CERT-2008-1447 DNS vulnerability en patch

Het Domain Name System (DNS) is een mechanisme op het Internet waarmee voor mensen hanteerbare computer-aanduidingen, zoals de naam van een website, vertaald worden naar aanduidingen waar computers mee uit de voeten kunnen, zoals IP-adressen. Zogenaamde "nameservers" op het Internet voeren voortdurend zulke vertalingen op verzoek uit. DNS speelt daarmee een onopvallende, maar onmisbare rol op het Internet.

Het DNS protocol en de implementaties ervan worden al jaren geplaagd door nieuw ontdekte kwetsbaarheden waarvoor telkens ook patches worden uitgebracht. Er is nu echter een techniek aangetoond om een bepaald type aanval eenvoudiger uit te voeren waardoor valse DNS informatie verspreid kan worden. Zo'n soort aanval wordt vaak aangeduid met de term "DNS Poisoning" of "Cache pollution". De aanvalstechniek maakt gebruik van een inherente zwakte in het DNS protocol waardoor hier geen waterdichte patch voor gemaakt kan worden.

De zwakte in het protocol was al langer bekend, maar recent onderzoek heeft aangetoond dat deze zwakte veel eenvoudiger is uit te buiten dan tot nu toe werd aangenomen.

Dank zij de manier waarop de nameservers op de TUNIX/Firewall zijn opgezet en worden gebruikt, is het risico dat deze kwetsbaarheid wordt uitgebuit beperkt. Om het risico tot het minimaal haalbare terug te brengen, hebben we een patch gemaakt. De uitrol van deze patch is in volle gang.
De kwestbaarheid is door de patch kleiner geworden maar niet opgelost. Zodra een definitieve oplossing geactiveerd kan worden (b.v. Secure DNS) zal TUNIX dit uiteraard ook doen. Op dit moment wacht de Internet gemeenschap echter op deze oplossingen die centraal en vanuit ICANN via SIDN uitgerold moeten gaan worden.

Ons advies is om - nog meer dan voorheen - niet naar willekeur te surfen op het Internet. Naast de DNS problematiek is er het grotere risico van malware die wordt opgehaald van besmette websites.

Mogelijk misbruik

De techniek is gebaseerd op de validatie-methode die een nameserver gebruikt om te controleren of antwoorden die hij ontvangt wel horen bij vragen die hij zelf heeft gesteld. Het is gebleken dat een attacker een nameserver een DNS antwoord kan sturen dat zo in elkaar zit dat de nameserver het antwoord vertrouwt, maar waarin onjuiste DNS informatie is verwerkt. Hiermee kan de attacker b.v. de nameserver een onjuist adres van een online banking website "voeren". De gebruikers die afhankelijk zijn van deze nameserver zullen vervolgens de valse website van de attacker benaderen zonder dat ze dit zelf kunnen vaststellen door naar de "locatie" (de naam) van de website in de browser te kijken. Omdat de gebruiker de website vertrouwt, kan de attacker vertrouwelijke gegevens zoals loginnaam en wachtwoord van de gebruiker achterhalen.

Back to the overview...