Tên miền corp.com đang được rao bán. Nguy hiểm cho hàng trăm nghìn máy tính doanh nghiệp chạy Windows

Sơ đồ rò rỉ dữ liệu thông qua Web Proxy Auto-Discovery (WPAD) do xung đột tên (trong trường hợp này là xung đột tên miền nội bộ với tên của một trong các gTLD mới, nhưng bản chất là giống nhau). Nguồn: Nghiên cứu của Đại học Michigan, 2016

Mike O'Connor, một trong những nhà đầu tư tên miền lâu đời nhất, rao bán lô hàng nguy hiểm và gây tranh cãi nhất trong bộ sưu tập của nó: miền công ty.com với giá 1,7 triệu USD. Năm 1994, O'Connor mua nhiều tên miền đơn giản như Grill.com, place.com, pub.com và nhiều tên miền khác. Trong số đó có corp.com mà Mike đã giữ trong 26 năm. Nhà đầu tư đã 70 tuổi và quyết định kiếm tiền từ các khoản đầu tư cũ của mình.

Vấn đề là corp.com có ​​khả năng gây nguy hiểm cho ít nhất 375 máy tính công ty do cấu hình Active Directory bất cẩn trong quá trình xây dựng mạng nội bộ của công ty vào đầu những năm 000 dựa trên Windows Server 2000, khi root bên trong được chỉ định đơn giản là “corp. .” Cho đến đầu những năm 2010, đây không phải là vấn đề, nhưng với sự gia tăng của máy tính xách tay trong môi trường kinh doanh, ngày càng nhiều nhân viên bắt đầu chuyển máy tính làm việc của họ ra ngoài mạng công ty. Các tính năng của việc triển khai Active Directory dẫn đến thực tế là ngay cả khi không có yêu cầu trực tiếp của người dùng tới //corp, một số ứng dụng (ví dụ: thư) sẽ tự gõ vào một địa chỉ quen thuộc. Nhưng trong trường hợp kết nối mạng bên ngoài trong một quán cà phê thông thường ở gần đó, điều này dẫn đến một luồng dữ liệu và yêu cầu đổ dồn vào công ty.com.

Bây giờ O'Connor thực sự hy vọng rằng chính Microsoft sẽ mua tên miền và theo truyền thống tốt nhất của Google, đặt nó ở một nơi nào đó tối tăm và không thể tiếp cận được với người ngoài, vấn đề về lỗ hổng cơ bản như vậy của mạng Windows sẽ được giải quyết.

Xung đột giữa Active Directory và tên

Mạng công ty chạy Windows sử dụng dịch vụ thư mục Active Directory. Nó cho phép quản trị viên sử dụng chính sách nhóm để đảm bảo cấu hình thống nhất môi trường làm việc của người dùng, triển khai phần mềm trên nhiều máy tính thông qua chính sách nhóm, thực hiện ủy quyền, v.v.

Active Directory được tích hợp với DNS và chạy trên TCP/IP. Để tìm kiếm các máy chủ trong mạng, giao thức Tự động phát hiện proxy Web (WAPD) và chức năng Phân quyền tên DNS (được tích hợp trong Máy khách DNS của Windows). Tính năng này giúp bạn dễ dàng tìm thấy các máy tính hoặc máy chủ khác mà không cần phải cung cấp tên miền đủ điều kiện.

Ví dụ: nếu một công ty vận hành một mạng nội bộ có tên internalnetwork.example.comvà nhân viên muốn truy cập vào bộ nhớ dùng chung có tên drive1, không cần vào drive1.internalnetwork.example.com trong Explorer, chỉ cần gõ \drive1 - và máy khách DNS của Windows sẽ tự điền tên.

Trong các phiên bản trước của Active Directory—ví dụ: Windows 2000 Server—mặc định cho miền công ty cấp hai là corp. Và nhiều công ty đã giữ mặc định cho tên miền nội bộ của mình. Tệ hơn nữa, nhiều người đã bắt đầu xây dựng mạng lưới rộng lớn dựa trên thiết lập thiếu sót này.

Vào thời của máy tính để bàn, đây không phải là vấn đề bảo mật nghiêm trọng vì không ai đưa những máy tính này ra ngoài mạng công ty. Nhưng điều gì sẽ xảy ra khi một nhân viên làm việc trong một công ty có đường dẫn mạng corp trong Active Directory lấy một máy tính xách tay của công ty và đến quán Starbucks địa phương? Khi đó giao thức Web Proxy Auto-Discovery (WPAD) và chức năng phân quyền tên DNS sẽ có hiệu lực.

