На прошлой неделе известный ИБ-специалист Мэтью Брайант (Matthew Bryant) случайно перехватил контроль более чем над 270 000 доменов в зоне .io. Дело в том, что исследователю удалось совершенно легально перевести под свой контроль полномочные серверы доменных имен, которые по ошибке были доступны для регистрации.
В своем блоге специалист рассказал подробности происшедшего. 7 июля 2017 года, Брайант обнаружил необычный отклик, пришедший в ответ на использование тестового кода, с помощью которого он строил карту доменов верхнего уровня. Оказалось, что несколько полномочных серверов доменных имен зоны .io были доступны для регистрации.
Удивленный своим открытием Брайант попробовал пройти процедуру регистрации и удивился еще больше, когда регистрация для ns-a1.io, ns-a2.io, ns-a3.io и ns-a4.io действительно сработала, предоставив в его распоряжение контроль над сотнями тысяч сайтов. В теории достаточно было направить запросы на собственные DNS-серверы, и создавать произвольные редиректы для любых доменов .io. По сути, всего за $95,99 исследователь приобрел контроль над четырьмя из семи серверов доменных имен.
Брайант незамедлительно попытался связаться с настоящими операторами зоны .io, которые долго переадресовали его от одного сотрудника к другому, а после и вообще посоветовали написать на почтовый адрес abuse@. В итоге исследователь дожидался реакции и сохранял контроль на серверами ns‑a1.io, ns‑a2.io, ns‑a3.io и ns‑a4.io почти сутки. Если бы на его месте оказался реальный злоумышленник, тот мог бы спровоцировать настоящий хаос.
Специалист пишет, что ему удалось выяснить, что серверы были доступны для регистрации на протяжении нескольких недель, и лишь счастливая случайность позволила ему обнаружить проблему первым.
Как оказалось, в прошлом месяце официальная регистратура зоны .io, .IO TLD, решила подключить к делу третью сторону, компанию Afilias, которая обслуживает бэкэнд более чем 25 доменов верхнего уровня, включая .org, .info и .eco. При этом .IO TLD решила оставить за собой работу с серверами доменных имен зоны .io, а все остальное планировала передать на аутсорс. Однако сотрудники Afilias позаботились об адресах только трех name-серверов (A0.nic.io, B0.nic.io и C0.nic.io), проигнорировав оставшиеся четыре, которые в итоге остались доступны для регистрации.
«Изначально, когда TLD перешла на системы Afilias, 100% DNS также были перемещены на серверы доменных имен Afilias. На прошлой неделе сотрудники Afilias обнаружили, что ряд name-серверов, ассоциировавшихся с .IO TLD, не были заблокированы после июньского перехода TLD на системы Afilias. После обнаружения этого факта Afilias немедленно перенаправила и блокировала домены, ассоциирующиеся с серверами доменных имен ICB. В настоящее время DNS для .io работает в штатном режиме», — сообщают представители Afilias.
