In tegenstelling tot vele berichten op het internet blijkt dat authoritative nameservers ook vatbaar zijn voor het Dan Kaminsky lek.
Quote Computable
"Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres. Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Ze kunnen binnen 0,7 seconden na de start van een ‘brute force' aanval de macht te grijpen over een (ongepatchte) name server en de cache vervuilen met foutieve ip-adressen. Vanaf dat moment is er veel meer mogelijk dan enkel mail afvangen en websitebezoekers omleiden naar nepsites. Ook bijvoorbeeld het File Transfer Protocol (FTP) kan misbruikt worden via het lek, net als het authenticatie- en encryptieprotocol Secure Socket Layer (SSL). Internetbanken gebruiken SSL om geldtransacties over http te beveiligen (via https). Ook automatische software updatediensten kunnen na de overname van een name server worden misbruikt voor het installeren van malware binnen bedrijfsnetwerken. Volgens Kaminksy vormt Windows Update hierop een uitzondering."
In tegenstelling tot wat bovenstaand beschreven staat, zijn Authoritative name servers ook vatbaar voor het Dan Kaminsky lek.
De authoritative nameservers staan in rijen opgesteld. de zogenaamde top domain servers staan boven aan in de hierarchie. Deze zijn niet vatbaar, omdat er geen requests op gedaan worden door particulieren of bedrijven. Alle requests die op deze servers gedaan worden komen vanaf vooraf gedefinieerde name servers. De tweede rij Authoritative name servers daarentegen is wel vatbaar.
De in een eerder artikel beschreven tool die rondwaart op het internet, en die ik steeds meer en meer tegenkom is in staat om beide servers aan te vallen.
Het verschil zit in de "flags" die meegestuurd worden met de valse DNS-replies. Een forwarder of recursion name server verwacht een Recursion desired bit set, en de valse repley dient deze dus ook te bevatten. Een Authoritative name server verwacht een 'iteration query', dus dient de bit set als 'unset' meegegeven te worden.
Door van te voren te bepalen welk type een name server is, is het dus mogelijk om ook deze aan te vallen. het risico wat er nu nog bestaat is dat valse tabellen door name servers doorgegeven gaan worden en dus ook de topdomain servers besmet kunnen raken.
Het idee achter het Kaminsky-lek is toch het injecteren van fake response berichten met het juiste TXID.
Hoe kan je nou een response naar een toplevel server faken? van wie zou die *TOP*-level (emphasis on TOP) server dan responses verwachten ?
Ik zie dus niet in hoe je toplevel servers zou kunnen “infecteren”.
Daarnaast halen de authoritative servers de refferals bij iteratieve queries uit hun eigen zone-info en doen daar geen uitgaande queries voor. Ook zij kunnen dus niet voorzien worden van fake reply’s.
Wederom ben ik zeer benieuwd naar je testopstelling waarmee je dit aangetoond hebt.
En last but not least: Je resolving nameserver doet wel degelijk requests aan de TLD’s. Het is niet zo dat de ene nameserver het stokje overgeeft aan de _hoger_ gelegen nameserver in de hierarchie. De recursive nameserver zal zelf de hierarchie aflopen met requests totdat ie de juiste authoritative nameserver heeft gevonden.
Joao,
Neem kontakt met mij op via email, en ik zal je een stuk verder op weg helpen.