Резюме

  • 15 марта 2023 года AFRINIC сообщила, что фиктивная организация запрашивала доверенности и учётные данные MyAFRINIC в связи с выборами в Совет директоров, которые, по словам AFRINIC, она не проводила.
  • В уведомлении AFRINIC одна и та же учётная запись участника описывалась как путь не только к голосованию и записям организации, но также к трансферам, обратному DNS, RPKI и данным IRR. Предупреждение тем самым высветило общую точку аутентификации для разных форм делегированных полномочий.
  • Доступные материалы не идентифицируют запрашивающую сторону и не подтверждают, что кто-либо передал доверенность или учётные данные, что был выполнен вход в какую-либо учётную запись или что какой-либо голос, запись либо технический объект был изменён.
  • AFRINIC действовала надлежащим образом как частный поставщик услуг, отвергнув ложную предпосылку о выборах и предупредив участников. Это технический учётчик и координатор, а не суверен, регулятор, полиция, прокуратура или карающий орган.
  • Долговременное решение — разделение: учётные данные только для выборов, строго ограниченные доверенности, одобрения с учётом последствий, восстановление по конкретным сервисам, атрибутируемые записи и сохранение последнего проверенного технического состояния на время разрешения спора о представительстве.

Выборы, которых, по заявлению AFRINIC, не существовало

Запрос, как его описала AFRINIC, объединял две необычно чувствительные вещи. Он запрашивал доверенность, которая призвана подтверждать полномочия лица действовать от имени организации, и учётные данные MyAFRINIC, которые могут открывать функции внутри портала участника. Предлогом были выборы в Совет директоров. В уведомлении AFRINIC от 15 марта 2023 года говорилось, что организация, обратившаяся с запросом, была фиктивной и что AFRINIC не проводила заявленные выборы. Участников предупреждали не предоставлять ни юридический документ, ни секрет учётной записи.

Этого уже было достаточно для осторожности. Однако уведомление содержало более показательную деталь. AFRINIC перечислила, к чему может получить доступ запрошенная учётная запись: голосование, записи организации, трансферы, обратный DNS, инфраструктура открытых ключей ресурсов и данные реестра маршрутизации интернета. Это не шесть вариантов одной и той же административной рутины. Они затрагивают участие в управлении, корпоративную идентичность, администрирование ресурсов, сходное с хранением, именование, заявления о безопасности источника маршрута и публикацию политики маршрутизации.

Когда они доступны через одну связь с учётной записью, на вид избирательный запрос указывает на гораздо более широкую область практических полномочий.

Это наблюдение не доказывает, что в эту область проникли. Публичные свидетельства не говорят, что получатель подчинился, что учётные данные сработали или что запрашивающий получил доступ к учётной записи. Они не показывают ни поданного голоса, ни изменённой записи компании, ни переданного блока адресов, ни изменённой делегации обратного DNS, ни изменённой авторизации источника маршрута, ни переписанной записи IRR. Личность, принадлежность, местоположение, намерение и мотив отправителя остаются за пределами материалов.

Поэтому правильный предмет анализа — не угаданный злоумышленник и не воображаемое вторжение, а устройство полномочий вокруг общих учётных данных.

Концентрация имеет значение, потому что люди не интерпретируют запрос в вакууме. Представитель участника, который связывает портал с выборами, может увидеть правдоподобный мост между якобы избирательной формой и входом. Технический оператор, использующий тот же портал для администрирования ресурсов, может не быть лицом, уполномоченным назначать представителя. Сотрудник компании, который может подписать доверенность, может не понимать каждое техническое разрешение, стоящее за запрашиваемой учётной записью. Один секрет может сделать эти разные роли взаимозаменяемыми на вид, даже если лежащие в основе полномочия не таковы.

Самый сильный аргумент в пользу предупреждения — и единого портала

Немедленный ответ AFRINIC заслуживает быть изложенным в полную силу. Частный поставщик услуг узнал о запросе, использовавшем, по его заявлению, ложную предпосылку о выборах. Он публично опроверг эту предпосылку и предупредил участников не передавать ни доверенности, ни учётные данные. Это ровно тот вид защитной коммуникации, который реестр вправе направлять: достаточно конкретный, чтобы прервать доверие, достаточно сдержанный, чтобы не делать вид уголовного решения, и адресованный тем людям, чьи учётные записи и доверенности пытались получить.

