Duomenų nutekėjimo per žiniatinklio tarpinio serverio automatinį aptikimą (WPAD) schema dėl vardo susidūrimo (šiuo atveju vidinio domeno susidūrimas su vieno iš naujų gTLD pavadinimu, tačiau esmė ta pati). Šaltinis: , 2016
Mike'as O'Connoras, vienas seniausių investuotojų į domenų vardus, pavojingiausia ir prieštaringiausia jo rinkinio dalis: domenas corp.com 1,7 mln. Tarp jų buvo corp.com, kurį Mike'as saugojo 1994 metus. Investuotojui jau buvo 26 metų ir jis nusprendė užsidirbti pinigų iš savo senų investicijų.
Problema ta, kad corp.com yra potencialiai pavojingas mažiausiai 375 000 įmonių kompiuterių dėl neatsargios Active Directory konfigūracijos kuriant įmonės intranetus 2000-ųjų pradžioje remiantis Windows Server 2010, kai vidinė šaknis buvo tiesiog nurodyta kaip "corp. . Iki XNUMX-ųjų pradžios tai nebuvo problema, tačiau verslo aplinkoje išpopuliarėjus nešiojamiesiems kompiuteriams, vis daugiau darbuotojų pradėjo perkelti savo darbo kompiuterius už įmonės tinklo ribų. „Active Directory“ diegimo ypatybės lemia tai, kad net ir be tiesioginio vartotojo užklausos //corp, daugybė programų (pavyzdžiui, paštas) pačios pasibeldžia į pažįstamą adresą. Tačiau išorinio prisijungimo prie tinklo atveju įprastoje kavinėje už kampo tai sukelia duomenų ir užklausų srautą. corp.com.
Dabar O’Connoras labai tikisi, kad pati Microsoft nupirks domeną ir pagal geriausias Google tradicijas supūs kur nors tamsioje ir pašaliniams nepasiekiamoje vietoje, problema dėl tokio esminio Windows tinklų pažeidžiamumo bus išspręsta.
Active Directory ir vardo susidūrimas
Įmonių tinklai, kuriuose veikia „Windows“, naudoja „Active Directory“ katalogo paslaugą. Ji leidžia administratoriams naudoti grupės strategijas, kad užtikrintų vienodą vartotojo darbo aplinkos konfigūraciją, diegti programinę įrangą keliuose kompiuteriuose taikant grupės strategijas, atlikti autorizaciją ir pan.
Active Directory yra integruotas su DNS ir veikia TCP/IP viršuje. Norėdami tinkle ieškoti prieglobos, žiniatinklio tarpinio serverio automatinio aptikimo (WAPD) protokolo ir funkcijos (įtaisyta į Windows DNS klientą). Ši funkcija leidžia lengvai rasti kitus kompiuterius ar serverius, nenurodant visiškai tinkamo domeno pavadinimo.
Pavyzdžiui, jei įmonė valdo vidinį tinklą, pavadintą internalnetwork.example.com, o darbuotojas nori pasiekti bendrą diską, vadinamą drive1, įvesti nereikia drive1.internalnetwork.example.com „Explorer“ tiesiog įveskite \drive1 – ir „Windows“ DNS klientas užbaigs pavadinimą.
Ankstesnėse „Active Directory“ versijose, pavyzdžiui, „Windows 2000 Server“, antrojo lygio įmonės domenas buvo numatytasis corp. Ir daugelis įmonių išlaikė numatytuosius savo vidinio domeno nustatymus. Dar blogiau, kad daugelis pradėjo kurti didžiulius tinklus ant šios ydingos sąrankos.
Stalinių kompiuterių laikais tai nebuvo didelė saugumo problema, nes niekas šių kompiuterių nepaėmė už įmonės tinklo. Bet kas atsitinka, kai darbuotojas dirba įmonėje, turinčioje tinklo kelią corp „Active Directory“ paima įmonės nešiojamąjį kompiuterį ir nueina į vietinį „Starbucks“? Tada įsigalios žiniatinklio tarpinio serverio automatinio aptikimo (WPAD) protokolas ir DNS vardo perdavimo funkcija.
