Доменот corp.com е на продажба. Опасно е за стотици илјади корпоративни компјутери кои работат со Windows

Шема на истекување податоци преку автоматско откривање на веб-прокси (WPAD) поради судир на името (во овој случај, судир на внатрешен домен со името на еден од новите gTLD, но суштината е иста). Извор: Студија на Универзитетот во Мичиген, 2016

Мајк О'Конор, еден од најстарите инвеститори во имиња на домени, става на продажба најопасната и најконтроверзната парцела во нејзината колекција: домен corp.com за 1,7 милиони долари Во 1994 година, О'Конор купи многу едноставни имиња на домени, како што се grill.com, place.com, pub.com и други. Меѓу нив беше и corp.com, кој Мајк го чуваше 26 години. Инвеститорот веќе имал 70 години и решил да ги монетизира своите стари инвестиции.

Проблемот е што corp.com е потенцијално опасен за најмалку 375 корпоративни компјутери поради невнимателната конфигурација на Active Directory за време на изградбата на корпоративните интранет во раните 000-ти врз основа на Windows Server 2000, кога внатрешниот корен беше едноставно наведен како „corp .“ До почетокот на 2010-тите, ова не беше проблем, но со порастот на лаптопите во деловните средини, сè повеќе вработени почнаа да ги преместуваат своите работни компјутери надвор од корпоративната мрежа. Карактеристиките на имплементацијата на Active Directory доведуваат до фактот дека дури и без директно барање на корисникот до //corp, голем број апликации (на пример, пошта) сами тропаат на позната адреса. Но, во случај на надворешно поврзување со мрежата во конвенционално кафуле зад аголот, ова води до проток на податоци и барања кои се прелеваат на corp.com.

Сега О'Конор навистина се надева дека самиот Мајкрософт ќе го купи доменот и, според најдобрите традиции на Google, ќе го изгние некаде темно и недостапно за надворешни лица, проблемот со таквата фундаментална ранливост на мрежите на Windows ќе биде решен.

Активен директориум и судир на имиња

Корпоративните мрежи со Windows ја користат услугата директориум Active Directory. Им овозможува на администраторите да користат групни политики за да обезбедат униформа конфигурација на работната средина на корисникот, да распоредуваат софтвер на повеќе компјутери преку групни политики, да вршат авторизација итн.

Active Directory е интегриран со DNS и работи на врвот на TCP/IP. За пребарување на хостови во мрежата, протоколот за автоматско откривање на веб-прокси (WAPD) и функцијата Пренесување на името на DNS (вграден во Windows DNS клиентот). Оваа функција го олеснува наоѓањето други компјутери или сервери без да мора да обезбедите целосно квалификувано име на домен.

На пример, ако една компанија управува со внатрешна мрежа со име internalnetwork.example.com, и вработениот сака да пристапи до споделениот диск наречен drive1, нема потреба да влегувате drive1.internalnetwork.example.com во Explorer, само напишете \drive1 - и клиентот Windows DNS ќе го комплетира името.

Во претходните верзии на Active Directory - на пример, Windows 2000 Server - стандардниот за корпоративниот домен од второ ниво беше corp. И многу компании го задржаа стандардниот стандард за нивниот внатрешен домен. Уште полошо, многумина почнаа да градат огромни мрежи на врвот на оваа погрешна поставеност.

Во времето на десктоп компјутерите, ова не беше многу безбедносен проблем бидејќи никој не ги однесе овие компјутери надвор од корпоративната мрежа. Но, што се случува кога вработен работи во компанија со мрежна патека corp во Active Directory зема корпоративен лаптоп и оди во локалниот Старбакс? Потоа стапуваат на сила протоколот за автоматско откривање на веб-прокси (WPAD) и функцијата за префрлање на името на DNS.

Постои голема веројатност дека некои услуги на лаптопот ќе продолжат да тропаат на внатрешниот домен corp, но нема да го најде, и наместо тоа, барањата ќе бидат решени на доменот corp.com од отворениот Интернет.

Во пракса, ова значи дека сопственикот на corp.com може пасивно да пресретнува приватни барања од стотици илјади компјутери кои случајно ја напуштаат корпоративната средина користејќи ја ознаката corp за вашиот домен во Active Directory.

Протекување на барања за WPAD во американскиот сообраќај. Од студија на Универзитетот во Мичиген од 2016 година, извор

Зошто доменот сè уште не е продаден?

Во 2014 година, експертите на ICANN објавија одлична студија судири на имиња во DNS. Студијата беше делумно финансирана од американското Министерство за домашна безбедност бидејќи протекувањето информации од внатрешните мрежи ги загрозува не само комерцијалните компании, туку и владините организации, вклучително и Тајната служба, разузнавачките агенции и воените ограноци.

Мајк сакаше да го продаде corp.com минатата година, но истражувачот Џеф Шмит го убеди да ја одложи продажбата врз основа на гореспоменатиот извештај. Студијата исто така покажа дека 375 компјутери се обидуваат да контактираат со corp.com секој ден без знаење на нивните сопственици. Барањата содржеа обиди за најавување во корпоративни интранет, пристап до мрежи или споделувања на датотеки.

