En février, BreachTrace a raconté l’histoire d’un citoyen privé vendant aux enchères le domaine dangereux corp.com pour le prix de départ de 1,7 million de dollars. Les experts du domaine ont qualifié corp.com de dangereux car des années de tests ont montré que quiconque l’utilisait aurait accès à un flux incessant de mots de passe, d’e-mails et d’autres données sensibles provenant de centaines de milliers d’utilisateurs. Microsoft Windows PC dans les grandes entreprises du monde entier. Cette semaine, Microsoft Corp. a accepté d’acheter le domaine dans le but de le garder hors de la portée de ceux qui pourraient abuser de son incroyable pouvoir.
Originaire du Wisconsin Mike O’Connor, qui a acheté corp.com il y a 26 ans mais n’en a pas fait grand-chose depuis, a déclaré qu’il espérait que Microsoft l’achèterait car des centaines de milliers de PC Windows confus essaient constamment de partager des données sensibles avec corp.com. En outre, les premières versions de Windows encourageaient en fait l’adoption de paramètres non sécurisés, ce qui rendait plus probable que les ordinateurs Windows tentent de partager des données sensibles avec corp.com.
Extrait de l’article de février :
Il s’agit d’un problème connu sous le nom de « collision d’espace de noms», une situation où les noms de domaine destinés à être utilisés exclusivement sur un réseau interne d’entreprise finissent par se chevaucher avec des domaines qui peuvent se résoudre normalement sur l’Internet ouvert.
Les ordinateurs Windows sur un réseau d’entreprise interne valident d’autres éléments sur ce réseau à l’aide d’une innovation Microsoft appelée Active Directory, qui est le terme générique désignant une large gamme de services liés à l’identité dans les environnements Windows. Une partie essentielle de la façon dont ces choses se trouvent implique une fonctionnalité Windows appelée « Dévolution de nom DNS», qui est une sorte de raccourci réseau qui facilite la recherche d’autres ordinateurs ou serveurs sans avoir à spécifier un nom de domaine complet et légitime pour ces ressources.
Par exemple, si une entreprise gère un réseau interne portant le nom internalnetwork.example.com et qu’un employé de ce réseau souhaite accéder à un lecteur partagé appelé « drive1 », il n’est pas nécessaire de saisir « drive1.internalnetwork.example.com ». dans l’Explorateur Windows ; taper « \drive1 » seul suffira, et Windows s’occupe du reste.
Mais les choses peuvent devenir beaucoup plus délicates avec un domaine Windows interne qui ne correspond pas à un domaine de second niveau que l’organisation possède et contrôle réellement. Et malheureusement, dans les premières versions de Windows prenant en charge Active Directory – Windows 2000 Server, par exemple – le chemin par défaut ou exemple d’Active Directory était « corp », et de nombreuses entreprises ont apparemment adopté ce paramètre sans le modifier pour inclure un domaine qu’ils contrôlaient. .
Pour aggraver les choses, certaines entreprises ont ensuite construit (et/ou assimilé) de vastes réseaux de réseaux en plus de ce paramètre erroné.
Maintenant, rien de tout cela n’était vraiment un problème de sécurité à l’époque où il n’était pas pratique pour les employés de trimballer leurs ordinateurs de bureau et leurs écrans encombrants en dehors du réseau de l’entreprise. Mais que se passe-t-il lorsqu’un employé travaillant dans une entreprise avec un chemin de réseau Active Directory appelé « corp » apporte un ordinateur portable de l’entreprise au Starbucks local ?
Il y a de bonnes chances qu’au moins certaines ressources sur l’ordinateur portable de l’employé essaient toujours d’accéder à ce domaine interne « corp ». Et en raison de la façon dont la dévolution des noms DNS fonctionne sous Windows, cet ordinateur portable de l’entreprise en ligne via la connexion sans fil Starbucks est susceptible de rechercher ensuite ces mêmes ressources sur « corp.com ».
Concrètement, cela signifie que quiconque contrôle corp.com peut passivement intercepter les communications privées de centaines de milliers d’ordinateurs qui finissent par être prises en dehors d’un environnement d’entreprise qui utilise cette désignation « corp » pour son domaine Active Directory.
L’histoire a ensuite décrit comment des années de tests – dont certains ont été subventionnés par des subventions du Département américain de la sécurité intérieure – a montré que des centaines de milliers d’ordinateurs Windows essayaient constamment d’envoyer ces informations de domaine qu’ils n’avaient pas à recevoir, y compris des tentatives de connexion à des réseaux internes d’entreprise et d’accès à des partages de fichiers spécifiques sur ces réseaux.
O’Connor m’a dit qu’il vendait le domaine après n’en avoir pratiquement rien fait pendant 26 ans parce qu’il vieillissait et ne voulait pas que ses enfants héritent de ce gâchis. Lorsqu’il a mis le domaine en vente, j’ai demandé s’il accepterait de me faire savoir si et quand il l’a vendu.
Lundi soir, il a écrit pour dire que Microsoft avait accepté de l’acheter. O’Connor a déclaré qu’il ne pouvait pas discuter des termes de l’accord, ni faire d’autres commentaires au-delà de la reconnaissance de la vente de corp.com à Microsoft.
Dans une déclaration écrite, Microsoft a déclaré avoir acquis le domaine pour protéger ses clients.
« Pour aider à protéger les systèmes, nous encourageons les clients à adopter des habitudes de sécurité sûres lors de la planification des noms de domaine et de réseau internes », indique le communiqué. « Nous avons publié un avis de sécurité en juin 2009 et une mise à jour de sécurité qui aide à assurer la sécurité des clients. Dans le cadre de notre engagement continu envers la sécurité de nos clients, nous avons également acquis le domaine Corp.com. »
Au fil des ans, Microsoft a livré nombreuses mises à jour de logiciel pour aider à réduire la probabilité de collisions d’espaces de noms qui pourrait créer un problème de sécurité pour les entreprises qui s’appuient toujours sur des domaines Active Directory qui ne correspondent pas à un domaine qu’elles contrôlent.
Cependant, les experts disent que pratiquement aucune organisation vulnérable n’a déployé ces correctifs pour deux raisons. Tout d’abord, cela nécessite que l’organisation supprime simultanément l’ensemble de son réseau Active Directory pendant un certain temps.
Deuxièmement, selon Microsoft, l’application du ou des correctifs va probablement casser ou au moins ralentir un certain nombre d’applications sur lesquelles l’organisation concernée s’appuie pour ses opérations quotidiennes. Face à l’un ou l’autre de ces scénarios ou aux deux, la plupart des entreprises concernées ont probablement décidé que le risque réel de ne pas appliquer ces mises à jour était relativement faible.
Il convient de noter que si l’achat de corp.com par Microsoft protégera les entreprises qui ont construit des infrastructures Active Directory au-dessus de « corp » ou « corp.com », toute entreprise qui a lié son réseau Active Directory interne à un domaine qu’elle ne contrôle pas s’ouvre à un cauchemar de sécurité potentiel similaire.
Lecture complémentaire :
Atténuation du risque de collisions d’espaces de noms DNS (PDF)
DEFCON 21 – Le DNS peut être dangereux pour votre santé (Robert Stucke)
Atténuation du risque d’attaques de l’homme du milieu basées sur la collision de noms (PDF)