Khả năng cao một số dịch vụ trên laptop sẽ tiếp tục đánh vào miền nội bộ corp, nhưng sẽ không tìm thấy nó và thay vào đó các yêu cầu sẽ được phân giải tới miền corp.com từ Internet mở.

Trong thực tế, điều này có nghĩa là chủ sở hữu của corp.com có ​​thể chặn các yêu cầu riêng tư một cách thụ động từ hàng trăm nghìn máy tính vô tình rời khỏi môi trường công ty bằng cách sử dụng chỉ định corp cho miền của bạn trong Active Directory.

Rò rỉ các yêu cầu WPAD trong lưu lượng truy cập của Mỹ. Từ một nghiên cứu của Đại học Michigan năm 2016, nguồn

Tại sao tên miền vẫn chưa được bán?

Năm 2014, các chuyên gia ICANN đã công bố nghiên cứu tuyệt vời xung đột tên trong DNS. Nghiên cứu được Bộ An ninh Nội địa Hoa Kỳ tài trợ một phần vì rò rỉ thông tin từ mạng nội bộ đe dọa không chỉ các công ty thương mại mà còn cả các tổ chức chính phủ, bao gồm Cơ quan Mật vụ, cơ quan tình báo và quân đội.

Mike muốn bán corp.com vào năm ngoái, nhưng nhà nghiên cứu Jeff Schmidt đã thuyết phục anh trì hoãn việc bán dựa trên báo cáo nói trên. Nghiên cứu cũng cho thấy 375 máy tính cố gắng liên lạc với corp.com mỗi ngày mà chủ sở hữu của chúng không hề hay biết. Các yêu cầu chứa các nỗ lực đăng nhập vào mạng nội bộ của công ty, mạng truy cập hoặc chia sẻ tệp.

Là một phần trong thử nghiệm của riêng mình, Schmidt, cùng với JAS Global, đã bắt chước trên corp.com cách Windows LAN xử lý các tệp và yêu cầu. Trên thực tế, bằng cách này, họ đã mở ra một cánh cổng dẫn đến địa ngục cho bất kỳ chuyên gia bảo mật thông tin nào:

Điều đó thật tồi tệ. Chúng tôi đã dừng thử nghiệm sau 15 phút và hủy dữ liệu [tất cả thu được]. Một người thử nghiệm nổi tiếng đã tư vấn cho JAS về vấn đề này lưu ý rằng thí nghiệm giống như "một cơn mưa thông tin bí mật" và ông chưa bao giờ thấy điều gì giống như vậy.

[Chúng tôi đã thiết lập tính năng nhận thư trên corp.com] và sau khoảng một giờ, chúng tôi đã nhận được hơn 12 triệu email, sau đó chúng tôi đã dừng thử nghiệm. Mặc dù phần lớn email được tự động hóa nhưng chúng tôi nhận thấy một số email nhạy cảm về [bảo mật] và do đó chúng tôi đã hủy toàn bộ tập dữ liệu mà không phân tích thêm.

Schmidt tin rằng các quản trị viên trên khắp thế giới đã vô tình chuẩn bị cho mạng botnet nguy hiểm nhất trong lịch sử trong nhiều thập kỷ. Hàng trăm nghìn máy tính hoạt động chính thức trên khắp thế giới không chỉ sẵn sàng trở thành một phần của mạng botnet mà còn cung cấp dữ liệu bí mật về chủ sở hữu và công ty của chúng. Tất cả những gì bạn cần làm để tận dụng lợi thế của nó là control corp.com. Trong trường hợp này, bất kỳ máy nào từng được kết nối với mạng công ty có Active Directory được định cấu hình thông qua //corp sẽ trở thành một phần của mạng botnet.

Microsoft đã từ bỏ vấn đề này 25 năm trước

Nếu bạn nghĩ rằng bằng cách nào đó MS không biết về hoạt động bacchanalia đang diễn ra xung quanh corp.com thì bạn đã nhầm to. Mike đã troll Microsoft và Bill Gates vào năm 1997Đây là trang mà người dùng phiên bản beta của FrontPage '97 đã truy cập, với corp.com được liệt kê làm URL mặc định:

Khi Mike thực sự cảm thấy mệt mỏi với việc này, corp.com bắt đầu chuyển hướng người dùng đến trang web bán đồ tình dục. Đáp lại, anh ấy đã nhận được hàng nghìn bức thư giận dữ từ người dùng, sau đó anh ấy đã chuyển hướng qua bản sao tới Bill Gates.

