System for datalekkasje gjennom Web Proxy Auto-Discovery (WPAD) på grunn av navnekollisjon (i dette tilfellet en kollisjon av et internt domene med navnet på en av de nye gTLDene, men essensen er den samme). Kilde: , 2016
Mike O'Connor, en av de eldste investorene innen domenenavn, det farligste og mest kontroversielle partiet i sin samling: domene corp.com for 1,7 millioner dollar. I 1994 kjøpte O'Connor mange enkle domenenavn, som grill.com, place.com, pub.com og andre. Blant dem var corp.com, som Mike beholdt i 26 år. Investoren var allerede 70 år gammel og bestemte seg for å tjene penger på sine gamle investeringer.
Problemet er at corp.com er potensielt farlig for minst 375 000 bedriftsdatamaskiner på grunn av den uforsiktige konfigurasjonen av Active Directory under byggingen av bedriftsintranett på begynnelsen av 2000-tallet basert på Windows Server 2010, da den interne roten ganske enkelt ble spesifisert som "corp ." Fram til tidlig på XNUMX-tallet var ikke dette et problem, men med fremveksten av bærbare datamaskiner i forretningsmiljøer, begynte flere og flere ansatte å flytte arbeidsdatamaskinene sine utenfor bedriftsnettverket. Funksjoner ved Active Directory-implementeringen fører til at selv uten en direkte brukerforespørsel til //corp, banker en rekke applikasjoner (for eksempel e-post) på en kjent adresse på egen hånd. Men i tilfelle en ekstern tilkobling til nettverket i en vanlig kafé rundt hjørnet, fører dette til en strøm av data og forespørsler som strømmer inn på corp.com.
Nå håper O'Connor virkelig at Microsoft selv vil kjøpe domenet og, i Googles beste tradisjoner, råtne det et mørkt sted og utilgjengelig for utenforstående, vil problemet med en så grunnleggende sårbarhet i Windows-nettverk bli løst.
Active Directory og navnekollisjon
Bedriftsnettverk som kjører Windows, bruker Active Directory-katalogtjenesten. Den lar administratorer bruke gruppepolicyer for å sikre enhetlig konfigurasjon av brukerens arbeidsmiljø, distribuere programvare på flere datamaskiner gjennom gruppepolicyer, utføre autorisasjon, etc.
Active Directory er integrert med DNS og kjører på toppen av TCP/IP. For å søke etter verter i nettverket, Web Proxy Auto-Discovery (WAPD)-protokollen og funksjonen (innebygd i Windows DNS-klient). Denne funksjonen gjør det enkelt å finne andre datamaskiner eller servere uten å måtte oppgi et fullt kvalifisert domenenavn.
For eksempel hvis et selskap driver et internt nettverk kalt internalnetwork.example.com, og den ansatte ønsker å få tilgang til en delt disk kalt drive1, trenger ikke å gå inn drive1.internalnetwork.example.com i Utforsker skriver du bare \drive1 - og Windows DNS-klienten vil fullføre navnet selv.
I tidligere versjoner av Active Directory – for eksempel Windows 2000 Server – var standarden for bedriftsdomenet på andre nivå corp. Og mange selskaper har beholdt standarden for sitt interne domene. Enda verre, mange har begynt å bygge enorme nettverk på toppen av dette mangelfulle oppsettet.
På stasjonære datamaskiners dager var dette ikke noe særlig sikkerhetsproblem fordi ingen tok disse datamaskinene utenfor bedriftens nettverk. Men hva skjer når en ansatt jobber i en bedrift med nettverksvei corp i Active Directory tar en bedrifts bærbar PC og går til den lokale Starbucks? Da trer WPAD-protokollen (Web Proxy Auto-Discovery) og funksjonen for delegering av DNS-navn i kraft.
Det er stor sannsynlighet for at enkelte tjenester på den bærbare datamaskinen vil fortsette å banke på det interne domenet corp, men vil ikke finne det, og i stedet vil forespørsler bli løst til corp.com-domenet fra det åpne Internett.
I praksis betyr dette at eieren av corp.com passivt kan avskjære private forespørsler fra hundretusenvis av datamaskiner som ved et uhell forlater bedriftsmiljøet ved å bruke betegnelsen corp for domenet ditt i Active Directory.
Lekkasje av WPAD-forespørsler i amerikansk trafikk. Fra en studie fra University of Michigan i 2016,
Hvorfor er ikke domenet solgt ennå?
I 2014 publiserte ICANN-eksperter navnekollisjoner i DNS. Studien ble delvis finansiert av U.S. Department of Homeland Security fordi informasjonslekkasjer fra interne nettverk truer ikke bare kommersielle selskaper, men også statlige organisasjoner, inkludert Secret Service, etterretningsbyråer og militære grener.
Mike ønsket å selge corp.com i fjor, men forsker Jeff Schmidt overbeviste ham om å utsette salget basert på den nevnte rapporten. Studien fant også at 375 000 datamaskiner prøver å kontakte corp.com hver dag uten eiernes viten. Forespørslene inneholdt forsøk på å logge på bedriftens intranett, tilgang til nettverk eller fildelinger.
