Ook nadat een beveiligingspatch is geïnstalleerd tegen een ernstig DNS-lek kunnen criminelen internetgebruikers omleiden naar nepsites en hun mailberichten afvangen. Het enige verschil is dat het kapen van een DNS-server niet 0,7 seconden duurt, maar gemiddeld minder dan één dag.
PowerDNS-ontwikkelaar Bert Hubert meldt dat iemand "meestal binnen een dag" een DNS-server kan overnemen, ook als die server gepatcht is tegen het lek dat Dan Kaminsky begin juli wereldkundig maakte. Hubert: "Die persoon kan dan al het internetverkeer dat via die server loopt manipuleren."
Eerder namen beveiligingsexperts aan dat een crimineel drie weken nodig zou hebben om een gepatchte DNS-server over te nemen. Hubert rekende uit dat na één dag de kans al 64% is dat een aanval slaagt. Criminelen kunnen internetgebruikers dan ongemerkt omleiden naar nepsites of hun mailberichten onderscheppen.
Zonder patch duurt een aanval minder dan een seconde, zo demonstreerden hackers vorige week donderdag tijdens een beveiligingsconferentie in Dublin. Een derde van de Nederlandse DNS-servers is nog steeds niet gepatcht. Daartoe behoren ook DNS-servers van providers.
Brute force-aanval
Beveiligingsexperts zijn het erover eens dat de huidige patch onvoldoende bescherming biedt. DNS blijft kwetsbaar voor cachevervuilingsaanvallen. De nu verpreide patch beveiligt DNS-servers door de afzenderpoort van UDP-pakketten willekeurig te maken (met een variatie van 16 bits). Via een ‘brute force'-aanval kan iemand nog steeds de juiste poort raden.
Hubert: "Op dit moment kost het enkele dagen en honderden gigabytes om een domein over te nemen. Als het alleen om computable.nl gaat is dat een hoop werk, maar als het om het hele .nl, of het.com-domein gaat is dat voor een crimineel zeker de moeite waard. Hoewel het op zou moeten vallen wanneer een crimineel probeert de juiste afzenderpoort te raden, zijn er genoeg providers aan het slaapwandelen. Het is dus mogelijk dat een crimineel een gepatchte DNS-server bij een provider overneemt zonder dat die provider daar iets van merkt."
Botnets
De nieuwe aanvallen vergen tientallen a honderden gigabytes aan netwerkverkeer, iets wat niet iedere aanvaller ter beschikking heeft. Hubert: "Het vermoeden bestaat dat botnets op dit moment aangepast worden om dit soort overnames uit te voeren, via duizenden of honderdduizenden gehackte computers".
Op een bijeenkomst van de Internet Engineering Task Force in Dublin vorige week besloot de IETF om voorlopig geen nieuwe patches uit te brengen voor het DNS-lek.
Het lek dat Kaminsky ontdekte
Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres. Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Zij kunnen daardoor de cache van DNS-servers vervuilen met verkeerde ip-adressen. Die foute adressen kunnen ervoor zorgen dat mails in verkeerde handen terecht komen en dat websitebezoekers worden omgeleid naar vervalste websites. Kwaadwillenden kunnen één website 'kapen' (van bijvoorbeeld een bank of een webmailaanbieder), maar in principe ook het hele .com-domein overnemen.
Snelle check
Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder. Is je provider het probleem, laat het ons dan weten.
Dus eerst wordt je als beheerder er maar vooral op gewezen dat je de patch moet installeren, en wordt er publiekelijk nog eens op gehamerd dat er nog steeds providers zijn die dat nog niet hebben gedaan om een paar dagen later weer te vernemen dat je wel kunt patchen, maar de patch in feite onvoldoende bescherming biedt en er nu door een hoop bedrijven al een hoop kosten zijn gemaakt en risico’s om zonder testscenario maar zo snel mogelijk de nodige patches uit te voeren.