Egyetlen átgondolatlan domain-regisztráció elég volt ahhoz, hogy vállalati titkok tömege landoljon egy kutató fiókjában.
A noreply.net és a noreply.us domain megvásárlásával Cory Solovewicz biztonsági kutató olyan digitális gyűjtőhelyet hozott létre, ahová sokezer szervezet küldte el kéretlenül a legféltettebb adatait. Az automatizált rendszerek és a tesztelő szoftverfejlesztők éveken át létező, de idegen tulajdonban lévő címekre továbbították a rendszerüzeneteket abban a téves hitben, hogy azok sehová sem érkeznek meg.
Amikor a vakcímek életre kelnek a hálózatban
A szoftverfejlesztésben és a rendszeradminisztrációban évtizedes gyakorlat, hogy a kimenő automatikus üzenetek feladójaként vagy tesztkörnyezetek válaszcímeként valamilyen általános nevet adnak meg. Sok cég a saját domainje helyett olyan kézenfekvőnek tűnő címeket használt, mint a noreply.net vagy a noreply.us. A fejlesztők abból a feltételezésből indultak ki, hogy ezek nem létező vagy gondozatlan végpontok, ahonnan senki nem olvassa el a küldött tartalmakat.
Ez a feltételezés azonnal megdőlt, amikor Cory Solovewicz megvásárolta a címeket. A kutató eredetileg saját adatvédelmi kísérlethez, gyűjtőcímként szánta a noreply.us címet 2020-ban, majd 2024-ben megszerzi a noreply.net domaint is. Ezt követően a szervereire elképesztő mennyiségű e-mail kezdett ömleni. A két domainre összesen több mint 439 000 üzenet érkezett több mint 14 000 egyedi feladótól és 6200 gyökérdomainről. A noreply.net önmagában több mint 28 000 csatolmányt fogadott be, amelyek között bizalmas vállalati és személyes adatok sora rejtőzött.
Gyári kameraképektől a jelszó-visszaállító tokenekig
A beérkező levelek tartalma pontosan megmutatja a vállalati informatikai rendszerek gondatlanságát. A noreply.net és noreply.us fiókokba érkeztek önkormányzati sérülési jelentések, iskolai platformok regisztrációs adatai, tesztkörnyezetek hozzáférési kódjai, rendelési visszaigazolások és belső szolgáltatási kérelmek. A feladók között multinacionális vállalatok, kiberbiztonsági cégek, Microsoft-partnerek és kormányzati szervek egyaránt szerepeltek.
Cory Solovewicz kísérletével párhuzamosan egy másik kutató, Mike Sheward is hasonló jelenséget dokumentált. Ő mindössze 15 dollárért vásárolta meg a deleteduser.com domaint, miután észrevette,hogy a szoftverfejlesztők gyakran erre a domainre cserélik ki a törölt felhasználók e-mail-címeit. Sheward órákon belül kapott szállodai vendéglistákat, munkavállalói szabadságolási jóváhagyásokat, brit kormányzati Zoom-meghívókat és érvényes WordPress jelszó-visszaállító linkeket. Egy mesterséges intelligenciával foglalkozó cég pedig ipari kamerák felvételeinek ezreit küldte el a szerverére, amelyeken közel-keleti munkások biztonsági előírásainak betartását ellenőrizték.
A megvásárolt tesztdomainek adatforgalmának összehasonlítása
| Domain név | Kutató | Beérkezett üzenetek | Kiszivárgott adatpéldák |
|---|---|---|---|
| noreply.net / noreply.us | Cory Solovewicz | 439 051 üzenet (28 365 csatolmány) | Önkormányzati jelentések, tesztkörnyezet belépők, rendelések |
| deleteduser.com | Mike Sheward | Sokezer üzenet több mint 30 szervezettől | WordPress jelszó-visszaállítók, ipari kameraképek, vendéglisták |
Rendszerszintű kockázatok és a védekezés helyes útja
A két kutató által feltárt helyzet rámutat arra, hogy a cégek milyen könnyen hoznak létre akarva-akaratlanul adathalászati és kémkedési célpontokat. Ha ezeket a domaineket nem etikus kutatók, hanem bűnözők vásárolják meg, a beérkező jelszó-visszaállító hivatkozásokkal, tesztkonfigurációkkal és belső dokumentumokkal azonnali hozzáférést szerezhettek volna a vállalati hálózatokhoz. A szivárgások ráadásul nem külső támadás, hanem a cégek saját levelezőszervereinek hibás beállítása miatt történtek.
A probléma megelőzése technológiailag egyszerű, mégis sok helyen figyelmen kívül hagyják. A szervezeteknek kizárólag a saját ellenőrzésük alatt álló domaineket szabadna használniuk a noreply jellegű üzenetekhez. Amennyiben kézbesíthetetlen, fiktív e-mail-címet szeretnének megadni a tesztelések során, az RFC szabvány által lefoglalt .invalid legfelső szintű domaint kell alkalmazniuk. A .invalid végződésű domainek garantáltan nem irányíthatók át semmilyen valós szerverre, így a tévesen kiküldött levelek soha nem landolhatnak idegen kézben.
A kutatók fellépése és a jövőbeli tanulságok
A biztonsági konferencián bemutatott kutatás eredményei nyomán Solovewicz és Sheward megkezdték az érintett vállalatok és szervezetek értesítését. Céljuk, hogy felhívják a figyelmet a vállalati auditok fontosságára és a tesztkörnyezetek szigorúbb ellenőrzésére. Mindkét szakember további hasonló domainneveket vásárolt meg megelőző jelleggel, hogy megakadályozzák azok kártékony célú felhasználását.