Како дел од сопствениот експеримент, Шмит, заедно со JAS Global, го имитираа на corp.com начинот на кој Windows LAN ги обработува датотеките и барањата. Со тоа, тие, всушност, отворија портал во пеколот за секој специјалист за информациска безбедност:

Беше страшно. Го прекинавме експериментот по 15 минути и ги уништивме [сите добиени] податоци. Еден добро познат тестер кој го советувал JAS за ова прашање забележал дека експериментот е како „дожд од доверливи информации“ и дека никогаш не видел нешто слично.

[Поставивме прием на пошта на corp.com] и по околу еден час добивме преку 12 милиони е-пошта, по што го прекинавме експериментот. Иако огромното мнозинство од е-поштата беа автоматизирани, откривме дека некои се чувствителни на [безбедносна] и затоа го уништивме целиот сет на податоци без дополнителна анализа.

Шмит смета дека администраторите ширум светот со децении несвесно го подготвуваат најопасниот ботнет во историјата. Стотици илјади полноправни работни компјутери ширум светот се подготвени не само да станат дел од ботнет, туку и да обезбедат доверливи податоци за нивните сопственици и компании. Сè што треба да направите за да го искористите тоа е да го контролирате corp.com. Во овој случај, секоја машина што еднаш е поврзана со корпоративната мрежа, чиј Active Directory е конфигуриран преку //corp, станува дел од ботнетот.

Мајкрософт се откажа од проблемот пред 25 години

Ако мислите дека МС некако не била свесна за тековните бакханалии околу corp.com, тогаш сериозно се лажете. Мајк ги тролаше Мајкрософт и Бил Гејтс лично во 1997 годинаОва е страницата на која се појавија корисниците на бета верзијата на FrontPage '97, со corp.com наведена како стандардна URL адреса:

Кога на Мајк навистина му здодеа ова, corp.com почна да ги пренасочува корисниците на веб-страницата за секс шоп. Како одговор, тој доби илјадници гневни писма од корисниците, кои ги пренасочи преку копија до Бил Гејтс.

Инаку, самиот Мајк од љубопитност поставил сервер за пошта и добивал доверливи писма на corp.com. Тој сам се обиде да ги реши овие проблеми контактирајќи со компаниите, но тие едноставно не знаеја како да ја поправат ситуацијата:

Веднаш почнав да добивам доверливи мејлови, вклучувајќи прелиминарни верзии на корпоративни финансиски извештаи до Комисијата за хартии од вредност на САД, извештаи за човечки ресурси и други страшни работи. Се обидов да се допишувам со корпорации некое време, но повеќето од нив не знаеја што да прават со тоа. Така, конечно го исклучив [серверот за пошта].

МС не презеде никакви активни активности, а компанијата одбива да ја коментира ситуацијата. Да, Мајкрософт објави неколку ажурирања на Active Directory во текот на годините кои делумно го решаваат проблемот со судирот на името на доменот, но тие имаат голем број проблеми. Компанијата исто така произведуваше препораки за поставување внатрешни имиња на домени, препораки за поседување домен од второ ниво за да се избегнат конфликти и други упатства кои обично не се читаат.

Но, најважното нешто лежи во ажурирањата. Прво: за да ги примените, треба целосно да го исклучите интранетот на компанијата. Второ: по таквите ажурирања, некои апликации може да почнат да работат побавно, неправилно или целосно да престанат да работат. Јасно е дека повеќето компании со изградена корпоративна мрежа нема да преземат такви ризици на краток рок. Дополнително, многу од нив дури и не го сфаќаат целосниот размер на заканата што е полн со пренасочување на сè на corp.com кога машината е извадена надвор од внатрешната мрежа.

Максимална иронија се постигнува кога гледате Извештај за истражување на судирот на доменот Шмит. Така, според неговите податоци, некои барања до corp.com доаѓаат од сопствениот интранет на Мајкрософт.

И што ќе се случи следно?

Се чини дека решението за оваа ситуација лежи на површината и беше опишано на почетокот на статијата: дозволете Мајкрософт да го купи доменот на Мајк од него и да го забрани некаде во оддалечен плакар засекогаш.

Но, не е толку едноставно. Мајкрософт му понуди на О'Конор да го откупи неговиот токсичен домен за компании ширум светот пред неколку години. Тоа е само Гигантот понудил само 20 илјади долари за затворање на ваква дупка во сопствените мрежи.

Сега доменот се нуди за 1,7 милиони долари.А дури и ако Мајкрософт одлучи да го купи во последен момент, ќе имаат ли време?

Само регистрирани корисници можат да учествуваат во анкетата. Најави се, вие сте добредојдени.

Што би направиле ако сте на местото на О'Конор?

• 59,6%Дозволете Мајкрософт да го купи доменот за 1,7 милиони долари или нека го купи некој друг.501

• 3,4%Би го продал за 20 илјади долари; не сакам да останам во историјата како личност која протекла таков домен на некој непознат.29

• 3,3%Самиот би го закопал засекогаш доколку Мајкрософт не може да ја донесе вистинската одлука.28

• 21,2%Конкретно би го продал доменот на хакери под услов да ја уништат репутацијата на Мајкрософт во корпоративната средина. За проблемот знаат од 1997 година!178

• 12,4%Сам би поставил ботнет + сервер за пошта и би почнал да одлучувам за судбината на светот.104

Гласаа 840 корисници. 131 корисник се воздржа.

Извор: www.habr.com