Gepatchte DNS-servers binnen een dag te hacken

Ook nadat een beveiligingspatch is geïnstalleerd tegen een ernstig DNS-lek kunnen criminelen internetgebruikers omleiden naar nepsites en hun mailberichten afvangen. Het enige verschil is dat het kapen van een DNS-server niet 0,7 seconden duurt, maar gemiddeld minder dan één dag.

PowerDNS-ontwikkelaar Bert Hubert meldt dat iemand "meestal binnen een dag" een DNS-server kan overnemen, ook als die server gepatcht is tegen het lek dat Dan Kaminsky begin juli wereldkundig maakte. Hubert: "Die persoon kan dan al het internetverkeer dat via die server loopt manipuleren."

Eerder namen beveiligingsexperts aan dat een crimineel drie weken nodig zou hebben om een gepatchte DNS-server over te nemen. Hubert rekende uit dat na één dag de kans al 64% is dat een aanval slaagt. Criminelen kunnen internetgebruikers dan ongemerkt omleiden naar nepsites of hun mailberichten onderscheppen.

Zonder patch duurt een aanval minder dan een seconde, zo demonstreerden hackers vorige week donderdag tijdens een beveiligingsconferentie in Dublin. Een derde van de Nederlandse DNS-servers is nog steeds niet gepatcht. Daartoe behoren ook DNS-servers van providers.

Brute force-aanval

Beveiligingsexperts zijn het erover eens dat de huidige patch onvoldoende bescherming biedt. DNS blijft kwetsbaar voor cachevervuilingsaanvallen. De nu verpreide patch beveiligt DNS-servers door de afzenderpoort van UDP-pakketten willekeurig te maken (met een variatie van 16 bits). Via een ‘brute force'-aanval kan iemand nog steeds de juiste poort raden.

Hubert: "Op dit moment kost het enkele dagen en honderden gigabytes om een domein over te nemen. Als het alleen om computable.nl gaat is dat een hoop werk, maar als het om het hele .nl, of het.com-domein gaat is dat voor een crimineel zeker de moeite waard. Hoewel het op zou moeten vallen wanneer  een crimineel probeert de juiste afzenderpoort te raden, zijn er genoeg providers aan het slaapwandelen. Het is dus mogelijk dat een crimineel een gepatchte DNS-server bij een provider overneemt zonder dat die provider daar iets van merkt."

Botnets

De nieuwe aanvallen vergen tientallen a honderden gigabytes aan netwerkverkeer, iets wat niet iedere aanvaller ter beschikking heeft. Hubert: "Het vermoeden bestaat dat botnets op dit moment aangepast worden om dit soort overnames uit te voeren, via duizenden of honderdduizenden gehackte computers".

Op een bijeenkomst van de Internet Engineering Task Force in Dublin vorige week besloot de IETF om voorlopig geen nieuwe patches uit te brengen voor het DNS-lek.