Beveiligingsexperts zijn het er over eens dat de huidige patch tegen een ernstig DNS-lek onvoldoende beveiliging biedt. Desondanks heeft de Internet Engineering Task Force besloten voorlopig niets te doen. Het uitbrengen van steeds nieuwe patches zou contraproductief werken.
Op een bijeenkomst van de Internet Engineering Task Force (IETF) in Dublin is donderdag besloten voorlopig geen nieuwe patches uit te brengen voor het ernstige DNS-lek waarmee het mogelijk is websites te ‘kapen' en mailberichten af te vangen.
Bert Hubert, ontwikkelaar van PowerDNS: "Netwerkbeheerders trekken het niet als elke drie maanden elke DNS-server gepatcht moet worden. Daarom is besloten eerst heel goed na te denken over vervolgstappen."
Providers onvoldoende beveiligd
Desondanks zijn beveiligingsexperts het erover eens dat de huidige patch onvoldoende bescherming biedt. DNS blijft kwetsbaar voor cachevervuilingsaanvallen. De nu verpreide patch beveiligt DNS-servers door de afzenderpoort van UDP-pakketten willekeurig te maken (met een variatie van 16 bits). Via een ‘brute force'-aanval kan iemand nog steeds de juiste poort raden. Hubert: "Hoewel het op zou moeten vallen wanneer een crimineel probeert de juiste afzenderpoort te raden, zijn er genoeg providers aan het slaapwandelen. Het is dus mogelijk dat een crimineel een gepatchte DNS-server bij een provider overneemt zonder dat die provider daar iets van merkt."
Een derde van de Nederlandse DNS-servers is nog steeds niet gepatcht. Daartoe behoren ook DNS-servers van providers.
Aanval duurt nog geen seconde
Op de bijeenkomst van de IETF in Dublin demonstreerden hackers dat criminelen binnen 0,7 seconden de cache van een ongepatchte DNS-server kunnen vervuilen met foute ip-adressen. Eerder werd nog gesproken over een interval van tien seconden.
Gewapend beton-oplossing
Op de IETF-bijeenkomst lieten prominente leden van de DNS-werkgroep weten te verwachten dat de invoer van DNSSEC – een zwaar beveiligd DNS-protocol – om praktische redenen nog jaren op zich laat wachten. Hubert is blij met dat uitstel: "DNSSEC is echt een gewapend beton-oplossing, maar vereist dat netwerkbeheerders regelmatig nieuwe sleutels creëren. Die eis is weinig realistisch. Netwerkbeheerders zijn het zicht op hun DNS-infrastructuur vaak kwijt. Ze zijn gewend dat DNS gewoon werkt. Los daarvan: je zou de hele internetgemeenschap moeten overtuigen van het gebruik van een nieuw protocol. Maar het is net als bij breedbeeld-televisie: dat heeft alleen zin wanneer iedereen overstapt."
Het lek dat Kaminsky ontdekte
Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres. Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Zij kunnen daardoor de cache van DNS-servers vervuilen met verkeerde ip-adressen. Die foute adressen kunnen ervoor zorgen dat mails in verkeerde handen terecht komen en dat websitebezoekers worden omgeleid naar vervalste websites. Kwaadwillenden kunnen één website 'kapen' (van bijvoorbeeld een bank of een webmailaanbieder), maar in principe ook het hele .com-domein overnemen.
Snelle check
Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder. Is je provider het probleem, laat het ons dan weten.
