Veilig internetbankieren ondanks DNS-lek

COMPUTABLE EXPERT

Erik Westhovens

CTO

Expert van Computable voor de topics: Virtualisatie en Security

Meer

De kranten staan er vol mee: hackers ontdekken gigantisch lek in internet. Eigenlijk is dit oud nieuws en ook is al een belangrijke patch geweest. Reeds in 2006 was al bekend dat er met DNS geknoeid kon worden.

Ergens einde 2006 bestond al de mogelijkheid dat een gebruiker die als website bijvoorbeeld www.rabobank.nl of www.abnamro.nl invoerde, naar een andere server werd geleid. In de adresbalk van de website staat dan wel de juiste url, maar je zat op een andere site. Belangrijk daarbij was het slotje beneden in de internetbrowser. Dat kon namelijk niet op slot omdat het certificaat niet klopte. In tegenstelling tot Internet Explorer worden de certificaten op ip-adres EN url gecontroleerd en is het bijna onmogelijk om een valide certificaat te gebruiken bij een phishingsite, zoals deze methode heet.

Opeens is het weer 'groot nieuws': het lek is als een gebruiker een url invoert dit door DNS wordt omgezet in een ip-adres. Door een DNS-server mee te laten draaien op hoog niveau, kan het zijn dat een url word ingegeven en naar een andere pagina gaat verwijzen, zonder dat de gebruiker dit ziet.

Best gevaarlijk dus, vooral voor thuisgebruikers. Helemaal omdat veel thuisgebruikers ook een eigen DNS-servertje hebben. In Windows, routers en zelfs in de veel gebruikte experiaboksen draait een DNS-servertje mee, die weer wordt voorzien van zijn gegevens door een DNS-server van een provider. Deze DNS-servers van de provider halen hun informatie vervolgens weer van grote DNS-servers die willekeurig verspreid staan. Door het lek ontstaat dus de mogelijkheid dat de DNS-servers van je provider verkeerde tabellen laden en dus naar verkeerde sites leiden.

Er is echter een vrij simpele oplossing beschikbaar die dit kan voorkomen. Ik gebruik al jaren een aangepaste methode om te bankieren zodat het risico op een phisingsite te belanden heel ver wordt teruggebracht. In C:\windows\system32\drivers\etc staat een bestandje genaam LMhost, dus zonder extensie. Open dit bestandje. Voeg beneden een regel toe met daarin een naam en het ip-adres van de bank die je gebruikt. Als voorbeeld staat in dit bestandje altijd de regel localhost 127.0.0.1.

In mijn geval staat er als naam bankieren en het ip-adres van mijn bank. Dit ip-adres kun je vrij gemakkelijk achterhalen door een DOS-prompt te starten en dan het commando 'ping www.banknaam.nl' uit te voeren. Je krijgt vervolgens het ip-adres dat je dan opgeeft. Als je dan gaat bankieren, dan geef je niet de url naar je bank op, maar gewoon de naam die je hebt verzonnen. Deze word door je LMhost omgezet naar het juiste ip-adres en je gaat meteen naar de server van de bank. Vervolgens controleer je wel nog of het slotje dicht gaat beneden in de balk van de browser.

Heb je meerdere banken, dan kun je gewoon per bank een regeltje toevoegen. Deze vrij simpele methode gebruik ik al bijna twee jaar en ik heb nergens last van. Deze methode is binnen één minuut uit te voeren. Succes ermee!