De open source webbrowser Firefox 3 biedt dankzij een toevoeging bescherming tegen het DNS-gat (Domain Name System). Het recent bekendgemaakte gat maakt het mogelijk internetverkeer te onderscheppen en ongemerkt om te leiden naar malafide sites.
De nieuwste versie van webbrowser Firefox 3 heeft nu een gratis addon die internetverbindingen beter beveiligd. Deze addon, Perspectives, beschermt daarmee ook tegen misbruik van het recent bekendgemaakte gat in internetbasisprotocol DNS (Domain Name System). Perspectives is ontwikkeld door de Amerikaanse universiteit Carnegie Mellon en daar gratis te downloaden. De broncode is ook beschikbaar.
Controle van server
Het gat in DNS maakt het mogelijk internetverkeer om te leiden, wat dus niet alleen webverkeer is, maar bijvoorbeeld ook mailverkeer. De addon voor Firefox is ontwikkeld om webservers op een veilige manier te identificeren om daar vervolgens een verbinding mee te hebben. Dit voorkomt dus onderschepping van dat dataverkeer, ofwel zogeheten man in the middle-aanvallen.
Misbruik van het DNS-lek kan ook met vervalste certificaten, waardoor 'drie keer kloppen' geen garantie is voor een veilige webverbinding. Het vervalste certificaat wijst namelijk uit dat er verbinding is met een vertrouwde webserver, terwijl dat niet het geval is. De Perspectives-addon controleert de echte server waarmee een verbinding wordt gelegd.
Het DNS-lek
Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Dan Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres.
Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Ze kunnen binnen 0,7 seconden na de start van een ‘brute force' aanval de macht te grijpen over een (ongepatchte) name server en de cache vervuilen met foutieve ip-adressen. Vanaf dat moment is er veel meer mogelijk dan enkel mail afvangen en websitebezoekers omleiden naar nepsites. Ook bijvoorbeeld het File Transfer Protocol (FTP) kan misbruikt worden via het lek, net als het authenticatie- en encryptieprotocol Secure Socket Layer (SSL).
Internetbanken gebruiken SSL om geldtransacties over http te beveiligen (via https). Ook automatische software updatediensten kunnen na de overname van een name server worden misbruikt voor het installeren van malware binnen bedrijfsnetwerken.
Snelle check
Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder. Is je provider het probleem, laat het ons dan weten.
We hebben op verschillende Windows clients de nieuwe Firefox 3.x gedownload en geinstalleerd. Echter op al deze machines krijgt de nieuwe versie geen verbinding met het internet. Dit is geen specifiek probleem van de Windows client of het IP-adres want alle combinaties hebben last van hetzelfde probleem. Dat wij minder enthousiast zijn over Firefox versie 3.x dan hier geschetst wordt in dit artikel moge daarmee duidelijk zijn. Dit probleem treedt niet op in Firefox versie 2.x, Opera en Internet Explorer. Daarmee lijkt het ons aangetoond dat er in Firefox versie 3.x nog een paar “Probleempjes” cq “Functies” zitten waarvan de functionaliteit nog niet geheel duidelijk is.
@R. Heinen
Ik vraag me dan toch af of het niet aan jullie netwerk (en/of proxy) ligt, want ik heb hier bij geen enkel systeem problemen na de upgrade of bij een schone installatie.