Apple brengt patch uit voor DNS-lek

Apple heeft een patch beschikbaar gesteld voor het ernstige DNS-lek, dat het voor kwaadwillenden mogelijk maakt mailberichten af te vangen en websitebezoekers om te leiden naar nepsites. Apple is rijkelijk laat met het uitbrengen van deze patch.

Apple heeft een beveilingingsbulletin inclusief patch beschikbaar gesteld voor het ernstige DNS-lek, dat begin juli bekend werd. Apple is hiermee rijkelijk laat. Microsoft verspreidde al op 8 juli, tijdens Patch Tuesday, een patch voor de Microsoft DNS-server.

Zowel de client- als de serveruitvoering van Mac OS X gebruiken BIND. Voor deze open source DNS-server bestond al een patch, maar Apple had deze nog niet geïntegreerd in zijn besturingssysteem. Door het installeren van de huidige patch wordt BIND geupdate naar versie 9.4.2-P1, die ervoor zorgt dat UDP-pakketten worden voorzien van een willekeurige afzenderpoort.

Vervuiling cache DNS-servers

De eerste berichten van aanvallen op DNS-servers zijn inmiddels opgedoken. Een derde van de Nederlandse DNS-servers is nog steeds niet gepatcht. Daartoe behoren ook DNS-servers van providers.

Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres. Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Zij kunnen daardoor de cache van DNS-servers vervuilen met verkeerde ip-adressen. Die foute adressen kunnen ervoor zorgen dat mails in verkeerde handen terecht komen en dat websitebezoekers worden omgeleid naar vervalste websites. Kwaadwillenden kunnen één website 'kapen' (van bijvoorbeeld een bank of een webmailaanbieder), maar in principe ook het hele .com-domein overnemen.

Internetbankieren

Het DNS-protocol is één van de fundamenten van het internet en wordt gebruikt om het ip-adres te achterhalen waarnaar een mailadres of domeinnaam verwijst. Het door Kaminsky ontdekte beveiligingslek maakt het voor kwaadwillenden mogelijk om mailberichten af te vangen en om internetgebruikers naar nepsites te sturen.

Dat opent allerlei mogelijkheden voor criminelen, zoals het optuigen van een look-a-like internetbankiersite. Met zo'n nepsite kunnen dieven inlognamen, wachtwoorden en beveiligingscodes afvangen en ondertussen de bankrekening op de echte site plunderen.

Snelle check

Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder. Is je provider het probleem, laat het ons dan weten.

	Aantal reacties met 3+ sterren		Gemiddelde waardering
1	PaVaKe	154	6.4
2	Reza Sarshar	120	6.7
3	Henri Koppen	109	6.4
4	edekkinga	79	6.6
5	Jaap-G	53	6.1
6	Guido Groeneweg	49	6.3
7	Ruud Mulder	47	6.5
8	mauwerd	43	6.1
9	Frank Brechts	43	6.0
10	Rob Koelmans	40	6.3

Nieuws / Besturingssystemen

Apple brengt patch uit voor DNS-lek

Vervuiling cache DNS-servers

13-02 Ordina rondt integratie Oracle EBS bij EL&I af

13-02 Perfectview levert CRM-systeem aan Gelderland

10-02 Infor helpt Ferrari met bouwen F1-auto's

10-02 Tester Four Oaks in Israëlische handen

10-02 IS Online en Tres zijn klaar voor Elfstedentocht

10-02 SecureLink migreert Microsoft-diensten Atradius

10-02 Nieuwe software brengt Vitens in problemen

10-02 Ex-Misys-topman moet CSC uit penarie helpen

10-02 Veenman en 20/20 vision adviseren samen klant

10-02 Cisco maakt 2,2 miljard dollar kwartaalwinst

08-02 Nokia verplaatst smartphoneproductie naar India

30-01 LeaseWeb gebruikt besturingssysteem CloudLinux

30-01 13 besmette apps ontdekt in Android Marketplace

30-01 Peak-IT brengt ROI-rapport voor Windows 7

25-01 Verkoop iPhone, iPad en Mac breekt alle records

25-01 VMware ziet omzet en winst in 2011 toenemen

25-01 Scense Live Profiles beheert gebruikersprofielen

23-01 'Microsoft vecht zich met Nokia Lumia 900 terug'

23-01 Uitval Unix-server is oorzaak Wegener-storing

20-01 Microsoft verkoopt minder Windows

04-06-09 Internet krijgt beveiligd DNS-protocol

25-02-09 .com-domein krijgt beveiligd DNS-protocol

06-01-09 Kaminsky vond DNS-lek dankzij fitnessongelukje

12-11-08 Windows 7 biedt betere DNS-beveiliging

11-11-08 Organisaties verwaarlozen DNS-infrastructuur

10-11-08 Nederland patcht slechter tegen Kaminsky-lek

05-09-08 Amsterdam neemt Getronics in bescherming

02-09-08 SIDN: vanaf 2009 overstap naar DNSsec

18-08-08 Internetbankieren onveilig ondanks 3x kloppen

18-08-08 Mailservers nog kwetsbaar voor DNS-lek

14-08-08 Getest: exploittool voor DNS-lek

13-08-08 DNS-lek ondermijnt vertrouwen in internet

11-08-08 Gepatchte DNS-servers binnen tien uur over te nemen

08-08-08 Nederlander vond als eerste details DNS-lek

08-08-08 DNS-lek maakt internetbankieren onveilig

06-08-08 DNS-patches vertragen internetverkeer

05-08-08 DNSSEC enige oplossing tegen DNS-lek

04-08-08 Gepatchte DNS-servers binnen een dag te hacken

04-08-08 Apple-patch voor DNS-lek deugt niet

01-08-08 Geen nieuwe patches ondanks DNS-gevaar

Het herschrijven van de regels van het patch-beheer