Nederlander vond als eerste details DNS-lek

De Nederlandse beveiligingsconsultant Pieter de Boer mailde als eerste de juiste ‘oplossing’ van de details van ‘het ergste internetbeveiligingsrisico sinds 1997’ aan ontdekker Dan Kaminksy. De Boer deed 51 uur over het achterhalen van de preciese aard van de beveiligingszwakte.

Pieter de Boer, beveiligingsconsultant bij Madison Gurkha was de eerste beveiligingsonderzoeker die de juiste ‘oplossing' mailde aan Dan Kaminsky van een ernstig DNS-lek. Dat zei beveiligingsonderzoeker Kaminsky tijdens zijn langverwachte presentatie op beveiligingsconferentie Black Hat. De Boer deed volgens Kaminsky 51 uur over het vinden van deze oplossing.

De Boer zei eerder tegen Computable over de patch die leveranciers aanbieden tegen het DNS-lek: "Het is in feite een tijdelijk lapmiddel. De patch wijzigt de name server zodanig dat deze UDP-pakketten verstuurt met een willekeurige afzenderpoort in plaats van een vaste (DNS maakt gebruik van het UDP-protocol, een basisprotocol van het internet). Maar het verandert niets aan de oorzaak van het probleem: dat het DNS-protocol niet genoeg bescherming biedt tegen vervuilings-aanvallen op DNS-servers."

Verzoek om stilte

Kaminsky ontdekte de fout in januari. Eind maart informeerde hij grote leveranciers en CERT. Op 8 juli brengen de meeste leveranciers een patch aan voor het lek en maakte Kaminsky het probleem wereldkundig. Hij omschreef het lek expres in vage termen. Kaminsky hoopte op die manier tijd te winnen zodat beheerders de patches konden installeren voordat criminelen het lek konden misbruiken. Kaminsky riep beveiligingsonderzoekers op om niet in het openbaar te speculeren over de preciese aard van het DNS-lek. Na dertien dagen plaatste Matasano Security echter korte tijd een beschrijving van het lek online. Het beveiligingsbedrijf had voorkennis van het probleem en verkeerde in de veronderstelling dat het lek al uitgelekt was. Nog dezelfde week dook de eerste code op die misbruik maakt van het lek. Ook werden de eerste aanvallen op DNS-servers gesignaleerd.

Het lek dat Kaminsky ontdekte

Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres. Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Ze kunnen binnen 0,7 seconden na de start van een ‘brute force' aanval de macht te grijpen over een (ongepatchte) name server en de cache vervuilen met foutieve ip-adressen. Vanaf dat moment is er veel meer mogelijk dan enkel mail afvangen en websitebezoekers omleiden naar nepsites. Ook bijvoorbeeld het File Transfer Protocol (FTP) kan misbruikt worden via het lek, net als het authenticatie- en encryptieprotocol Secure Socket Layer (SSL). Internetbanken gebruiken SSL om geldtransacties over http te beveiligen (via https). Ook automatische software updatediensten kunnen na de overname van een name server worden misbruikt voor het installeren van malware binnen bedrijfsnetwerken. Volgens Kaminksy vormt Windows Update hierop een uitzondering.

Snelle check

Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder. Is je provider het probleem, laat het ons dan weten.

Ronald, 09-08-2008 9:57

Goed he van die Hollanders :-)
We waren al goed , en internationaal bekend om onze vingers in dijken van klei te steken.

Dankzij Pieter zijn "The Dutch", nu ook beroemd om gaatjes in Digitale dijken op internet te ontdekken en dichten

Way 2 go Pieter!

Ronald

Cor, 11-08-2008 6:45

Eh, Ronald,

Als je goed opgelet hebt, zou je hebben gelezen dat "The Dutch" hier niets anders hebben gedaan dan een Hansaplastje op een beginnnende dijkbreuk hebben gelegd. De pleister is niet waterdicht en het is een tijdelijke maatregel, geen oplossing.

Win

security / Nieuws

Nederlander vond als eerste details DNS-lek

Verzoek om stilte

Tijd om de Firewall te repareren

Computable Events - Security

SonicWall komt met nieuwe security producten

Transparante systeemtoegang voor 17.000 UWV-medewerkers

Op veilige manier kunnen anywhere-ken

SaaS verhoogt noodzaak host-based intrusion protection-systeem