Firefox beschermt tegen DNS-gat

Firefox claimt goede bescherming te bieden.

De open source webbrowser Firefox 3 biedt dankzij een toevoeging bescherming tegen het DNS-gat (Domain Name System). Het recent bekendgemaakte gat maakt het mogelijk internetverkeer te onderscheppen en ongemerkt om te leiden naar malafide sites.

De nieuwste versie van webbrowser Firefox 3 heeft nu een gratis addon die internetverbindingen beter beveiligd. Deze addon, Perspectives, beschermt daarmee ook tegen misbruik van het recent bekendgemaakte gat in internetbasisprotocol DNS (Domain Name System). Perspectives is ontwikkeld door de Amerikaanse universiteit Carnegie Mellon en daar gratis te downloaden. De broncode is ook beschikbaar.

Controle van server

Het gat in DNS maakt het mogelijk internetverkeer om te leiden, wat dus niet alleen webverkeer is, maar bijvoorbeeld ook mailverkeer. De addon voor Firefox is ontwikkeld om webservers op een veilige manier te identificeren om daar vervolgens een verbinding mee te hebben. Dit voorkomt dus onderschepping van dat dataverkeer, ofwel zogeheten man in the middle-aanvallen.

Misbruik van het DNS-lek kan ook met vervalste certificaten, waardoor 'drie keer kloppen' geen garantie is voor een veilige webverbinding. Het vervalste certificaat wijst namelijk uit dat er verbinding is met een vertrouwde webserver, terwijl dat niet het geval is. De Perspectives-addon controleert de echte server waarmee een verbinding wordt gelegd.

Het DNS-lek

Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Dan Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres.

Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Ze kunnen binnen 0,7 seconden na de start van een ‘brute force' aanval de macht te grijpen over een (ongepatchte) name server en de cache vervuilen met foutieve ip-adressen. Vanaf dat moment is er veel meer mogelijk dan enkel mail afvangen en websitebezoekers omleiden naar nepsites. Ook bijvoorbeeld het File Transfer Protocol (FTP) kan misbruikt worden via het lek, net als het authenticatie- en encryptieprotocol Secure Socket Layer (SSL).

Internetbanken gebruiken SSL om geldtransacties over http te beveiligen (via https). Ook automatische software updatediensten kunnen na de overname van een name server worden misbruikt voor het installeren van malware binnen bedrijfsnetwerken.

Snelle check

Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder. Is je provider het probleem, laat het ons dan weten.

R.Heinen, 27-08-2008 12:33

We hebben op verschillende Windows clients de nieuwe Firefox 3.x gedownload en geinstalleerd. Echter op al deze machines krijgt de nieuwe versie geen verbinding met het internet. Dit is geen specifiek probleem van de Windows client of het IP-adres want alle combinaties hebben last van hetzelfde probleem. Dat wij minder enthousiast zijn over Firefox versie 3.x dan hier geschetst wordt in dit artikel moge daarmee duidelijk zijn. Dit probleem treedt niet op in Firefox versie 2.x, Opera en Internet Explorer. Daarmee lijkt het ons aangetoond dat er in Firefox versie 3.x nog een paar "Probleempjes" cq "Functies" zitten waarvan de functionaliteit nog niet geheel duidelijk is.

RobvH, 27-08-2008 18:23

@R. Heinen

Ik vraag me dan toch af of het niet aan jullie netwerk (en/of proxy) ligt, want ik heb hier bij geen enkel systeem problemen na de upgrade of bij een schone installatie.

	Aantal reacties met 3+ sterren		Gemiddelde waardering
1	PaVaKe	154	6.4
2	Reza Sarshar	120	6.7
3	Henri Koppen	109	6.4
4	edekkinga	79	6.6
5	Jaap-G	53	6.1
6	Guido Groeneweg	49	6.3
7	Ruud Mulder	47	6.5
8	mauwerd	43	6.1
9	Frank Brechts	43	6.0
10	Rob Koelmans	40	6.3

Nieuws / Security

Firefox beschermt tegen DNS-gat

Controle van server

10-02 Infor helpt Ferrari met bouwen F1-auto's

10-02 Tester Four Oaks in Israëlische handen

10-02 IS Online en Tres zijn klaar voor Elfstedentocht

10-02 SecureLink migreert Microsoft-diensten Atradius

10-02 Nieuwe software brengt Vitens in problemen

10-02 Ex-Misys-topman moet CSC uit penarie helpen

10-02 Veenman en 20/20 vision adviseren samen klant

10-02 Cisco maakt 2,2 miljard dollar kwartaalwinst

10-02 Misys en Temenos willen fuseren

10-02 Raet stelt Schrijnemaekers als nieuwe CFO aan

10-02 SecureLink migreert Microsoft-diensten Atradius

09-02 Vodafone: Wij spelen klantinformatie niet door

09-02 Lang leve de hackers!

09-02 'Ook met cookiewet is gebruiker niet anoniem'

09-02 'KPN koppelt ID aan internetverkeer'

08-02 'Nieuwe cookiewet is eenvoudig te omzeilen'

07-02 Eigen werknemer kan ook een vijand zijn

03-02 'Overheid vreest voor veiligheid in de cloud'

01-02 F5 beschermt openbare websites

31-01 Publieksvoorlichting is belangrijke taak voor NCSC

25-09-09 Exact Online ondersteunt Safari en Firefox

07-09-09 SURFnet ondersteunt veilig internetprotocol

04-06-09 Internet krijgt beveiligd DNS-protocol

25-02-09 .com-domein krijgt beveiligd DNS-protocol

06-01-09 Kaminsky vond DNS-lek dankzij fitnessongelukje

05-01-09 Marktaandeel Firefox groter dan twintig procent

12-11-08 Windows 7 biedt betere DNS-beveiliging

11-11-08 Organisaties verwaarlozen DNS-infrastructuur

10-11-08 Nederland patcht slechter tegen Kaminsky-lek

02-09-08 Google komt met eigen browser

02-09-08 SIDN: vanaf 2009 overstap naar DNSsec

29-08-08 VS verplicht DNSSEC voor overheid

18-08-08 Internetbankieren onveilig ondanks 3x kloppen

18-08-08 Mailservers nog kwetsbaar voor DNS-lek

13-08-08 DNS-lek ondermijnt vertrouwen in internet

08-08-08 Nederlander vond als eerste details DNS-lek

08-08-08 DNS-lek maakt internetbankieren onveilig

Best Practices om laptop-data te beschermen