매일 corp.com에 접속하려고 시도하는 것으로 나타났습니다. 요청에는 기업 인트라넷에 로그인하거나 네트워크에 액세스하거나 파일 공유에 대한 시도가 포함되었습니다.

Schmidt는 자신의 실험의 일환으로 JAS Global과 함께 Windows LAN이 파일과 요청을 처리하는 방식을 corp.com에서 모방했습니다. 이를 통해 실제로 정보 보안 전문가에게 지옥으로 가는 문을 열었습니다.

그것은 끔찍했다. 우리는 15분 후에 실험을 중단하고 [얻은] 데이터를 모두 파기했습니다. 이 문제에 대해 JAS에 조언한 유명한 테스터는 실험이 "기밀 정보의 비"와 같았으며 이와 같은 것을 본 적이 없다고 말했습니다.

[corp.com에 메일 수신을 설정했습니다.] 그리고 약 한 시간 후에 12만 개가 넘는 이메일을 받았고 그 후 실험을 중단했습니다. 대부분의 이메일은 자동화되었지만 일부는 [보안]에 민감하다는 사실을 발견하여 추가 분석 없이 전체 데이터 세트를 파기했습니다.

Schmidt는 전 세계 관리자들이 수십 년 동안 역사상 가장 위험한 봇넷을 무의식적으로 준비해 왔다고 믿습니다. 전 세계 수십만 대의 제대로 작동하는 컴퓨터는 봇넷의 일부가 될 뿐만 아니라 소유자와 회사에 대한 기밀 데이터를 제공할 준비도 되어 있습니다. 이를 활용하기 위해 해야 할 일은 control corp.com뿐입니다. 이 경우 //corp를 통해 Active Directory가 구성된 회사 네트워크에 연결된 모든 시스템은 봇넷의 일부가 됩니다.

마이크로소프트는 25년 전에 이 문제를 포기했다

MS가 corp.com 주변에서 진행 중인 바카날리아(bacchanalia)를 인식하지 못했다고 생각한다면 심각한 착각입니다. Mike는 1997년에 개인적으로 Microsoft와 Bill Gates를 트롤링했습니다.다음은 FrontPage '97 베타 버전 사용자가 방문한 페이지이며 corp.com이 기본 URL로 나열되어 있습니다.

Mike가 이에 지쳤을 때 corp.com은 사용자를 섹스샵 웹사이트로 리디렉션하기 시작했습니다. 이에 대한 응답으로 그는 사용자들로부터 수천 통의 화난 편지를 받았고, 그 편지를 빌 게이츠에게 전달했습니다.

그건 그렇고, Mike 자신은 호기심에 메일 서버를 설정하고 corp.com에서 기밀 편지를 받았습니다. 그는 회사에 연락하여 이러한 문제를 직접 해결하려고 노력했지만 상황을 해결하는 방법을 몰랐습니다.

즉시 저는 미국 증권거래위원회에 제출되는 기업 재무 보고서의 예비 버전, 인사 보고서 및 기타 무서운 내용을 포함한 기밀 이메일을 받기 시작했습니다. 한동안 기업들과 연락을 시도했지만 대부분 어떻게 해야할지 몰랐습니다. 그래서 마침내 [메일 서버]를 껐습니다.

MS는 어떠한 적극적인 조치도 취하지 않았으며, 회사에서도 해당 상황에 대한 언급을 거부하고 있습니다. 예, Microsoft는 수년에 걸쳐 도메인 이름 충돌 문제를 부분적으로 해결하는 여러 Active Directory 업데이트를 출시했지만 여기에는 여러 가지 문제가 있습니다. 이 회사도 생산 추천 내부 도메인 이름 설정, 충돌 방지를 위한 두 번째 수준 도메인 소유에 대한 권장 사항 및 일반적으로 읽지 않는 기타 자습서에 대해 설명합니다.

하지만 가장 중요한 것은 업데이트에 있습니다. 첫째, 이를 적용하려면 회사 인트라넷을 완전히 내려놓아야 합니다. 둘째: 이러한 업데이트 후에 일부 응용 프로그램은 느리게 작동하거나 부정확하게 작동하거나 완전히 작동을 멈출 수 있습니다. 기업 네트워크가 구축된 대부분의 기업은 단기적으로 이러한 위험을 감수하지 않을 것이 분명합니다. 또한 그들 중 많은 사람들은 기계가 내부 네트워크 외부로 이동될 때 모든 것을 corp.com으로 리디렉션하는 위협의 전체 규모를 인식하지 못합니다.

볼 때 최대의 아이러니가 달성됩니다 슈미트 도메인 이름 충돌 연구 보고서. 그래서 그의 데이터에 따르면, corp.com에 대한 일부 요청은 Microsoft 자체 인트라넷에서 발생합니다.

그리고 다음에 어떤 일이 일어날 것입니까?

이 상황에 대한 해결책은 표면에 있는 것으로 보이며 기사 시작 부분에 설명되어 있습니다. Microsoft가 Mike의 도메인을 그에게서 구입하고 원격 벽장 어딘가에서 그를 영원히 금지하도록 하십시오.

그러나 그렇게 간단하지는 않습니다. Microsoft는 몇 년 전에 O'Connor에게 전 세계 기업을 위해 자신의 독성 도메인을 매입하도록 제안했습니다. 그건 그냥 이 거대 기업은 자체 네트워크의 구멍을 막는 대가로 20만 달러만 제안했습니다..

이제 도메인이 1,7만 달러에 제공되는데, 마이크로소프트가 마지막 순간에 도메인을 구매하기로 결정하더라도 시간이 있을까요?

등록된 사용자만 설문 조사에 참여할 수 있습니다. 로그인제발

당신이 오코너라면 어떻게 하시겠습니까?

• 59,6%Microsoft가 도메인을 1,7만 달러에 구매하거나 다른 사람이 구매하도록 하세요.501

• 3,4%20만 달러에 팔겠습니다. 그런 도메인을 모르는 사람에게 유출한 사람으로 역사에 기록되고 싶지 않습니다.29

• 3,3%Microsoft가 올바른 결정을 내릴 수 없다면 나는 그것을 영원히 묻어버릴 것입니다.28

• 21,2%나는 기업 환경에서 Microsoft의 평판을 파괴한다는 조건으로 해커에게 도메인을 특별히 판매할 것입니다. 그들은 1997년부터 이 문제에 대해 알고 있었습니다!178

• 12,4%나는 봇넷 + 메일 서버를 직접 설치하고 세상의 운명을 결정하기 시작할 것입니다.104

840명의 사용자가 투표했습니다. 131명의 사용자가 기권했습니다.

출처 : habr.com