MasterCard поставили на вид ошибку DNS пятилетней давности

MasterCard поставили на вид ошибку DNS пятилетней давности

MasterCard поставили на вид ошибку DNS пятилетней давности

Компания MasterCard исправила ошибку конфигурации DNS, грозящую перехватом и перенаправлением трафика. Как выяснил известный журналист-расследователь Брайан Кребс (Brian Krebs), адрес авторитативного сервера был указан с опечаткой еще в 2020 году.

Для направления трафика в свою сеть MasterCard использует пять DNS-серверов Akamai. Их адреса должны оканчиваться на «akam.net», но в одном случае домен был прописан в настройках как «akam.ne» — такие ошибки зачастую используют в неблаговидных целях тайпсквоттеры.

Опечатку обнаружил недавно Филиппе Катурельи (Philippe Caturegli), основатель компании Seralys, специализирующейся на консалтинге в сфере ИБ. Уплатив $300, он зарегистрировал неиспользуемый домен akam.ne (TLD-зона Нигера) и поднял сервер DNS.

К удивлению исследователя, DNS-запросы из разных стран потекли рекой, с интенсивностью сотни тысяч в сутки. По всей видимости, ошибка, которую допустила MasterCard, оказалась общим местом.

Имейл-сервер, работающий в akam.ne, обеспечил бы, по словам Кребса, перехват почты, предназначенной mastercard.com и другим затронутым доменам. Полученный доступ также позволял получить сертификаты SSL/TLS для приема и переадресации трафика таких сайтов.

Можно было даже наладить сбор аутентификационных данных корпоративных пользователей Windows, однако Катурельи не стал экспериментировать и просто предложил MasterCard принять в дар право на зарегистрированный домен.

В ответ в компании признали ошибку, но заявили, что угрозы безопасности деловых операций она не несет. Столь пренебрежительное с отношение к сигналу обескуражило эксперта, и он рассказал о своем фиаско в LinkedIn.

Опечатку MasterCard все же исправила, а Катурельи получил сообщение от команды Bugcrowd (платформа для размещения программ bug bounty) с упреками в неэтичном поведении и просьбой удалить LinkedIn-пост, в котором упомянута нелицеприятная реакция MasterCard.

 

У Катурельи есть аккаунт Bugcrowd, но он им никогда не пользовался, на что и указал в ответ на обвинения в нарушении правил раскрытия уязвимостей, принятых на платформе. Исследователь также подчеркнул, что приложил все усилия, чтобы снизить риски для MasterCard, даже заплатил за домен из своего кармана, чтобы им не завладели злоумышленники.

В ходе интервью автор потенциально опасной находки признался Кребсу, что надеялся на компенсацию затрат. В итоге его даже не поблагодарили.

Как оказалось, неправильно прописанный DNS-сервер отвечает за трафик в поддомене az.mastercard.com, который используется для доступа к рабочим серверам Microsoft Azure.

Кребс также выяснил, что имя akam.ne было в декабре 2016 зарегистрировано пользователем с имейл-адресом um-i-delo[@]yandex.ru — неким Иваном И. из Москвы. На тот момент домен резолвился в IP-адрес, принадлежащий германскому сервис-провайдеру Team Internet (AS61969), предоставляющему услуги парковки доменов.

В 2018 году срок обслуживания akam.ne истек, и возобновлять его бывший владелец не стал. Аналогичная судьба постигла домен awsdns-06.net:: его тоже зачастую вбивали в настройки с ошибкой, как awsdns-06.ne, и в итоге неправильный вариант был зарегистрирован в 2017 году под playlotto[@]yandex.ru для сервера в той же сети Team Internet.

Минцифры утвердило методику расчета 3% отчислений на образование

Завершилось публичное обсуждение приказа Минцифры, в котором содержится методика расчёта отчислений ИТ-компаний на образование. Документ уже подписан и ожидает регистрации в Министерстве юстиции. Его основную часть составляет методика оценки результатов реализации соглашений, включающая обязательные и вариативные мероприятия.

В перечень обязательных мероприятий вошли привлечение сотрудников ИТ-компаний к преподаванию в вузах и ссузах, а также разработка и экспертиза образовательных программ по ИТ- и ИБ-специальностям.

Документ был размещён на портале проектов нормативных актов ещё 11 марта. В ходе обсуждения в него внесли ряд изменений, однако принципиального характера они не носят.

В перечень вариативных мероприятий вошли стажировки для студентов, разработка программ дополнительного образования для школьников, участие в повышении квалификации преподавателей информатики, а также размещение контента на образовательных платформах.

Каждое из этих мероприятий получило денежную оценку. Например, академический час преподавания в вузе оценён в 4,14 тыс. рублей, в ссузе — в 3,9 тыс. рублей, час стажировки для слушателя — в 800 рублей, для наставника — в 2,4 тыс. рублей. Наибольшую стоимость получила разработка образовательных программ: она оценивается минимум более чем в 530 тыс. рублей, даже если речь идёт о курсе для школьников.

При этом у компаний остаётся возможность устанавливать и более высокие суммы. Однако такие расходы должны быть подтверждены аудиторским заключением. По оценке главы комитета по информатизации АРПП «Отечественный софт» Анастасии Гореловой, которую она привела в комментарии для ComNews, расценки, заложенные в документе, как минимум в 1,5 раза ниже рыночных. Тем не менее, по мнению опрошенных изданием компаний, по крайней мере в первый год они будут ориентироваться именно на показатели из методики Минцифры.

С другой стороны, как отметила заместитель генерального директора по взаимодействию с органами власти «Базальт СПО» Надежда Кострюкова, реализация таких мероприятий повышает вероятность того, что в компании придут выпускники, чьи навыки будут лучше адаптированы к требованиям рынка, а не просто получившие определённый багаж знаний.

Отчёт о реализации таких мероприятий необходимо будет ежегодно подавать в Минцифры. Это потребуется для подтверждения аккредитации. Под действие данного требования подпадают ИТ- и ИБ-компании со штатом более 100 человек и годовым оборотом свыше 1 млрд рублей.

«Приказ будет опубликован на сайте Минцифры после регистрации в Министерстве юстиции (Минюсте) в соответствии с законодательством. В рамках заключения соглашений с вузами крупные ИТ-компании до 30 января 2026 года должны были предоставить в Федеральную налоговую службу (ФНС) согласие на раскрытие налоговой тайны по коду 20047. Это было необходимо для расчёта объёма средств, которые компании должны направить на сотрудничество с образовательными организациями для подтверждения ИТ-аккредитации. Вопрос изменения или актуализации методики расчёта может быть рассмотрен по итогам первого года действия меры», — прокомментировала пресс-служба Минцифры в ответ на запрос ComNews.

RSS: Новости на портале Anti-Malware.ru