Cruciaal beveiligingslek in Domain Name System

Een beveiligingsonderzoeker heeft een cruciaal beveiligingslek ontdekt in het Domain Name System (DNS). Het beveiligingslek maakt het mogelijk voor kwaadwillenden om mailberichten af te vangen en om internetgebruikers naar nepsites te sturen.

Beveiligingsonderzoeker Dan Kaminsky van IOActive heeft een cruciaal beveiligingslek ontdekt in het Domain Name System (DNS).

Het goede nieuws is dat Kaminsky alle betrokken partijen, waaronder verkopers van DNS-servers en -clients eind maart al op de hoogte heeft gesteld van het probleem. Vanaf 8 juli is een deel van de  betrokkenen daardoor begonnen met het verspreiden van een patch voor het probleem (waaronder Microsoft tijdens Patch Tuesday met MS08-037).

Bankrekening plunderen

Het DNS-protocol is één van de fundamenten van het internet en wordt gebruikt om het ip-adres te achterhalen waarnaar een mailadres of domeinnaam verwijst. Het door Kaminsky ontdekte beveiligingslek maakt het voor kwaadwillenden mogelijk om mailberichten af te vangen en om internetgebruikers naar nepsites te sturen.

Dat opent allerlei mogelijkheden voor criminelen, zoals het optuigen van een look-a-like internetbankiersite. Met zo'n nepsite kunnen dieven inlognamen, wachtwoorden en beveiligingscodes afvangen en ondertussen de bankrekening op de echte site plunderen.

Meer details op Black Hat 2008

Het probleem dat Kaminsky identificeerde is dat het identificatienummer van een vertaalverzoek (om bijvoorbeeld een domeinnnaam in een ip-adres te vertalen) in sommige gevallen geraden kan worden. Dat identificatienummer hoort een willekeurig getal te zijn. Bij sommige conversaties tussen DNS-servers, waarbij de ene DNS-server aan de andere vraagt of die een bepaalde domeinnaam in zijn DNS-tabel heeft staan, is dat echter niet het geval. Criminelen kunnen daardoor het identificatienummer van een vertaalverzoek voorspellen en ervoor zorgen dat het vertaalverzoek wordt doorgestuurd naar een nep-DNS-server, die doorverwijst naar nepsites en nepmailadressen.

Kaminsky gaat meer details prijsgeven tijdens beveiligingsconferentie Black Hat 2008, die op 7 en 8 augustus wordt gehouden in Las Vegas.