Apple brengt patch uit voor DNS-lek

Apple heeft een patch beschikbaar gesteld voor het ernstige DNS-lek, dat het voor kwaadwillenden mogelijk maakt mailberichten af te vangen en websitebezoekers om te leiden naar nepsites. Apple is rijkelijk laat met het uitbrengen van deze patch.

Apple heeft een beveilingingsbulletin inclusief patch beschikbaar gesteld voor het ernstige DNS-lek, dat begin juli bekend werd. Apple is hiermee rijkelijk laat. Microsoft verspreidde al op 8 juli, tijdens Patch Tuesday, een patch voor de Microsoft DNS-server.

Vervuiling cache DNS-servers

De eerste berichten van aanvallen op DNS-servers zijn inmiddels opgedoken. Een derde van de Nederlandse DNS-servers is nog steeds niet gepatcht. Daartoe behoren ook DNS-servers van providers.

Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres. Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Zij kunnen daardoor de cache van DNS-servers vervuilen met verkeerde ip-adressen. Die foute adressen kunnen ervoor zorgen dat mails in verkeerde handen terecht komen en dat websitebezoekers worden omgeleid naar vervalste websites. Kwaadwillenden kunnen één website 'kapen' (van bijvoorbeeld een bank of een webmailaanbieder), maar in principe ook het hele .com-domein overnemen.