Amerykański gigant kupił domenę Corp.com za nieujawnioną dotychczas kwotę. Firma nie chciała, by adres trafił w niepowołane ręce ze względu na zagrożenie, jakie stwarza dla bezpieczeństwa danych setek tysięcy firm.

Adres Corp.com został zarejestrowany w 1994 r. przez osobę fizyczną – Mike’a O’Connora. To inwestor domenowy, który zdołał zgromadzić cenne portfolio nazw generycznych, takich jak Bar.com, Cafes.com, Grill.com, Place.com, Pub.com czy Television.com. Część tych „skarbów” od tamtej pory znalazła nowych właścicieli. Jednak z domeną Corp.com O’Connor długo nie chciał się rozstać. Aż do niedawna.

Kolizja nazw i groźba wycieku danych

W lutym inwestor wystawił nazwę na aukcję z ceną wywoławczą 1,7 miliona dolarów. Sprawa nabrała rozgłosu, ponieważ domena stwarza ryzyko dla bezpieczeństwa danych setek tysięcy firm. Eksperci alarmowali, że abonent tego adresu – gdyby przyświecały mu złe intencje – mógłby zyskać dostęp do niekończącego się strumienia haseł, adresów e-mail oraz innych danych osobowych z niezliczonych komputerów z systemami Windows na całym świecie. W tej sytuacji Microsoft praktycznie nie miał wyjścia: musiał odkupić adres, by nie wpadł on w ręce niepowołanych osób. Zresztą sam O’Connor wyraził nadzieję, że to właśnie firma Gatesa będzie nabywcą „niebezpiecznej” domeny.

Ryzyko, jakie stwarza adres, związane jest ze sposobem, w jaki system Windows rozwiązuje domeny w lokalnych sieciach. Chodzi o tzw. kolizję nazw. To sytuacja, w której adres wykorzystywany w sieci lokalnej zostaje zinterpretowany przez protokół komunikacyjny jako adres sieci publicznej. Innymi słowy domena, która ma funkcjonować wyłącznie w ramach wewnętrznej sieci firmowej, „koliduje” – lub: „pokrywa się” – z domeną, która funkcjonuje w internecie.

Windows „współwinny” zagrożeniu?

Takim pomyłkom sprzyja sposób działania windowsowskiego pakietu usług Active Directory. Jednym z jego elementów jest funkcja o nazwie „DNS name devolution”. To swojego rodzaju skrót ułatwiający znalezienie innych komputerów lub serwerów w sieci bez konieczności podawania pełnego adresu wyszukiwanych zasobów. Przykładowo jeśli w firmie działa sieć wewnętrzna o nazwie siecwewnetrzna.przyklad.com a pracownik tej sieci chce uzyskać dostęp do współdzielonego dysku o nazwie „dysk1”, nie musi wpisywać pełnej nazwy zasobu, czyli dysk1.siecwewnetrzna.przyklad.com do przeglądarki Windows Explorer. Wystarczy, że wpisze „\dysk1\”, a Windows zajmie się resztą. To w oczywisty sposób ułatwia pracę.

Ceną tej wygody jest ryzyko, które powstaje w sytuacji, gdy firma nie posiada „zewnętrznego”, DNS-owego odpowiednika swojej domeny wewnętrznej i nie sprawuje nad nim kontroli. Co to ma wspólnego z Corp.com? We wczesnych wersjach systemu Windows, które wspierały usługę Active Directory, np. Windows 2000 Server, domyślna ścieżka adresowa zawierała nazwę „corp”. Wiele firm zaakceptowało to ustawienie i nie uznało za stosowne, by je modyfikować, np. w taki sposób, by nazwę „corp” zastąpić kontrolowaną przez siebie domeną. W efekcie na bazie tego ryzykownego ustawienia część firm tworzyła i rozbudowywała rozległe sieci wewnętrzne.

Microsoft rozwiązał problem (który sam stworzył)

Kilkanaście lat temu, gdy zdecydowana większość pracowników była przykuta do desktopów przy korporacyjnych biurkach, nie był to aż tak duży problem. Obecnie jednak, gdy pracownicy mają możliwość zalogowania się na firmowym laptopie w okolicznej kawiarni lub we własnych czterech ścianach, sytuacja się zmieniła. Istnieje spore ryzyko, że zamiast z firmowym adresem, dla którego „Corp” pełni funkcję skrótu, połączą się z domeną Corp.com. W efekcie osoba, która kontroluje tę ostatnią, zyska możliwość przejmowania ruchu i danych z trudnej do oszacowania liczby komputerów. Na ryzyko kolizji nazw oraz skutków tego zjawiska od dawna zwraca uwagę ICANN, a także szereg niezależnych ekspertów.

Na szczęście Microsoft, kupując nazwę, rozwiązał problem w sposób najprostszy z możliwych. I niewykluczone, że również najtańszy. Nawet jeśli korporacja musiała zapłacić za nazwę kilka lub nawet kilkanaście milionów dolarów, to i tak jest to koszt mniejszy niż konsekwencje kradzieży potencjalnie gigantycznych ilości danych.

Tagi: Active Directory, bezpieczeństwo, Corp.com, kolizja nazw, Microsoft, Mike O’Connor, Windows