万事达卡爆出致命DNS错误配置

如果说网络安全是事误配企业的护城河，那么DNS就是爆出企业的邮政编码 ，DNS服务一旦遭到攻击或者配置错误 ，致命置后果不堪设想
。事误配

近日，爆出据著名安全博主Krebs爆料，致命置支付巨头万事达卡（MasterCard）存在一个持续近五年的事误配DNS配置错误，差点让这艘戒备森严的爆出金融巨轮陷入万劫不复的深渊。

1.长达五年的致命置致命“小错误”

仅仅一个月前，模板下载MasterCard斥资数十亿美元收购了全球最大的事误配人工智能威胁情报公司Recorded Future ，试图打造“最懂安全的爆出金融品牌”，但是致命置一个小小的“人员疏忽”
，差点断送了MasterCard的事误配所有努力。

研究者发现，爆出多年前MasterCard系统管理人员在配置DNS服务器时因“手滑”，致命置将用于引导mastercard.com网络部分流量的核心DNS服务器之一的地址错误命名为“akam.ne”（本应是akam.net ，少打了一个“t”） 。服务器租用从2020年6月30日至2025年1月14日，这个错误配置存在了近五年未被发现。

配置错误的DNS地址：a22-65.akam.ne

众所周知，DNS被誉为互联网的“电话簿”，它将网站名称转换为计算机更易管理的数字互联网地址。MasterCard依赖互联网基础设施提供商Akamai提供的五个共享DNS服务器，而这个错误域名配置（上图），如同在电话簿中写错了号码
，任何人都可以通过注册未使用的域名（akam.ne）来拦截或劫持MasterCard的互联网流量
。

这个难以觉察的香港云服务器错误，被目光敏锐的安全咨询公司Seralys的创始人Philippe Caturegli捕捉到。他发现这个错误域名“akam.ne”未被注册，且其顶级域名由西非国家尼日尔的域名管理机构负责 。Caturegli立即投入300美元 ，经过近三个月的等待，成功注册了该域名，从而防止了网络犯罪分子可能的抢注行为 。

DNS配置错误的巨大风险

在启用“akam.ne”上的DNS服务器后，高防服务器Caturegli每天都收到来自全球各地的数十万条DNS请求 。显然，MasterCard并非唯一一个在DNS条目中误写“akam.ne”的企业或组织 ，但它的流量最大 。如果Caturegli恶意利用这个域名，他本可以启用邮件服务器 ，接收原本发往mastercard.com或其他受影响域名的邮件；甚至可能获取网站加密证书（SSL/TLS证书），这些证书被授权接受并转发受影响网站的网络流量；他还可能被动接收受影响公司员工电脑上的微软Windows身份验证凭据
。

然而，Caturegli并未这么做 
。建站模板他秉持着负责任的态度，通知MasterCard该域名归属问题 ，并抄送了相关作者。几小时后 ，MasterCard承认了错误，但声称其运营从未真正面临安全威胁 
。

大多数组织至少有两个权威域名服务器
，但像MasterCard这样处理大量DNS请求的组织 ，需要将负载分散到更多的DNS服务器域名上。在MasterCard的案例中 ，这个数字是五个。源码库因此，如果攻击者设法控制了其中的一个域名，他们将只能看到大约五分之一的总DNS请求 。

但Caturegli指出，现实情况是许多互联网用户在一定程度上依赖公共流量转发器或DNS解析器 ，如Cloudflare和谷歌 。因此 ，只要有一个解析器查询他们的域名服务器并缓存结果，攻击者就可以通过设置DNS服务器记录的长TTL（生存时间）——一个可以调整网络上数据包生命周期的设置——将目标域名的错误指令传播给大型云提供商
。“有了长TTL，我们可能会重新路由远不止五分之一的流量
。”他说道。

2.MasterCard“恩将仇报”

虽然Caturegli避免了一场安全灾难
 ，但是MasterCard却并不领情 ，MasterCard发言人表示：“我们已经调查了此事 ，我们的系统并未面临风险 。这个错误拼写现在已经更正了。”但事情并未就此结束。MasterCard通过漏洞赏金平台Bugcrowd向Caturegli发出请求，认为他在领英上公开披露MasterCard DNS错误（在他注册“akam.ne”域名后）的行为不符合道德安全实践，并要求他删除该帖子。

事实上 
，尽管Caturegli在Bugcrowd有账户
，但他从未通过该平台提交过任何内容 ，而是直接向MasterCard报告了这一问题 。“在公开披露之前
，我确保受影响的域名已注册 ，以防止被利用，减轻对MasterCard或其客户的任何风险
。这一行动是我们自行承担费用的，这表明了我们对道德安全实践和负责任披露的承诺 。”他回应道。

Caturegli还希望MasterCard至少能感谢他 ，或者承担购买域名的费用，但MasterCard的回应显然让他感到失望。他在领英的后续帖子中表示  ：“我们显然不同意MasterCard的评估。”他还公布了一些在报告问题之前记录的DNS查询截图 ，以证明潜在风险确实存在。