Уведомление также хорошо использовало институциональное положение. Только AFRINIC могла авторитетно сообщить своим участникам, проводит ли AFRINIC эти выборы. Сообщение от самого сервиса могло снять самое важное притязание запроса на легитимность, не строя догадок о том, кто его отправил. В ситуации, когда срочное обращение может заимствовать визуальные или риторические признаки управления, ясное заявление от фактического владельца процесса является мощным корректирующим средством. Оно позволяет получателю остановиться на пороге: выборов нет — значит, нет законной причины раскрывать запрошенные материалы для этой цели.

Существует и веский благоприятный аргумент в пользу единого портала участника. Участники не должны поддерживать лабиринт несогласованных идентичностей лишь потому, что реестр предоставляет несколько связанных услуг. Одно аутентифицированное отношение может сократить дублирование контактных данных, упростить поддержку, помочь уполномоченному представителю увидеть ресурсы организации и дать связное место для выполнения законной работы. Интеграция может повысить качество записей. Она также может ослабить человеческий соблазн создавать неофициальные обходные каналы, когда повседневное администрирование становится слишком фрагментированным.

Удобство само по себе имеет управленческую ценность. Если участник может найти свои уполномоченные контакты, сведения о ресурсах и элементы управления сервисами в одной понятной среде, ему может быть проще поддерживать данные в актуальном состоянии и замечать неожиданное изменение. Сотрудники поддержки могут рассуждать, исходя из общего отношения участника, а не сверять несколько противоречивых учётных записей. Единый портал может сделать сервис понятным для небольших организаций, не имеющих специализированных команд по реестрам. Ничего подозрительного здесь нет; многое является хорошим дизайном услуги.

Этот благоприятный аргумент не следует отвергать лишь потому, что обманный запрос упомянул портал. Предупреждение также не доказывает, что в марте 2023 года у AFRINIC отсутствовали многофакторная аутентификация, разделение ролей, проверки одобрения, журналы или механизмы восстановления. Закрытый публичный материал не содержит описи этих средств контроля. Было бы безответственно превращать молчание о реализации в обвинение в халатности.

Вопрос, поднятый уведомлением, уже: если одни учётные данные представляются ключом к функциям с резко разными последствиями, как окружающая цепочка полномочий должна помешать тому, чтобы одно событие аутентификации было принято за универсальное разрешение?

Предупреждение, а не отчёт о взломе

Это различие — дисциплина, от которой зависит остальной анализ. AFRINIC сообщила о запросе. В материалах, доступных здесь, она не сообщала о состоявшейся компрометации. Запрошенная доверенность — не выданная доверенность. Запрошенный пароль или фактор входа — не переданные учётные данные. Даже предъявленные учётные данные доказали бы лишь, что система увидела соответствующий секрет или фактор; сами по себе они не доказали бы, что предъявивший их человек обладает всеми корпоративными, избирательными и техническими мандатами, связанными с учётной записью.

Уведомление также не называет число получателей. Оно не устанавливает, получил ли запрос один участник или многие, были ли все сообщения идентичными, поверил ли им кто-либо из конкретных людей. Оно не устанавливает финансовых потерь, операционных потерь, сбоя или маршрутизационного инцидента. Оно не фиксирует действий правоохранительных органов, уголовного преследования или вывода об уголовной ответственности. Эти отсутствия — не второстепенные оговорки, которые нужно похоронить после драматичного рассказа. Они определяют, что можно ответственно утверждать.

Отправителя нельзя достроить умозаключением. Фраза «фиктивная организация» — это описание AFRINIC организации, упомянутой в запросе, а не разрешение приписывать обращение известной компании, группировке, стране, участнику тяжбы или группе интересов. Ложная предпосылка о выборах может подсказывать теории, но граница доказательств исключает их. Намерение также неизвестно. Статье не нужно устанавливать мотив, чтобы выявить структурный урок, поскольку уже перечисленных AFRINIC разрешений достаточно, чтобы показать, почему запрос учётных данных заслуживал срочного внимания.

Именно это делает эпизод институционально полезным. Успешная атака часто направляет анализ в сторону ущерба: что изменилось, кто что потерял, какой сервис вышел из строя. Здесь таких последствий не установлено. Вместо этого предупреждение даёт чистый взгляд на потенциальный охват. Оно называет поверхности, объединённые вокруг учётной записи, до того как какой-либо доказанный результат затемнит вопрос устройства системы. Урок не в том, что каждая возможность была использована. Урок в том, что несколько видов полномочий находились достаточно близко к одним учётным данным, чтобы AFRINIC перечислила их в одном предупреждении.