Nederlander vond als eerste details DNS-lek

08-08-2008 15:35 | Door Jolein de Rooij | Lees meer artikelen over: DNS, Malware, SSL, Patches | Er zijn 2 reacties op dit artikel | Permalink

De Nederlandse beveiligingsconsultant Pieter de Boer mailde als eerste de juiste ‘oplossing’ van de details van ‘het ergste internetbeveiligingsrisico sinds 1997’ aan ontdekker Dan Kaminksy. De Boer deed 51 uur over het achterhalen van de preciese aard van de beveiligingszwakte.

Pieter de Boer, beveiligingsconsultant bij Madison Gurkha was de eerste beveiligingsonderzoeker die de juiste ‘oplossing' mailde aan Dan Kaminsky van een ernstig DNS-lek. Dat zei beveiligingsonderzoeker Kaminsky tijdens zijn langverwachte presentatie op beveiligingsconferentie Black Hat. De Boer deed volgens Kaminsky 51 uur over het vinden van deze oplossing.

De Boer zei eerder tegen Computable over de patch die leveranciers aanbieden tegen het DNS-lek: "Het is in feite een tijdelijk lapmiddel. De patch wijzigt de name server zodanig dat deze UDP-pakketten verstuurt met een willekeurige afzenderpoort in plaats van een vaste (DNS maakt gebruik van het UDP-protocol, een basisprotocol van het internet). Maar het verandert niets aan de oorzaak van het probleem: dat het DNS-protocol niet genoeg bescherming biedt tegen vervuilings-aanvallen op DNS-servers."

Verzoek om stilte

Kaminsky ontdekte de fout in januari. Eind maart informeerde hij grote leveranciers en CERT. Op 8 juli brengen de meeste leveranciers een patch aan voor het lek en maakte Kaminsky het probleem wereldkundig. Hij omschreef het lek expres in vage termen. Kaminsky hoopte op die manier tijd te winnen zodat beheerders de patches konden installeren voordat criminelen het lek konden misbruiken. Kaminsky riep beveiligingsonderzoekers op om niet in het openbaar te speculeren over de preciese aard van het DNS-lek. Na dertien dagen plaatste Matasano Security echter korte tijd een beschrijving van het lek online. Het beveiligingsbedrijf had voorkennis van het probleem en verkeerde in de veronderstelling dat het lek al uitgelekt was. Nog dezelfde week dook de eerste code op die misbruik maakt van het lek. Ook werden de eerste aanvallen op DNS-servers gesignaleerd.

Het lek dat Kaminsky ontdekte

Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres. Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Ze kunnen binnen 0,7 seconden na de start van een ‘brute force' aanval de macht te grijpen over een (ongepatchte) name server en de cache vervuilen met foutieve ip-adressen. Vanaf dat moment is er veel meer mogelijk dan enkel mail afvangen en websitebezoekers omleiden naar nepsites. Ook bijvoorbeeld het File Transfer Protocol (FTP) kan misbruikt worden via het lek, net als het authenticatie- en encryptieprotocol Secure Socket Layer (SSL). Internetbanken gebruiken SSL om geldtransacties over http te beveiligen (via https). Ook automatische software updatediensten kunnen na de overname van een name server worden misbruikt voor het installeren van malware binnen bedrijfsnetwerken. Volgens Kaminksy vormt Windows Update hierop een uitzondering.

Snelle check

Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder. Is je provider het probleem, laat het ons dan weten.

Ronald, 09-08-2008 9:57

Goed he van die Hollanders :-)
We waren al goed , en internationaal bekend om onze vingers in dijken van klei te steken.

Dankzij Pieter zijn "The Dutch", nu ook beroemd om gaatjes in Digitale dijken op internet te ontdekken en dichten

Way 2 go Pieter!

Ronald

Cor, 11-08-2008 6:45

Eh, Ronald,

Als je goed opgelet hebt, zou je hebben gelezen dat "The Dutch" hier niets anders hebben gedaan dan een Hansaplastje op een beginnnende dijkbreuk hebben gelegd. De pleister is niet waterdicht en het is een tijdelijke maatregel, geen oplossing.

	Aantal reacties met 3+ sterren		Gemiddelde waardering
1	PaVaKe	154	6.4
2	Reza Sarshar	120	6.7
3	Henri Koppen	109	6.4
4	edekkinga	79	6.6
5	Jaap-G	53	6.1
6	Guido Groeneweg	49	6.3
7	Ruud Mulder	47	6.5
8	mauwerd	43	6.1
9	Frank Brechts	43	6.0
10	Rob Koelmans	40	6.3

Nieuws / Security

Nederlander vond als eerste details DNS-lek

Verzoek om stilte

10-02 Infor helpt Ferrari met bouwen F1-auto's

10-02 Tester Four Oaks in Israëlische handen

10-02 IS Online en Tres zijn klaar voor Elfstedentocht

10-02 SecureLink migreert Microsoft-diensten Atradius

10-02 Nieuwe software brengt Vitens in problemen

10-02 Ex-Misys-topman moet CSC uit penarie helpen

10-02 Veenman en 20/20 vision adviseren samen klant

10-02 Cisco maakt 2,2 miljard dollar kwartaalwinst

10-02 Misys en Temenos willen fuseren

10-02 Raet stelt Schrijnemaekers als nieuwe CFO aan

10-02 SecureLink migreert Microsoft-diensten Atradius

09-02 Vodafone: Wij spelen klantinformatie niet door

09-02 Lang leve de hackers!

09-02 'Ook met cookiewet is gebruiker niet anoniem'

09-02 'KPN koppelt ID aan internetverkeer'

08-02 'Nieuwe cookiewet is eenvoudig te omzeilen'

07-02 Eigen werknemer kan ook een vijand zijn

03-02 'Overheid vreest voor veiligheid in de cloud'

01-02 F5 beschermt openbare websites

31-01 Publieksvoorlichting is belangrijke taak voor NCSC

07-09-09 SURFnet ondersteunt veilig internetprotocol

04-06-09 Internet krijgt beveiligd DNS-protocol

25-02-09 .com-domein krijgt beveiligd DNS-protocol

06-01-09 Kaminsky vond DNS-lek dankzij fitnessongelukje

12-11-08 Windows 7 biedt betere DNS-beveiliging

11-11-08 Organisaties verwaarlozen DNS-infrastructuur

10-11-08 Nederland patcht slechter tegen Kaminsky-lek

05-09-08 Amsterdam neemt Getronics in bescherming

02-09-08 SIDN: vanaf 2009 overstap naar DNSsec

26-08-08 Firefox beschermt tegen DNS-gat

19-08-08 Authoritative nameservers vatbaar voor Kaminsky lek

18-08-08 Internetbankieren onveilig ondanks 3x kloppen

18-08-08 Mailservers nog kwetsbaar voor DNS-lek

14-08-08 Getest: exploittool voor DNS-lek

13-08-08 DNS-lek ondermijnt vertrouwen in internet

11-08-08 Gepatchte DNS-servers binnen tien uur over te nemen

08-08-08 DNS-lek maakt internetbankieren onveilig

06-08-08 DNS-patches vertragen internetverkeer

05-08-08 DNSSEC enige oplossing tegen DNS-lek

04-08-08 Gepatchte DNS-servers binnen een dag te hacken

Best Practices om laptop-data te beschermen