Getest: exploittool voor DNS-lek
CTO
Expert van Computable voor de topics: Virtualisatie, Security en Cloud Computing
MeerOp het internet waart een tool rond die het voor iedereen mogelijk maakt om een poging te doen om DNS-servers van valse tabellen te voorzien. Het gebruiksgemak van de tool is beangstigend hoog, net als de effectiviteit ervan: in mijn testopstelling werden gepatchte DNS-servers binnen dertig minuten overgenomen.
Toen eind juli details bekend werden van het ernstige DNS-lek dat beveiligingsonderzoeker Dan Kaminksy ontdekte, dook al snel exploitcode op. Inmiddels zijn er tools in omloop waarmee ook leken aanvallen kunnen uitvoeren op DNS-servers. Daarmee kunnen ze de inhoud van deze adresboeken van het internet vervalsen, waardoor websitebezoekers naar nepsites kunnen worden omgeleid en mail kan worden afgevangen.
Ik heb één van deze tools getest om te zien hoe gevaarlijk deze is. De naam van de tool noem ik om begrijpelijke redenen niet.
Ongepatcht: twee tot vijf seconden
De tool bied de mogelijkheid om zowel gepatchte als ongepatchte DNS-servers aan te vallen. Alleen zal het bij gepatchte servers vele malen langer duren. De software ondersteunt twee methoden: de eerste aanvalsmethode richt zich tegen verwijzende (in het Engels: recursieve) DNS-servers (die veel ISP's gebruiken). Verwijzende DNS-servers worden ook wel ´caching´ nameservers genoemd. Dit type server is niet op de hoogte van alle domeinnamen op het hele internet, en stuurt daarom vertaalverzoeken aan ‘authoritive' DNS-servers. De tweede methode richt zich tegen Forwarder DNS-servers. Dit type DNS-server bevindt zich binnen een (bedrijfs-)netwerk en stuurt vertaalverzoeken door naar andere DNS-servers buiten dat netwerk.
De twee aanvalsmethoden verschillen alleen in de 'flag' die wordt meegestuurd met de valse DNS-replies, maar niet in de manier waarop ze hun doelwit proberen te misleiden: door veelvoudig valse reply's te sturen met verschillende TXID's (Transaction Identifiers). Op een ongepatchte server zijn er 65546 injecties nodig om het juiste identificatienummer te raden, maar door per 0,02 milliseconde 10 tot 15 injecties met verschillende TXID's te versturen is de ongepatchte server binnen 2 tot 5 seconden voorzien van verkeerde tabellen.
Met patch: dertig minuten
Erik Westhovens, CIO DeltaISIS
Gepatchte servers kennen een extra beveiligingslaag: de UDP-poort van verstuurde vertaalverzoeken is willekeurig (opnieuw zo'n 64000 mogelijkheden, wat de kans op een juiste gok verhoogt tot 64000 x 65546). Het raden van het juiste identificatienummer duurt daardoor veel langer. Beveiligingsexperts spraken tot nu toe van tijden tussen de tien a twintig uur. Tijdens de tests die ik heb uitgevoerd bleek het veel sneller te gaan, namelijk dertig minuten.
Het baart mij zorgen dat er tools in omloop zijn waarmee zo gemakkelijk DNS-servers vergiftigd kunnen worden met valse ip-adressen. Zelfs zonder verstand van DNS is het mogelijk om de cache van DNS-servers te vervuilen. Het enige positieve dat ik heb kunnen ontdekken is dat de logs van de gekraakte DNS-server het ip-adres van de exploiter onthouden. Dat biedt mogelijkheden om criminelen op te sporen.
Erik Westhovens
CIO DeltaISIS
Het DNS-lek onstaat doordat het gemakkelijk is om een serie van DNS-requests te sturen naar een DNS-server samen met de valse reply ip-adressen. Als er maar voldoende valse requests komen, dan worden zelfs bestaande tabellen overschreven. Voorbeeld: Als in de DNS server in de cache een entry staat voor www.computable.nl => 212.72.59.51 kan deze tijdens de aanval overschreven worden door www.computable.nl => 62.69.184.29. Mensen die via de besmette DNS server dan www.computable.nl resolven komen dan uit op de pagina van Nu.nl. Dit is dus wel een onschuldige site. Het word erger als mensen van www.uwbank.nl (als voorbeeld) naar een pagina geleid worden die er identiek uitziet, maar ervoor gebouwd is om gegevens van klanten te misbruiken. Zelfs SSL certificaten trappen hier in, en de gebruiker merkt hier helemaal niets van, verder dan dat op een gegeven moment de rekening geplunderd word.
Deze aanval is vrij gemakkelijk omdat de meeste DNS-servers de UDP source poort identiek houden. All requests in en uit gaan via dezelfde poort. De patch zorgt ervoor dat de UDP-poort willekeuirg gekozen wordt, waardoor er opeens zo'n 64000 mogelijkheden zijn. De aanval is dus niet onmogelijk, maar er moet een veelvoud aan requests gedaan worden voordat het lukt om tabellen te overschrijven.
Bert Hubert, 14-08-2008 16:36
Het zou daarom gewaardeerd worden als u deze tool breder zou verspreiden voor onderzoek, of uiteen zou kunnen zetten hoe de aanval in zijn werk gaat.
