Кратко

  • На заседании ARIN XII 23 октября 2003 года Leslie Nobile, директор регистрационных служб ARIN, описала несанкционированные изменения записей WHOIS. Чужое имя в реестре могло создать видимость полномочий на адреса IP и номера автономных систем; старые блоки с устаревшими контактами были особенно уязвимы.
  • С апреля по октябрь ARIN открыл 110 дел по сообщениям и собственным находкам: 84 были закрыты, 15 оставались на расследовании, по 11 не нашлось доказательств захвата. Типовая схема в докладе допускала последующее объявление маршрута, но числа таких объявлений доклад не приводил.
  • Nobile перечислила текущую работу ARIN по проверке случаев и блокировке записей, затем возможные меры: усиление удостоверения, историю изменений WHOIS и отдельный реестр старых ресурсов. Участники спорили о доказательствах права, цене обслуживания и договорах, которых у ранних держателей могло не быть.

Последняя строка выглядит убедительно

В WHOIS открывают запись и видят организацию, контакт и сетевой ресурс. Если это последняя версия длинной цепочки чужих правок, аккуратный экран скрывает самый важный вопрос: кто менял поля вчера? На заседании ARIN XII в октябре 2003 года один из участников предложил показывать историю изменений WHOIS. Провайдеру было бы легче оценить, можно ли доверять записи, если перед ним не только ее нынешнее лицо.

Поводом стал доклад Leslie Nobile. Она возглавляла регистрационные службы ARIN и рассказывала об изменениях записей, сделанных без разрешения законного держателя. По определению ARIN, мишенью становились прежде всего старые блоки адресов; ложные сведения в WHOIS создавали впечатление, будто посторонний вправе распоряжаться записью. Это касалось адресов IP и номеров автономных систем. Реестр отвечал на запрос пользователя, но ответ мог представлять самозванца.

У такой подмены много читателей. Оператор ищет адрес для связи во время аварии. Сотрудник регистра решает, принимать ли новое заявление на изменение сведений. Другая сеть хочет знать, кто использует ресурс. Всем нужна короткая надежная запись. В докладе ARIN перечислялись последствия ее порчи: ошибки операторов, испорченная база, юридические риски, рост нагрузки, задержки ответов, расходы на людей и адвокатов. Ложный контакт начинает путешествовать между решениями, едва попав в справочник.

Сколько дел было на столе

Nobile принесла конкретный счет. Между апрелем и октябрем 2003 года ARIN открыл 110 дел, поступивших от заявителей или обнаруженных сотрудниками. На день доклада 84 были закрыты, 15 находились в работе и по 11 не нашлось признаков захвата. Арифметика дает ровно 110. Одиннадцать без доказательств занимают свое место в общей цифре; это часть проверенной очереди, а не строка для удаления ради более звучного числа нападений.

Отдельная таблица показывала категории записей: 45 старых блоков класса C, 48 класса B, один класса A, четыре прямых выделения и одно перераспределение. Эти значения описывают виды ресурсов в материале доклада; таблица 84/15/11 описывает исходы проверки дел. Смешав их, легко получить выдуманную статистику. Сохраненная структура доклада дает более точный масштаб: в центре внимания стояли старые регистрационные данные.

В докладе также нет числа сетей, которые самозванцы успели объявить через BGP. Такая возможность присутствует в схеме типового нападения, но отчет о делах не раскрывает ее частоту. Расследование конкретного эпизода потребовало бы архив WHOIS и отдельные сведения о маршрутах. Nobile ставила перед собранием проблему регистрационных полномочий; путь к маршрутизации показывал, чем она могла закончиться.

Как переписывают прошлое по частям

На слайде с типовой последовательностью старый адресный блок может не анонсироваться, а его контактные лица — отсутствовать или давно смениться. Нападающий исследует связанную доменную информацию, регистрирует истекший домен либо похожее имя, затем постепенно меняет контакт, организацию и сетевую запись. После этого возможно объявление сети. Каждый шаг помогает следующему выглядеть естественнее.

