Aanvallen op DNS-servers zitten in de lift. Kwaadwillenden proberen het ernstige gat in dit basisprotocol van het internet te misbruiken. Één van de grootste internetproviders in China is getroffen; diens DNS-server leidt surfers naar malafide websites.
Het aantal aanvalspogingen op DNS-servers neemt toe. Beveiligingsonderzoeker Dan Kaminsky bevestigt dit. Hij ontdekte eerder dit jaar een ernstige tekortkoming in het Domain Name System, dat namen vertaalt naar ip-adressen. Dat gat is tot afgelopen juli stilgehouden zodat ict-leveranciers patches konden maken. DNS raakt namelijk nagenoeg alle software en hardware die verbonden is met internet.
China en Amsterdam
Kwaadwillenden voeren nu hun aanvallen op ongepatchte – of niet goed gepatchte – DNS-servers op. In China is één van de grootste internetproviders van het land getroffen. Een van de DNS-machines van isp China Netcom (CNC) is gekaapt en leidt surfers naar malafide websites. Beveiligingsbedrijf Websense waarschuwt hiervoor.
Het gaat nog om een beperkte omleiding; alleen tikfouten in url's worden afgevoerd naar nepsites. Daar worden de pc's van die gebruikers automatisch bestookt met pogingen persoonlijke informatie te kapen (phishing) en de hele computer over te nemen (met een Trojan). Hiervoor worden bugs in diverse applicaties 'benut', zoals de RealPlayer van RealNetworks, de Flash Player van Adobe en de Snapshot Viewer in Microsoft Windows.
Ondertussen blijken er ook in Nederland nog genoeg DNS-doelwitten te zijn. Zo is de gemeente Amsterdam nog niet beveiligd. De PvdA-fractie van de stad verwijt ict-dienstverlener Getronics dat het incompetent is. Het DNS-lek heeft niet alleen betrekking op DNS-servers; ook mailservers zijn kwetsbaar.
DNS-lek
Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die beveiligingsonderzoeker Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres.
Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Ze kunnen binnen 0,7 seconden na de start van een ‘brute force' aanval de macht grijpen over een (ongepatchte) name server en de cache daarvan vervuilen met foutieve ip-adressen. Vanaf dat moment is er veel meer mogelijk dan enkel mail afvangen en websitebezoekers omleiden naar nepsites.
Ook bijvoorbeeld het File Transfer Protocol (FTP) valt te onderscheppen via het lek, net als het authenticatie- en encryptieprotocol Secure Socket Layer (SSL). Internetbanken gebruiken SSL voor het beveiligen van geldtransacties die via http lopen (https). Ook automatische software updatediensten zijn na de overname van een name server te misbruiken. Bijvoorbeeld om malware binnen bedrijfsnetwerken te krijgen. Volgens Kaminsky vormt Windows Update hierop een uitzondering.
Snelle check
Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder.
De basis van al dit leed komt mijns inziens voort uit het feit, dat men heeft aangenomen het World Wide Web te kunnen gaan gebruiken voor confidenciele informatie.
Het WWW echter was/is bedoeld voor informatie- uitwisseling. Al jaren proberen oa. banken ons ervan te overtuigen dat het web veilig is. Dit is, was en zal altijd een utopie blijven, helaas.
Zolang er informatie van enige waarde via het internet wordt uitgewisseld, zullen er partijen zijn die proberen hier hun voordeel mee te behalen.
Elektronisch bankieren wellicht weer via een vast telefoonnummer? Ook zal men hier weer trachten in te breken op een telefooncentrale teneinde een doorschakeling tot stand te brengen. Maar dat is sneller en duidelijker te constateren voor degene die de verbinding tot stand brengt.
Of gewoon het ip-adres van de bank site gebruiken, in plaats van de www naam.
Dan is een DNS server niet nodig, en zal men geen last hebben van een DNS probleem.
Mark, inderdaad, KEEP IT SIMPLE.