Orange przejściowo utraciło kontrolę nad swoją domeną? Włamania nie sposób wykluczyć

Jeszcze wczoraj domena orange.pl, należąca do jednego znajwiększych w naszym kraju operatorów, rozwiązywała się zapomocą serwerów nazw o nie budzących podejrzeń adresach –dns-pub01 i dns-pub02 w domenie centertel.pl.Dzisiaj nad ranem doszło do modyfikacji strefy DNS, tak że rekordydomeny zaczęły wskazywać na bardzo dziwne adresy ns1 i ns2w domenie domain-under-dispute.com.

Wbrew nazwie resolwera DNS, na jaki wskazywał zmieniony rekorddomeny, cała sprawa nie może mieć zbyt wiele wspólnego zdomenowym sporem, zakładanym gdy dwie strony roszczą sobie prawo dokorzystania z tego samego domenowego adresu. Takie spory odbywająsię dla domen globalnych gTLD według reguł wyznaczonych przez WIPO(Światową Organizację Własności Intelektualnej), zaś w wypadkudomen krajowych (ccTLD), według reguł wyznaczanych przez prawolokalne. W Polsce spory takie odbywają się najczęściej przedSądem Polubownym Polskiej Izby Informatyki i Telekomunikacji – dotej instytucji odwołują się zapisy regulaminu operatora domeny.pl, czyli NASK. W razie założenia sporu, domena przenoszona jestna serwery DNS należące do NASK-u.

Możliwe są więc dwa scenariusze – albo ktoś w londyńskiejfirmie Orange Brand Services Ltd. (zarządzającej domenami i znakamitowarowymi należącymi do Orange) po prostu się pomylił, błędniewpisując rekordy NS w strefie domeny, albo też doszło do włamaniado registrara, firmy IP Mirror Pte Ltd z Singapuru i zmian dokonałktoś z zewnątrz.

O godzinie 13:30 czasu warszawskiego ustawienia strefy domenyzostały przywrócone, i orange.pl rozwiązuje się poprawnie, alejeśli problem z DNS-ami był wynikiem ataku, to konsekwencje mogąbyć znacznie poważniejsze, niż tylko chwilowa niedostępnośćfirmowej strony. Tracąc kontrolę nad domeną, Orange mogło stracićkontrolę nad rekordem SPF (Sender Policy Framework), pozwalającymna sprawdzanie w DNS, czy wysyłana poczta faktycznie pochodzi zserwera mającego uprawnienia do wysyłania poczty z danej domeny.Jeśli spamerzy zdołali obejść to zabezpieczenie, modyfikującrekord SPF, tak jak zmodyfikowano rekordy NS, to czekać nas możeduża fala spamu z adresów w domenie orange.pl.

Próbowaliśmy skontaktować się z rzecznikiem Orange Polska, aledo tej pory nie było to możliwe. Jak pojawią się tylko oficjalnewyjaśnienia, opublikujemy je tutaj. Warto zauważyć, że należącado Orange strona orange.com wyświetla obecnie jedynie komunikat otrwających pracach technicznych.