Som en del av sitt eget eksperiment imiterte Schmidt, sammen med JAS Global, på corp.com måten Windows LAN behandler filer og forespørsler på. Ved å gjøre dette åpnet de faktisk en portal til helvete for enhver informasjonssikkerhetsspesialist:
Det var forferdelig. Vi stoppet eksperimentet etter 15 minutter og ødela [alle innhentede] data. En kjent tester som ga råd til JAS om dette problemet, bemerket at eksperimentet var som «et regn av konfidensiell informasjon» og at han aldri hadde sett noe lignende.
[Vi satte opp postmottak på corp.com] og etter omtrent en time mottok vi over 12 millioner e-poster, hvoretter vi stoppet eksperimentet. Selv om det store flertallet av e-postene ble automatisert, fant vi ut at noen var [sikkerhets]sensitive og derfor ødela vi hele datasettet uten ytterligere analyse.
Schmidt mener at administratorer over hele verden ubevisst har forberedt historiens farligste botnett i flere tiår. Hundretusenvis av fullverdige arbeidsdatamaskiner rundt om i verden er klare til ikke bare å bli en del av et botnett, men også til å gi konfidensielle data om deres eiere og selskaper. Alt du trenger å gjøre for å dra nytte av det er control corp.com. I dette tilfellet blir enhver maskin som en gang er koblet til bedriftsnettverket, hvis Active Directory ble konfigurert via //corp, en del av botnettet.
Microsoft ga opp problemet for 25 år siden
Hvis du tror at MS på en eller annen måte var uvitende om den pågående bacchanaliaen rundt corp.com, tar du alvorlig feil. Dette er siden som brukere av betaversjonen av FrontPage '97 landet på, med corp.com oppført som standard URL:
Da Mike ble veldig lei av dette, begynte corp.com å omdirigere brukere til nettstedet til sexbutikken. Som svar mottok han tusenvis av sinte brev fra brukere, som han omdirigerte via kopi til Bill Gates.
Forresten satte Mike selv, av nysgjerrighet, opp en e-postserver og mottok konfidensielle brev på corp.com. Han prøvde å løse disse problemene selv ved å kontakte selskaper, men de visste rett og slett ikke hvordan de skulle rette opp situasjonen:
Umiddelbart begynte jeg å motta konfidensielle e-poster, inkludert foreløpige versjoner av bedriftens økonomiske rapporter til US Securities and Exchange Commission, personalrapporter og andre skumle ting. Jeg prøvde å korrespondere med selskaper en stund, men de fleste av dem visste ikke hva de skulle gjøre med det. Så jeg har til slutt bare slått den av [e-postserveren].
MS foretok ingen aktiv handling, og selskapet nekter å kommentere situasjonen. Ja, Microsoft har gitt ut flere Active Directory-oppdateringer i løpet av årene som delvis løser problemet med domenenavnkollisjon, men de har en rekke problemer. Selskapet produserte også anbefalinger om å sette opp interne domenenavn, anbefalinger om å eie et andrenivådomene for å unngå konflikter, og andre veiledninger som vanligvis ikke leses.
Men det viktigste ligger i oppdateringene. Først: For å bruke dem, må du legge ned selskapets intranett fullstendig. For det andre: etter slike oppdateringer kan noen programmer begynne å fungere tregere, feil eller slutte å fungere helt. Det er klart at de fleste bedrifter med et oppbygd bedriftsnettverk ikke vil ta slike risikoer på kort sikt. I tillegg innser mange av dem ikke engang hele omfanget av trusselen som er full av omdirigering av alt til corp.com når maskinen tas utenfor det interne nettverket.
Maksimal ironi oppnås når du ser . Så ifølge hans data, noen forespørsler til corp.com kommer fra Microsofts eget intranett.
Og hva vil skje videre?
Det ser ut til at løsningen på denne situasjonen ligger på overflaten og ble beskrevet i begynnelsen av artikkelen: la Microsoft kjøpe Mikes domene fra ham og forby ham et sted i et eksternt skap for alltid.
Men det er ikke så enkelt. Microsoft tilbød O'Connor å kjøpe ut hans giftige domene for selskaper over hele verden for flere år siden. Det er bare Kjempen tilbød bare 20 tusen dollar for å tette et slikt hull i sine egne nettverk.
Nå tilbys domenet for 1,7 millioner dollar. Og selv om Microsoft bestemmer seg for å kjøpe det i siste øyeblikk, har de tid?
Kun registrerte brukere kan delta i undersøkelsen. , vær så snill.
Hva ville du gjort hvis du var O'Connor?
-
59,6%La Microsoft kjøpe domenet for 1,7 millioner dollar, eller la noen andre kjøpe det.501
-
3,4%Jeg ville solgt det for 20 tusen dollar; jeg vil ikke gå ned i historien som personen som lekket et slikt domene til noen ukjente.29
-
3,3%Jeg ville begravet det selv for alltid hvis Microsoft ikke kan ta den riktige avgjørelsen.28
-
21,2%Jeg vil spesifikt selge domenet til hackere under forutsetning av at de ødelegger Microsofts rykte i bedriftsmiljøet. De har visst om problemet siden 1997!178
-
12,4%Jeg ville satt opp et botnett + e-postserver selv og begynte å bestemme verdens skjebne.104
840 brukere stemte. 131 bruker avsto.
Kilde: www.habr.com