Didelė tikimybė, kad kai kurios nešiojamojo kompiuterio paslaugos ir toliau smogs į vidinį domeną corp, bet jo neras, o užklausos bus sprendžiamos į corp.com domeną iš atviro interneto.
Praktiškai tai reiškia, kad corp.com savininkas gali pasyviai perimti privačias užklausas iš šimtų tūkstančių kompiuterių, kurie netyčia palieka įmonės aplinką, naudodamas pavadinimą corp jūsų domenui „Active Directory“.
WPAD užklausų nutekėjimas Amerikos sraute. Iš Mičigano universiteto 2016 m.
Kodėl domenas dar neparduotas?
ICANN ekspertai paskelbė 2014 m vardų susidūrimai DNS. Tyrimą iš dalies finansavo JAV Tėvynės saugumo departamentas, nes informacijos nutekėjimas iš vidinių tinklų kelia grėsmę ne tik komercinėms įmonėms, bet ir vyriausybinėms organizacijoms, įskaitant Slaptąją tarnybą, žvalgybos agentūras ir karinius padalinius.
Mike'as praėjusiais metais norėjo parduoti corp.com, tačiau tyrėjas Jeffas Schmidtas įtikino jį atidėti pardavimą, remdamasis minėta ataskaita. Tyrimas taip pat parodė, kad 375 000 kompiuterių kiekvieną dieną bando susisiekti su corp.com be savininkų žinios. Užklausose buvo bandoma prisijungti prie įmonės intraneto, prieigos tinklų arba bendrinamų failų.
Vykdydamas savo eksperimentą, Schmidtas kartu su „JAS Global“ svetainėje corp.com imitavo būdą, kaip „Windows LAN“ apdoroja failus ir užklausas. Tai darydami jie iš tikrųjų atidarė portalą į pragarą bet kuriam informacijos saugos specialistui:
Tai buvo siaubinga. Sustabdėme eksperimentą po 15 minučių ir sunaikinome [visus gautus] duomenis. Žinomas bandytojas, konsultavęs JAS šiuo klausimu, pažymėjo, kad eksperimentas buvo tarsi „konfidencialios informacijos lietus“ ir kad jis niekada nebuvo matęs nieko panašaus.
[Svetainėje corp.com nustatėme laiškų priėmimą] ir maždaug po valandos gavome daugiau nei 12 milijonų el. laiškų, po kurių eksperimentą nutraukėme. Nors didžioji dauguma el. laiškų buvo automatizuoti, mes nustatėme, kad kai kurie buvo [saugumo] jautrūs, todėl sunaikinome visą duomenų rinkinį be papildomos analizės.
Schmidtas mano, kad administratoriai visame pasaulyje dešimtmečius nesąmoningai rengė pavojingiausią botnetą istorijoje. Šimtai tūkstančių pilnai veikiančių kompiuterių visame pasaulyje yra pasirengę ne tik tapti botneto dalimi, bet ir pateikti konfidencialius duomenis apie savo savininkus ir įmones. Viskas, ką jums reikia padaryti, kad juo pasinaudotumėte, yra control corp.com. Tokiu atveju bet kuris kompiuteris, kuris vieną kartą buvo prijungtas prie įmonės tinklo, kurio „Active Directory“ buvo sukonfigūruotas per //corp, tampa robotų tinklo dalimi.
„Microsoft“ atsisakė šios problemos prieš 25 metus
Jei manote, kad MS kažkodėl nežinojo apie besitęsiančias bakchanalijas aplink corp.com, tada jūs rimtai klystate. Tai yra puslapis, į kurį pateko beta versijos „FrontPage '97“ naudotojai, o corp.com nurodytas kaip numatytasis URL:
Kai Maikas nuo to labai pavargo, corp.com pradėjo nukreipti vartotojus į sekso prekių parduotuvės svetainę. Atsakydamas į tai, jis gavo tūkstančius piktų laiškų iš vartotojų, kurių kopiją persiuntė Billui Gatesui.