Именно поэтому история изменений могла бы стать полезным инструментом. Сегодняшняя версия WHOIS говорит, кто указан сейчас. Хронология показала бы, когда появился новый адрес электронной почты, чем был обоснован переход и какие поля менялись вслед за ним. Запрос на изменение сетевого поля после уже измененного контакта выглядит иначе, если исследователь видит, как был получен этот контакт.

Старые блоки создавали трудность для обеих сторон. Некоторые были выданы до появления ARIN. Их реальные держатели могли продолжать законно работать с адресами, имея старые почтовые домены и документы другого времени. У регистра оставалась обязанность поддерживать полезную запись и канал для исправлений. Самозванец искал именно место, где старое доказательство связи с ресурсом ослабло, а новый запрос еще можно представить убедительно.

Что уже делали сотрудники

Nobile отличала действующие меры от возможных. ARIN заявлял, что выявил характерные признаки незаконных правок, изучает каждый заявленный или обнаруженный случай, ведет учет дел, корректирует процедуры, сотрудничает с правоохранителями и другими региональными регистрами. Организация разработала новый атрибут состояния в базе, позволяющий блокировать запись. Это был способ остановить очередную правку, пока ее происхождение проверяют.

При этом ARIN направлял правоохранителям лишь часть эпизодов и не публиковал подробности отдельных расследований. Посетители собрания получили общую картину и числа. За ними могли обсуждать принципы безопасности, не раскрывая содержание дел о конкретных держателях и спорных адресах.

Другая часть презентации называлась «Possible Actions». ARIN обсуждал дополнительные документы для подтверждения личности, юридические действия, пересмотр договора регистрации, публичную историю WHOIS, более сильные программы проверки и периодическую валидацию. Предлагался и отдельный Registry of Legacy Resources: старая база с собственными вариантами изменения контактов и серверов имен, включая проверку за плату. Это был набор вариантов, представленный на рассмотрение. Для установления даты ввода каждого варианта нужны отдельные последующие документы.

Блокировка записи и показ истории решают разные части задачи. Блокировка замораживает подозрительное действие. История дает операторам и исследователям увидеть путь от прежнего держателя к новому имени. Более жесткое удостоверение пытается остановить подмену на входе. Каждая мера требует решения, как законный держатель пройдет проверку и сколько сил сотрудники потратят на нее.

Старые держатели не одинаковы

Протокол встречи сохранил этот спор живым. Идея требовать корпоративный документ с печатью встретила возражение: среди держателей адресов были физические лица без такой печати. Кто-то не захотел бы отдавать личный налоговый номер. Ужесточение по образцу корпорации могло заблокировать человека, которому запись принадлежала много лет.

Участники обсуждали и деньги. Одни видели в отдельном реестре способ распределить расходы на старые записи и снять часть нагрузки с нынешних плательщиков. Другие хотели сначала обратиться к старым держателям, объяснить риск и лишь потом перемещать записи. Владелец исторического блока напомнил, что дополнительная плата требует договорного основания. История WHOIS для провайдеров, платная проверка для держателей и отдельная база для ресурса меняли разные части отношений между ARIN и теми, кому он выдавал подтверждение.

В годовом отчете ARIN за 2004 год службе Nobile поручены выделение адресных ресурсов, регистрационные и маршрутизационные справочники, обратный DNS и помощь заявителям. Отчет за 2003 год фиксирует ее доклад о захватах. Поэтому вопрос, который зал обсуждал как принцип, ее команда должна была превращать в ответ на конкретное письмо об изменении контакта.

Заключительный совет операторам звучал просто: следить за своими и клиентскими организациями и ресурсными записями, выбирать более надежную аутентификацию там, где она доступна. В схеме с истекшим доменом и постепенной подменой этот совет получает остроту. Необновленная электронная почта может стать первой деталью чужой истории о владении ресурсом.

Nobile сделала видимым масштаб задачи и предел публичных данных. Состояние каждого дела названо, схема атаки приведена, список текущих действий отделен от проектов. Предложение открыть историю изменений вышло прямо из характера угрозы: доверять нужно не только сегодняшней строке, но и тому, как она получила право стать сегодняшней.