Managed hosting door True

Gepatchte DNS-servers binnen een dag te hacken

Dit artikel delen:

Ook nadat een beveiligingspatch is geïnstalleerd tegen een ernstig DNS-lek kunnen criminelen internetgebruikers omleiden naar nepsites en hun mailberichten afvangen. Het enige verschil is dat het kapen van een DNS-server niet 0,7 seconden duurt, maar gemiddeld minder dan één dag.

PowerDNS-ontwikkelaar Bert Hubert meldt dat iemand "meestal binnen een dag" een DNS-server kan overnemen, ook als die server gepatcht is tegen het lek dat Dan Kaminsky begin juli wereldkundig maakte. Hubert: "Die persoon kan dan al het internetverkeer dat via die server loopt manipuleren."

Eerder namen beveiligingsexperts aan dat een crimineel drie weken nodig zou hebben om een gepatchte DNS-server over te nemen. Hubert rekende uit dat na één dag de kans al 64% is dat een aanval slaagt. Criminelen kunnen internetgebruikers dan ongemerkt omleiden naar nepsites of hun mailberichten onderscheppen.

Zonder patch duurt een aanval minder dan een seconde, zo demonstreerden hackers vorige week donderdag tijdens een beveiligingsconferentie in Dublin. Een derde van de Nederlandse DNS-servers is nog steeds niet gepatcht. Daartoe behoren ook DNS-servers van providers.

Brute force-aanval

Beveiligingsexperts zijn het erover eens dat de huidige patch onvoldoende bescherming biedt. DNS blijft kwetsbaar voor cachevervuilingsaanvallen. De nu verpreide patch beveiligt DNS-servers door de afzenderpoort van UDP-pakketten willekeurig te maken (met een variatie van 16 bits). Via een ‘brute force'-aanval kan iemand nog steeds de juiste poort raden.

Hubert: "Op dit moment kost het enkele dagen en honderden gigabytes om een domein over te nemen. Als het alleen om computable.nl gaat is dat een hoop werk, maar als het om het hele .nl, of het.com-domein gaat is dat voor een crimineel zeker de moeite waard. Hoewel het op zou moeten vallen wanneer  een crimineel probeert de juiste afzenderpoort te raden, zijn er genoeg providers aan het slaapwandelen. Het is dus mogelijk dat een crimineel een gepatchte DNS-server bij een provider overneemt zonder dat die provider daar iets van merkt."

Botnets

De nieuwe aanvallen vergen tientallen a honderden gigabytes aan netwerkverkeer, iets wat niet iedere aanvaller ter beschikking heeft. Hubert: "Het vermoeden bestaat dat botnets op dit moment aangepast worden om dit soort overnames uit te voeren, via duizenden of honderdduizenden gehackte computers".

Op een bijeenkomst van de Internet Engineering Task Force in Dublin vorige week besloot de IETF om voorlopig geen nieuwe patches uit te brengen voor het DNS-lek.

Het lek dat Kaminsky ontdekte

Domain Name System-servers vertalen domeinnamen naar ip-adressen. Er zijn twee soorten DNS-servers: authoritative en caching nameservers. Alleen het tweede type DNS-server (ook wel ‘resolving name servers' genoemd) is vatbaar voor de kwetsbaarheid die Kaminsky ontdekte. Caching nameservers zijn namelijk niet op de hoogte van alle domeinnamen op het hele internet, en sturen daarom vertaalverzoeken aan ‘autoritieve' DNS-servers. In zo'n vertaalverzoek vraagt een DNS-server naar het ip-adres dat hoort bij een bepaald website- of mailadres. Het huidige DNS-lek maakt het voor kwaadwillenden mogelijk zich uit te geven voor een autoritieve DNS-server. Zij kunnen daardoor de cache van DNS-servers vervuilen met verkeerde ip-adressen. Die foute adressen kunnen ervoor zorgen dat mails in verkeerde handen terecht komen en dat websitebezoekers worden omgeleid naar vervalste websites. Kwaadwillenden kunnen één website 'kapen' (van bijvoorbeeld een bank of een webmailaanbieder), maar in principe ook het hele .com-domein overnemen.

Snelle check

Wie snel wil controleren of de patch is doorgevoerd binnen zijn eigen bedrijf, kan op de website van Dan Kaminsky via één druk op de knop achterhalen of de gebruikte DNS-server kwetsbaar is of niet. Een meer gedetailleerde controle kan elders worden uitgevoerd. Als blijkt dat de DNS-server die je gebruikt kwetsbaar is, informeer dan je netwerkbeheerder. Is je provider het probleem, laat het ons dan weten.

x

Om te kunnen beoordelen moet u ingelogd zijn:

Dit artikel delen:

Apple-patch voor DNS-lek deugt niet

Geen nieuwe patches ondanks DNS-gevaar

Apple brengt patch uit voor DNS-lek

DNS-servers aangevallen

Niet alle providers gepatcht tegen DNS-lek

Beheerder patcht DNS-lek vaak ongemerkt

Apple heeft nog geen patch voor DNS-lek

Kaminsky geeft meer details over DNS-lek

Cisco: schakel DNS-server uit

Zeker helft DNS-servers nog niet gepatcht

Patchen DNS-lek is niet voldoende

Minderheid bedrijven heeft DNS-lek gedicht

Details DNS-lek uitgelekt

Cruciaal beveiligingslek in Domain Name System

DNS infrastructuur vertoont nog steeds cruciale beveiligingsrisico's

DNSsec wordt wereldwijd meest gebruikt bij .NL

SURFnet ondersteunt veilig internetprotocol

Internet krijgt beveiligd DNS-protocol

.com-domein krijgt beveiligd DNS-protocol

Kaminsky vond DNS-lek dankzij fitnessongelukje

Windows 7 biedt betere DNS-beveiliging

Organisaties verwaarlozen DNS-infrastructuur

Nederland patcht slechter tegen Kaminsky-lek

Amsterdam neemt Getronics in bescherming

SIDN: vanaf 2009 overstap naar DNSsec

Authoritative nameservers vatbaar voor Kaminsky lek

Mailservers nog kwetsbaar voor DNS-lek

Internetbankieren onveilig ondanks 3x kloppen

Is de IP-protocolsuite überhaupt wel veilig?

Getest: exploittool voor DNS-lek

DNS-lek ondermijnt vertrouwen in internet

Gepatchte DNS-servers binnen tien uur over te nemen

Nederlander vond als eerste details DNS-lek

DNS-lek maakt internetbankieren onveilig

DNS-patches vertragen internetverkeer


Reacties

Dus eerst wordt je als beheerder er maar vooral op gewezen dat je de patch moet installeren, en wordt er publiekelijk nog eens op gehamerd dat er nog steeds providers zijn die dat nog niet hebben gedaan om een paar dagen later weer te vernemen dat je wel kunt patchen, maar de patch in feite onvoldoende bescherming biedt en er nu door een hoop bedrijven al een hoop kosten zijn gemaakt en risico's om zonder testscenario maar zo snel mogelijk de nodige patches uit te voeren.

Stuur dit artikel door

Je naam ontbreekt
Je e-mailadres ontbreekt
De naam van de ontvanger ontbreekt
Het e-mailadres van de ontvanger ontbreekt

×
×
Wilt u dagelijks op de hoogte worden gehouden van het laatste ict-nieuws, achtergronden en opinie?
Abonneer uzelf op onze gratis nieuwsbrief.