Beje, pats Mike'as iš smalsumo susikūrė pašto serverį ir gavo konfidencialių laiškų corp.com. Jis pats bandė šias problemas spręsti kreipdamasis į įmones, tačiau šios tiesiog nežinojo, kaip ištaisyti situaciją:
Iš karto pradėjau gauti konfidencialius el. laiškus, įskaitant išankstines įmonių finansinių ataskaitų versijas JAV vertybinių popierių ir biržos komisijai, žmogiškųjų išteklių ataskaitas ir kitus baisius dalykus. Kurį laiką bandžiau susirašinėti su korporacijomis, bet dauguma nežinojo, ką su tuo daryti. Taigi aš pagaliau tiesiog išjungiau jį [pašto serverį].
MS nesiėmė jokių aktyvių veiksmų, bendrovė atsisako komentuoti situaciją. Taip, „Microsoft“ per daugelį metų išleido keletą „Active Directory“ naujinimų, kurie iš dalies išsprendžia domeno vardo susidūrimo problemą, tačiau jie turi nemažai problemų. Įmonė taip pat gamino rekomendacijos apie vidinių domenų vardų nustatymą, rekomendacijos dėl antrojo lygio domeno, kad būtų išvengta konfliktų, ir kiti vadovėliai, kurie paprastai neskaitomi.
Tačiau svarbiausia yra atnaujinimai. Pirma: norėdami juos pritaikyti, turite visiškai uždėti įmonės intranetą. Antra: po tokių atnaujinimų kai kurios programos gali pradėti veikti lėčiau, netinkamai arba visai nustoti veikti. Akivaizdu, kad dauguma įmonių, turinčių išplėtotą įmonių tinklą, tokios rizikos per trumpą laiką neprisiims. Be to, daugelis jų net nesuvokia viso masto grėsmės, kuri kyla dėl visko nukreipimo į corp.com, kai mašina paimama už vidinio tinklo.
Žiūrint pasiekiama maksimali ironija . Taigi, jo duomenimis, kai kurios užklausos į corp.com gaunamos iš pačios Microsoft intraneto.
O kas bus toliau?
Atrodytų, kad šios situacijos sprendimas slypi paviršiuje ir buvo aprašytas straipsnio pradžioje: tegul „Microsoft“ perka iš jo Mike'o domeną ir visam laikui užblokuoja jį kur nors atokioje spintoje.
Bet tai nėra taip paprasta. Prieš keletą metų „Microsoft“ pasiūlė O'Connorui išpirkti jo toksišką domeną įmonėms visame pasaulyje. Tai tiesiog Už tokios skylės uždarymą savo tinkluose milžinas pasiūlė tik 20 tūkst.
Dabar domenas siūlomas už 1,7 mln.$ Ir net jei „Microsoft“ nuspręs jį įsigyti paskutinę akimirką, ar turės laiko?
Apklausoje gali dalyvauti tik registruoti vartotojai. , Prašau.
Ką darytum, jei būtum O'Connor?
-
59,6%Leiskite „Microsoft“ nupirkti domeną už 1,7 mln. USD arba leiskite jį nupirkti kam nors kitam.501
-
3,4%Parduočiau už 20 tūkstančių dolerių; nenoriu patekti į istoriją kaip asmuo, kuris nutekino tokį domeną nežinomam asmeniui.29
-
3,3%Aš palaidočiau jį amžinai, jei „Microsoft“ negalės priimti teisingo sprendimo.28
-
21,2%Specialiai parduočiau domeną įsilaužėliams su sąlyga, kad jie sunaikins „Microsoft“ reputaciją įmonės aplinkoje. Apie problemą jie žinojo nuo 1997 metų!178
-
12,4%Pats susikurčiau botnetą + pašto serverį ir pradėčiau spręsti pasaulio likimą.104
Balsavo 840 vartotojai. 131 vartotojas susilaikė.
Šaltinis: www.habr.com