万事达卡爆出致命DNS错误配置

如果说网络安全是事误配企业的护城河，那么DNS就是爆出企业的邮政编码 ，DNS服务一旦遭到攻击或者配置错误，致命置后果不堪设想。事误配

近日 ，爆出据著名安全博主Krebs爆料 ，致命置支付巨头万事达卡（MasterCard）存在一个持续近五年的事误配DNS配置错误 ，差点让这艘戒备森严的爆出金融巨轮陷入万劫不复的深渊。

1.长达五年的致命置致命“小错误”

仅仅一个月前 ，模板下载MasterCard斥资数十亿美元收购了全球最大的事误配人工智能威胁情报公司Recorded Future
，试图打造“最懂安全的爆出金融品牌”
，但是致命置一个小小的“人员疏忽” ，差点断送了MasterCard的事误配所有努力 。

研究者发现，爆出多年前MasterCard系统管理人员在配置DNS服务器时因“手滑” ，致命置将用于引导mastercard.com网络部分流量的核心DNS服务器之一的地址错误命名为“akam.ne”（本应是akam.net，少打了一个“t”） 。免费模板从2020年6月30日至2025年1月14日，这个错误配置存在了近五年未被发现
。

配置错误的DNS地址 ：a22-65.akam.ne

众所周知 ，DNS被誉为互联网的“电话簿”，它将网站名称转换为计算机更易管理的数字互联网地址。MasterCard依赖互联网基础设施提供商Akamai提供的五个共享DNS服务器，而这个错误域名配置（上图） ，如同在电话簿中写错了号码 ，任何人都可以通过注册未使用的域名（akam.ne）来拦截或劫持MasterCard的互联网流量 。

这个难以觉察的香港云服务器错误，被目光敏锐的安全咨询公司Seralys的创始人Philippe Caturegli捕捉到。他发现这个错误域名“akam.ne”未被注册，且其顶级域名由西非国家尼日尔的域名管理机构负责。Caturegli立即投入300美元，经过近三个月的等待，成功注册了该域名，从而防止了网络犯罪分子可能的抢注行为。

DNS配置错误的巨大风险

在启用“akam.ne”上的DNS服务器后 ，源码库Caturegli每天都收到来自全球各地的数十万条DNS请求。显然 ，MasterCard并非唯一一个在DNS条目中误写“akam.ne”的企业或组织
，但它的流量最大。如果Caturegli恶意利用这个域名 ，他本可以启用邮件服务器 ，接收原本发往mastercard.com或其他受影响域名的邮件；甚至可能获取网站加密证书（SSL/TLS证书）  ，这些证书被授权接受并转发受影响网站的网络流量；他还可能被动接收受影响公司员工电脑上的微软Windows身份验证凭据。

然而，Caturegli并未这么做
。云计算他秉持着负责任的态度 ，通知MasterCard该域名归属问题，并抄送了相关作者。几小时后，MasterCard承认了错误
，但声称其运营从未真正面临安全威胁 。

大多数组织至少有两个权威域名服务器，但像MasterCard这样处理大量DNS请求的组织，需要将负载分散到更多的DNS服务器域名上 。在MasterCard的案例中 ，这个数字是五个  。服务器租用因此 ，如果攻击者设法控制了其中的一个域名 ，他们将只能看到大约五分之一的总DNS请求 。

但Caturegli指出 ，现实情况是许多互联网用户在一定程度上依赖公共流量转发器或DNS解析器，如Cloudflare和谷歌。因此 ，只要有一个解析器查询他们的域名服务器并缓存结果 ，攻击者就可以通过设置DNS服务器记录的长TTL（生存时间）——一个可以调整网络上数据包生命周期的设置——将目标域名的错误指令传播给大型云提供商。“有了长TTL，我们可能会重新路由远不止五分之一的流量。”他说道
。

2.MasterCard“恩将仇报”

虽然Caturegli避免了一场安全灾难，但是MasterCard却并不领情，MasterCard发言人表示：“我们已经调查了此事，我们的系统并未面临风险。这个错误拼写现在已经更正了。”但事情并未就此结束
。MasterCard通过漏洞赏金平台Bugcrowd向Caturegli发出请求，认为他在领英上公开披露MasterCard DNS错误（在他注册“akam.ne”域名后）的行为不符合道德安全实践，并要求他删除该帖子 。

事实上 ，尽管Caturegli在Bugcrowd有账户，但他从未通过该平台提交过任何内容，而是直接向MasterCard报告了这一问题 。“在公开披露之前，我确保受影响的域名已注册，以防止被利用，减轻对MasterCard或其客户的任何风险
。这一行动是我们自行承担费用的，这表明了我们对道德安全实践和负责任披露的承诺。”他回应道 。

Caturegli还希望MasterCard至少能感谢他 ，或者承担购买域名的费用，但MasterCard的回应显然让他感到失望 。他在领英的后续帖子中表示：“我们显然不同意MasterCard的评估。”他还公布了一些在报告问题之前记录的DNS查询截图，以证明潜在风险确实存在。