Bert Hubert
PowerDNS
bert.hubert@netherlabs.nl
Niels Bakker, 14-08-2008 17:02
De enige reden die ik kan bedenken is dat de auteur van het artikel wil voorkomen dat anderen zijn onderzoeksresultaten kunnen verifieren, en dat programmeurs eventueel tegenmaatregelen kunnen implementeren.
Met andere woorden, de heer Westhovens maakt onderdeel uit van het probleem, niet van de oplossing.
Wouter Wijngaards, 14-08-2008 19:44
Nou die bit voor forwarders vs caches is dan tenminste gefixed door de bad guys. De vorige exploits (die ik in het nieuws zag) waren ook zo sullig met die bit verkeerd.
Maar wat Bert zegt klopt - zo een snelle exploit is mij ook nog niet openbaar bekend - en dan kan ik weer begrijpen dat je hem niet op elke straathoek wilt weggeven.
Wouter (auteur http://unbound.net ; met DNSSEC).
Denny Strijdonck, 18-08-2008 12:54
10-02 Het einde van het begin van cloud en virtualisatie
10-02 De windwakken van de cloud-sector
09-02 Citoto
09-02 Lang leve de hackers!
09-02 Modder gooien in ICT-land
08-02 Reseller verliest slag om het groene huishouden
08-02 Hadoop lijkt een alleskunner
07-02 Hou zicht op de informatie bij HNW
07-02 Eigen werknemer kan ook een vijand zijn
06-02 Krachtenbundeling NGI en TestNet is goede zaak
10-02 SecureLink migreert Microsoft-diensten Atradius
09-02 Vodafone: Wij spelen klantinformatie niet door
09-02 Lang leve de hackers!
09-02 'Ook met cookiewet is gebruiker niet anoniem'
09-02 'KPN koppelt ID aan internetverkeer'
08-02 'Nieuwe cookiewet is eenvoudig te omzeilen'
07-02 Eigen werknemer kan ook een vijand zijn
03-02 'Overheid vreest voor veiligheid in de cloud'
01-02 F5 beschermt openbare websites
31-01 Publieksvoorlichting is belangrijke taak voor NCSC
|
|
29-08-08 VS verplicht DNSSEC voor overheid
22-08-08 Aantal DNS-aanvallen neemt toe
19-08-08 Authoritative nameservers vatbaar voor Kaminsky lek
08-08-08 DNS-lek maakt internetbankieren onveilig
06-08-08 DNS-patches vertragen internetverkeer
05-08-08 DNSSEC enige oplossing tegen DNS-lek
04-08-08 Gepatchte DNS-servers binnen een dag te hacken
04-08-08 Apple-patch voor DNS-lek deugt niet
01-08-08 Geen nieuwe patches ondanks DNS-gevaar
01-08-08 Apple brengt patch uit voor DNS-lek
30-07-08 DNS-servers aangevallen
30-07-08 Niet alle providers gepatcht tegen DNS-lek
30-07-08 Beheerder patcht DNS-lek vaak ongemerkt
28-07-08 Apple heeft nog geen patch voor DNS-lek
25-07-08 Kaminsky geeft meer details over DNS-lek
25-07-08 Veilig internetbankieren ondanks DNS-lek
25-07-08 Cisco: schakel DNS-server uit
24-07-08 Zeker helft DNS-servers nog niet gepatcht
24-07-08 Patchen DNS-lek is niet voldoende
23-07-08 Minderheid bedrijven heeft DNS-lek gedicht
Best Practices om laptop-data te beschermen
In een tijd waarin steeds meer werknemers mobiel hun werk doen en de hoeveelheid data exponentieel toeneemt, is......
| Aantal reacties met 3+ sterren | Gemiddelde waardering | |||
 | 1 | 154 | 6.4 | |
 | 2 | 120 | 6.7 | |
 | 3 | 109 | 6.4 | |
 | 4 | 79 | 6.6 | |
| 5 | 53 | 6.1 | |
| 6 | 49 | 6.3 | |
 | 7 | 47 | 6.5 | |
| 8 | 43 | 6.1 | |
| 9 | 43 | 6.0 | |
| 10 | 40 | 6.3 | |
Computable.nl is onderdeel van VNU Media, uitgever van o.a.: NationaleVacaturebank.nl | Intermediair | IntermediairPW | Carrièregids.nl | CompanyRating | NationaleStagebank.nl | Banen.nl | HRbase.nl | HRdirectory.nl | Financebase.nl | InIct.nl | InInterim.nl | InOverheid.nl | Overheidscircuit.nl | Computable | CRN | IT Knowledge Base | Tweakers.net | Recruitmentbloggers
Sitemap | Abonneren | Adverteren | Algemene voorwaarden | Disclaimer | Privacy | Alle rechten voorbehouden © 1995-2012 VNU Media
Nu vraag ik mij wel af of dit iets zegt over het DNS probleem ansich of over de testopstelling, waar ik helaas geen inhoudelijke informatie over lees in dit stuk.
Het zou opzich erg informatief zijn als daar ook wat details over los gelaten zou worden.
Hoe ziet de netwerkarchitectuur van de testopstelling eruit bijvoorbeeld ? Op een eigen 1G LAN zul je natuurlijk compleet andere resultaten boeken dan wat representatief is voor "the real thing."
Wat de beschikbaarheid van de tools betreft : laat maar komen..
Hoe meer scriptkiddies (en CIO's) ermee spelen hoe eerder we met een goede oplossing moeten komen. Hopelijk ligt de tijd van DNS over UDP dan snel achter ons.