De Amsterdamse PvdA-fractie vindt dat ict-dienstverlener Getronics incompetent is bij het dichten van het DNS-beveiligingslek op het stadhuis. Anderhalve maand na verschijning van een patch zou het lek niet zijn gedicht.
De Amsterdamse gemeenteraadsfractie van de PvdA beticht Getronics van incompetentie bij het tijdig patchen van het beveiligingslek in het DNS-systeem van het stadhuis. Raadslid Sabina Gazic vraagt in een brief aan het college van B&W hoe het kan dat anderhalve maand na het verspreiden van de patch de gemeentelijke servers nog steeds kwetsbaar zijn. Eerder had ze daartoe op haar fractiekamer in het stadhuis het serverlek opgespoord via een DNS-checker. De checker is speciaal ontwikkeld om de kwetsbaarheid van servers te controleren.
De internetservers van de gemeente Amsterdam worden verzorgd door Getronics. Gazic vraagt de burgemeester en wethouders of zij het met haar eens zijn dat de dienstverlener incompetentie mag worden verweten. Het raadslid wil bovendien weten of het college het onwenselijk vindt dat de gemeente ‘veel langer dan andere organisaties en particulieren in ons land, onbeschermd is gelaten'. "Welke kwaliteitseisen bij het uitbesteden van het netwerkbeheer worden gehanteerd voor het alert reageren op bekend geworden beveiligingsproblemen?", vraag ze zich af.
Het college heeft de schriftelijke vragen nog niet beantwoord. Getronics heeft nog niet kunnen reageren op de beschuldigingen van het PvdA-gemeenteraadlid.
DNS-lek
Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die beveiligingsonderzoeker Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres.
Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Ze kunnen binnen 0,7 seconden na de start van een ‘brute force' aanval de macht grijpen over een (ongepatchte) name server en de cache daarvan vervuilen met foutieve ip-adressen. Vanaf dat moment is er veel meer mogelijk dan enkel mail afvangen en websitebezoekers omleiden naar nepsites.
Ook bijvoorbeeld het File Transfer Protocol (FTP) valt te onderscheppen via het lek, net als het authenticatie- en encryptieprotocol Secure Socket Layer (SSL). Internetbanken gebruiken SSL voor het beveiligen van geldtransacties die via http lopen (https). Ook automatische software updatediensten zijn na de overname van een name server te misbruiken. Bijvoorbeeld om malware binnen bedrijfsnetwerken te krijgen. Volgens Kaminsky vormt Windows Update hierop een uitzondering.
Snelle check
Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder.
Sabina, dan hebben wij het hier in Rotterdam beter voor elkaar 😉
Your name server, at xxxx.xx.xx.xx, appears to be safe, but make sure the ports listed below aren’t following an obvious pattern.
Maar ja, wij doen het dan ook zelf ;-
Andr?
Getronics, he? Verbaast mij niets: met de lage salarissen die de Getronics-directie betaalt aan hun personeel, is het niet meer dan logisch dat men niet hard loopt voor dergelijke calamiteiten. Getronics staat al jaren bekend als een zeer slecht betalende werkgever.
Getronics… zijn dat niet de ict-ers de meer verstand hebben van beursgangen en bedrijfsovernames i.p.v. de bits and the bytes en diehard ict knowledge
Het probleem lag niet bij Getronics maar bij de gemeente (firewall), jammer dat er zo over deze medewerkers wordt gesproken, zij zijn zeer competent.