万事达卡爆出致命DNS错误配置

如果说网络安全是事误配企业的护城河，那么DNS就是爆出企业的邮政编码，DNS服务一旦遭到攻击或者配置错误，致命置后果不堪设想。事误配

近日，爆出据著名安全博主Krebs爆料，致命置支付巨头万事达卡（MasterCard）存在一个持续近五年的事误配DNS配置错误，差点让这艘戒备森严的爆出金融巨轮陷入万劫不复的深渊。

仅仅一个月前，MasterCard斥资数十亿美元收购了全球最大的事误配人工智能威胁情报公司Recorded Future，试图打造“最懂安全的爆出金融品牌”，但是致命置一个小小的“人员疏忽”，差点断送了MasterCard的事误配所有努力。

研究者发现，爆出多年前MasterCard系统管理人员在配置DNS服务器时因“手滑”，致命置将用于引导mastercard.com网络部分流量的核心DNS服务器之一的地址错误命名为“akam.ne”（本应是akam.net，少打了一个“t”）。从2020年6月30日至2025年1月14日，服务器托管这个错误配置存在了近五年未被发现。

配置错误的DNS地址：a22-65.akam.ne

众所周知，DNS被誉为互联网的“电话簿”，它将网站名称转换为计算机更易管理的数字互联网地址。MasterCard依赖互联网基础设施提供商Akamai提供的五个共享DNS服务器，而这个错误域名配置（上图），如同在电话簿中写错了号码，任何人都可以通过注册未使用的域名（akam.ne）来拦截或劫持MasterCard的互联网流量。

这个难以觉察的错误，被目光敏锐的安全咨询公司Seralys的创始人Philippe Caturegli捕捉到。他发现这个错误域名“akam.ne”未被注册，且其顶级域名由西非国家尼日尔的域名管理机构负责。Caturegli立即投入300美元，经过近三个月的等待，成功注册了该域名，从而防止了网络犯罪分子可能的抢注行为。

在启用“akam.ne”上的DNS服务器后，Caturegli每天都收到来自全球各地的数十万条DNS请求。云服务器显然，MasterCard并非唯一一个在DNS条目中误写“akam.ne”的企业或组织，但它的流量最大。如果Caturegli恶意利用这个域名，他本可以启用邮件服务器，接收原本发往mastercard.com或其他受影响域名的邮件；甚至可能获取网站加密证书（SSL/TLS证书），这些证书被授权接受并转发受影响网站的网络流量；他还可能被动接收受影响公司员工电脑上的微软Windows身份验证凭据。

然而，Caturegli并未这么做。他秉持着负责任的态度，通知MasterCard该域名归属问题，并抄送了相关作者。几小时后，MasterCard承认了错误，但声称其运营从未真正面临安全威胁。

大多数组织至少有两个权威域名服务器，但像MasterCard这样处理大量DNS请求的组织，需要将负载分散到更多的DNS服务器域名上。在MasterCard的案例中，这个数字是五个。因此，如果攻击者设法控制了其中的一个域名，源码库他们将只能看到大约五分之一的总DNS请求。

但Caturegli指出，现实情况是许多互联网用户在一定程度上依赖公共流量转发器或DNS解析器，如Cloudflare和谷歌。因此，只要有一个解析器查询他们的域名服务器并缓存结果，攻击者就可以通过设置DNS服务器记录的长TTL（生存时间）——一个可以调整网络上数据包生命周期的设置——将目标域名的错误指令传播给大型云提供商。“有了长TTL，我们可能会重新路由远不止五分之一的流量。”他说道。

虽然Caturegli避免了一场安全灾难，但是MasterCard却并不领情，MasterCard发言人表示：“我们已经调查了此事，我们的系统并未面临风险。这个错误拼写现在已经更正了。”但事情并未就此结束。MasterCard通过漏洞赏金平台Bugcrowd向Caturegli发出请求，认为他在领英上公开披露MasterCard DNS错误（在他注册“akam.ne”域名后）的行为不符合道德安全实践，并要求他删除该帖子。

事实上，尽管Caturegli在Bugcrowd有账户，但他从未通过该平台提交过任何内容，而是直接向MasterCard报告了这一问题。“在公开披露之前，我确保受影响的域名已注册，以防止被利用，减轻对MasterCard或其客户的任何风险。这一行动是我们自行承担费用的，这表明了我们对道德安全实践和负责任披露的承诺。”他回应道。

Caturegli还希望MasterCard至少能感谢他，或者承担购买域名的费用，但MasterCard的回应显然让他感到失望。他在领英的后续帖子中表示：“我们显然不同意MasterCard的评估。”他还公布了一些在报告问题之前记录的DNS查询截图，以证明潜在风险确实存在。

最新评论