Nhân tiện, chính Mike, vì tò mò, đã thiết lập một máy chủ thư và nhận được những bức thư bí mật trên corp.com. Anh ấy đã cố gắng tự mình giải quyết những vấn đề này bằng cách liên hệ với các công ty, nhưng đơn giản là họ không biết cách khắc phục tình hình:

Ngay lập tức, tôi bắt đầu nhận được những email bí mật, bao gồm các bản báo cáo tài chính doanh nghiệp sơ bộ gửi Ủy ban Chứng khoán và Giao dịch Hoa Kỳ, báo cáo nhân sự và những thứ đáng sợ khác. Tôi đã cố gắng trao đổi thư từ với các tập đoàn một thời gian nhưng hầu hết họ đều không biết phải làm gì với việc đó. Vì vậy, cuối cùng tôi đã tắt nó [máy chủ thư].

MS không thực hiện bất kỳ hành động tích cực nào và công ty từ chối bình luận về tình hình. Đúng vậy, Microsoft đã phát hành một số bản cập nhật Active Directory trong những năm qua nhằm giải quyết một phần vấn đề xung đột tên miền, nhưng chúng có một số vấn đề. Công ty cũng sản xuất khuyến nghị về cách thiết lập tên miền nội bộ, các khuyến nghị về việc sở hữu miền cấp hai để tránh xung đột và các hướng dẫn khác thường không được đọc.

Nhưng điều quan trọng nhất nằm ở các bản cập nhật. Đầu tiên: để áp dụng chúng, bạn cần phải gỡ bỏ hoàn toàn mạng nội bộ của công ty. Thứ hai: sau những bản cập nhật như vậy, một số ứng dụng có thể bắt đầu hoạt động chậm hơn, không chính xác hoặc ngừng hoạt động hoàn toàn. Rõ ràng là hầu hết các công ty có mạng lưới công ty được xây dựng sẵn sẽ không gặp phải những rủi ro như vậy trong thời gian ngắn. Ngoài ra, nhiều người trong số họ thậm chí còn không nhận ra quy mô đầy đủ của mối đe dọa liên quan đến việc chuyển hướng mọi thứ sang corp.com khi máy được đưa ra ngoài mạng nội bộ.

Sự trớ trêu tối đa đạt được khi bạn xem Báo cáo nghiên cứu xung đột tên miền của Schmidt. Vì vậy, theo dữ liệu của ông, một số yêu cầu tới corp.com đến từ mạng nội bộ của chính Microsoft.

Và điều gì sẽ xảy ra tiếp theo?

Có vẻ như giải pháp cho tình huống này nằm trên bề mặt và đã được mô tả ở đầu bài viết: hãy để Microsoft mua miền của Mike từ anh ta và cấm anh ta ở đâu đó trong một tủ quần áo từ xa mãi mãi.

Nhưng nó không đơn giản như vậy. Cách đây vài năm, Microsoft đã đề nghị O'Connor mua lại miền độc hại của mình cho các công ty trên toàn thế giới. Đó chỉ là Người khổng lồ chỉ đưa ra 20 nghìn đô la để đóng một lỗ hổng như vậy trong mạng của chính mình.

Hiện tên miền này được chào bán với giá 1,7 triệu USD, và ngay cả khi Microsoft quyết định mua nó vào phút cuối, liệu họ có đủ thời gian?

Chỉ những người dùng đã đăng ký mới có thể tham gia khảo sát. Đăng nhập, xin vui lòng.

Bạn sẽ làm gì nếu bạn là O'Connor?

• 59,6%Hãy để Microsoft mua miền này với giá 1,7 triệu USD hoặc để người khác mua nó.501

• 3,4%Tôi sẽ bán nó với giá 20 nghìn USD, tôi không muốn đi vào lịch sử với tư cách là người đã rò rỉ tên miền đó cho một người không quen biết.29

• 3,3%Tôi sẽ chôn vùi nó mãi mãi nếu Microsoft không thể đưa ra quyết định đúng đắn.28

• 21,2%Tôi đặc biệt sẽ bán miền này cho tin tặc với điều kiện chúng sẽ hủy hoại danh tiếng của Microsoft trong môi trường doanh nghiệp. Họ đã biết đến vấn đề này từ năm 1997!178

• 12,4%Tôi sẽ tự mình thiết lập một botnet + máy chủ thư và bắt đầu quyết định số phận của thế giới.104

840 người dùng bình chọn. 131 người dùng đã bỏ phiếu trắng.

Nguồn: www.habr.com