MasterCard поставили на вид ошибку DNS пятилетней давности

MasterCard поставили на вид ошибку DNS пятилетней давности

MasterCard поставили на вид ошибку DNS пятилетней давности

Компания MasterCard исправила ошибку конфигурации DNS, грозящую перехватом и перенаправлением трафика. Как выяснил известный журналист-расследователь Брайан Кребс (Brian Krebs), адрес авторитативного сервера был указан с опечаткой еще в 2020 году.

Для направления трафика в свою сеть MasterCard использует пять DNS-серверов Akamai. Их адреса должны оканчиваться на «akam.net», но в одном случае домен был прописан в настройках как «akam.ne» — такие ошибки зачастую используют в неблаговидных целях тайпсквоттеры.

Опечатку обнаружил недавно Филиппе Катурельи (Philippe Caturegli), основатель компании Seralys, специализирующейся на консалтинге в сфере ИБ. Уплатив $300, он зарегистрировал неиспользуемый домен akam.ne (TLD-зона Нигера) и поднял сервер DNS.

К удивлению исследователя, DNS-запросы из разных стран потекли рекой, с интенсивностью сотни тысяч в сутки. По всей видимости, ошибка, которую допустила MasterCard, оказалась общим местом.

Имейл-сервер, работающий в akam.ne, обеспечил бы, по словам Кребса, перехват почты, предназначенной mastercard.com и другим затронутым доменам. Полученный доступ также позволял получить сертификаты SSL/TLS для приема и переадресации трафика таких сайтов.

Можно было даже наладить сбор аутентификационных данных корпоративных пользователей Windows, однако Катурельи не стал экспериментировать и просто предложил MasterCard принять в дар право на зарегистрированный домен.

В ответ в компании признали ошибку, но заявили, что угрозы безопасности деловых операций она не несет. Столь пренебрежительное с отношение к сигналу обескуражило эксперта, и он рассказал о своем фиаско в LinkedIn.

Опечатку MasterCard все же исправила, а Катурельи получил сообщение от команды Bugcrowd (платформа для размещения программ bug bounty) с упреками в неэтичном поведении и просьбой удалить LinkedIn-пост, в котором упомянута нелицеприятная реакция MasterCard.

 

У Катурельи есть аккаунт Bugcrowd, но он им никогда не пользовался, на что и указал в ответ на обвинения в нарушении правил раскрытия уязвимостей, принятых на платформе. Исследователь также подчеркнул, что приложил все усилия, чтобы снизить риски для MasterCard, даже заплатил за домен из своего кармана, чтобы им не завладели злоумышленники.

В ходе интервью автор потенциально опасной находки признался Кребсу, что надеялся на компенсацию затрат. В итоге его даже не поблагодарили.

Как оказалось, неправильно прописанный DNS-сервер отвечает за трафик в поддомене az.mastercard.com, который используется для доступа к рабочим серверам Microsoft Azure.

Кребс также выяснил, что имя akam.ne было в декабре 2016 зарегистрировано пользователем с имейл-адресом um-i-delo[@]yandex.ru — неким Иваном И. из Москвы. На тот момент домен резолвился в IP-адрес, принадлежащий германскому сервис-провайдеру Team Internet (AS61969), предоставляющему услуги парковки доменов.

В 2018 году срок обслуживания akam.ne истек, и возобновлять его бывший владелец не стал. Аналогичная судьба постигла домен awsdns-06.net:: его тоже зачастую вбивали в настройки с ошибкой, как awsdns-06.ne, и в итоге неправильный вариант был зарегистрирован в 2017 году под playlotto[@]yandex.ru для сервера в той же сети Team Internet.

Национальной ERP не будет: Минцифры решило не создавать российский SAP

Идею создать в России единую «национальную ERP» — большой и универсальный аналог SAP — в Минцифры решили аккуратно отложить в сторону. Как пояснили в ведомстве, делать одну «главную» систему на всех — не лучшая идея ни для рынка, ни для самих заказчиков.

Как передаёт РБК, в министерстве считают, что выбор единственной национальной ERP поставил бы разработчиков в неравные условия и притормозил развитие уже существующих российских решений.

К тому же «отечественная» и «национальная» — это не одно и то же: отечественных ERP может быть несколько, а национальная по определению одна и с особым статусом.

Напомним, ERP — это системы управления ключевыми бизнес-процессами компаний. К теме государство вернулось после того, как на ЦИПР основатель «Севергрупп» Алексей Мордашов признался: российскую замену SAP для крупных холдингов найти по-прежнему сложно. В ответ правительство поручило Минцифры проработать формат ERP-консорциума — но, как выяснилось, не для создания нового «монолита».

Вместо этого консорциум будет собирать и систематизировать требования крупного бизнеса к ERP-системам и помогать вендорам дорабатывать свои продукты. Работу планируют вести на базе АНО «Национальный центр компетенций по информационным системам управления холдингом» (НЦК ИСУ). В него уже входят представители металлургии, нефтегаза, химии, транспорта и профильных индустриальных центров компетенций.

По словам главы НЦК ИСУ Кирилла Семионa, центр уже собрал более 1,3 тысячи требований бизнеса к ERP, включая свыше 200 критически важных технических требований для крупных холдингов. Эти данные легли в основу технического задания для универсального корпоративного ERP-шаблона. До 2027 года центр также займётся моделированием корпоративной архитектуры и формированием базы эталонных бизнес-процессов.

Контекст здесь понятный: SAP до 2022 года обслуживала в России около 1,5 тысячи клиентов — от РЖД и «Аэрофлота» до банков и нефтегазовых гигантов. После ухода компании бизнес оказался в ситуации, когда «одной кнопкой» заменить систему нельзя. Попытки создать российский аналог предпринимались — та же «Северсталь» вместе с «Сибуром» оценивали проект в $1 млрд, но в итоге отказались из-за сложности и цены.

При этом в Минцифры подчёркивают: рынок ERP в России живой. Уже используются «1С:ERP», «Галактика ERP», «Турбо ERP», Global ERP и другие решения. Более того, по оценкам экспертов, около 40% крупных холдингов в 2025 году всё ещё частично работают на SAP. Многие идут по пути «разрезания» системы на модули — так, например, поступает Сбербанк.

В министерстве считают, что полное копирование SAP — избыточная цель. Вместо этого предлагается формировать экосистему ERP из решений разных вендоров, если они могут нормально «стыковаться» между собой и соответствовать требованиям заказчиков. Задача консорциума — как раз помочь выработать общие правила игры и синхронизировать дорожные карты разработчиков.

Эксперты относятся к такому подходу по-разному. Одни считают его прагматичным и неизбежным, другие — временной мерой с высокими издержками и рисками для безопасности. Но в одном сходятся почти все: создать полноценный аналог SAP с нуля быстро и дёшево невозможно.

Так что ставка делается не на «великую национальную ERP», а на эволюцию — через экосистемы, методологии и постепенное замещение. Без громких лозунгов, зато ближе к реальности бизнеса.

Кстати, на днях Арбитражный суд Москвы признал законной сделку по уступке долгов российской «дочки» SAP юридической компании «Легат». В 2024 году SAP передала ей права требования за 60 млн рублей, что составило около 3% от общего объёма долгового портфеля.

RSS: Новости на портале Anti-Malware.ru