Názory k článku Internet ohrozila největší bezpečnostní hrozba desetiletí

Mělo, ale z reakcí jsem tak nějak vysledoval, že se do toho nikomu moc nechce.

S TCP je mimo jiné i problém, že to není jenom trojnásobný počet paketů, ale někdo ty spojení musí udržovat. Ať už server nebo routery po cestě, atp... Zatímco UDP je přijmu paket, zpracuju, pošlu odpověď, zapomenu. Bylo by o dost jednodušší cokoli zaDoSovat. Nezapomeňte, že se bavíme o provozu, kde nejsou neobvyklé stovky, tisíce (někde možná i více) dotazů za sekundu.

Zkratka TTL je pouziva v obou pripadech.

Ne. Motáte dohromady IP a DNS. Tedy různé síťové vrstvy.

Jen drobné upřesnění:

Útočník TTL znát nepotřebuje. Mohl by tam ty podvržené pakety prostě cpát pořád dokola. Nicméně ho musí "znát" ve smyslu, že jediná chvíle, kdy může přepsat cache serveru, je mezi dotazem, který přijde po vypršení TTL a odpovědi na tento dotaz.

Článek je myslím dobře napsaný a čtivý, ale chybí mu to nejdůležitější. Dan Kaminsky totiž přišel na to, jak přepsat cache DNS serveru a tím útok zrealizovat kdykoliv se útočníkovi zachce. Jinak by útočník musel čekat na to, než vyprší TTL, které ani nemusí znát.

Princip útoku spočívá v tom, že se zeptám na nějaký náhodný neexistující záznam a v odpovědi pošlu také AUTHORITY a ADDITIONAL sekci, ve které uvedu IP adresu serveru, který chci podvrhnout. Podrobně to je popsané v článku na .blog.

Pokud máte banku déle než jeden rok, tak už určitě alespoň jednou vyměnila certifikát. Všiml jste si toho? Ne, takhle to nefunguje, pokud je certifikát podepsaný důvěryhodnou certifikační autoritou, tak se vám dole/nahoře objeví zámeček a je hotovo.

A co byste s tou informací udělal? Koukl se k nim na web (a adresu zjistil přes DNS)? Nebo jim zavolal na helpdesk (a telefon zjistil na webu, jehož adresu byste zjistil přes DNS)?

... nerikej, ze si este nikdy nevidel otravenyho holuba :-)

...je okamžité a masové nasazení RFC 1149 ;)

Unbound je na světě chviličku. Nic jiného bych si na tak velkou instalaci nedovolil nasadit. Resp. ještě se používá CNS od Nominumu, ale to je tak asi všechno.

A bez konkrétní znalosti jejich infrastruktury a implementace DNS bych se neodvážil nic takového jako vy tvrdit.

Nehledě na to, že vaše logika je pokřivená. S bindem problém nebyl (i když nikde jsem neviděl, že by zrovna O2 používala Bind a zjišťovat se mi to nechce). A ve chvíli, kdy problém začal být, tak snad nechcete naznačit, že kluci z outů měli skočit na google a jen tak narychlo nasadit třeba Unbound, protože se jim líbí jeho modré oči?

Další stránka věci může být v tom, že například na DNS můžou mít nasmlouvané nějaké záruky od dodavatele a dodavatel záplaty nedodal.

Z prohlášení tiskové mluvčí to asi těžko rozkódujeme, že?

Více informací ohledně Kaminsky-style útoku na DNS najdete na firemním blogu CZ.NICu: DNS útok podle Kaminského.

Ne, to není pravda. Jakkoli rozumný NAT nebude přemapovávat porty při každém nové DNS dotazu, který jde se stejnou zdrojovou adresou. Použije port, který má uložený v NAT tabulce.

Nejsem si uplne jisty, zda-li je spravne doporucovat OpenDNS jako reseni. Kdyz pominu fakt, ze nejake nezname firme vydavam voditka k tomu, aby zjistila, kam posilam e-maily a na jake stranky se divam, neprijde mi vubec stastne vytvorit DNS centrum (a opakuji spravovane neznamou instituci!) pro cely svet. Podle meho nazoru se tim jen vytvari misto, kam muzou (a budou) utocnici utocit, protoze maji zajistene, ze jejich utok bude mit velky dopad. A tim se tedy bezpecnost naopak snizuje.

Proto bych jako reseni OpenDNS rozhodne nedoporucil.

Internet vznikl jako decentralizovany, myslim, ze je moudre to tak zachovavat.

O teto slabine se pravda chvili vi, ale pokud byste chtel se znalostmi pred cervnem napadnou DNS, ktery nerandomizuje zdrojovy port, musel byste vystihnou spravne casove okno pro utok a to se otvira jen jednou za cas (TTL domeny na kterou utocite). Pravdepodobnost, ze se Vam podari ono casove okno vyuzit je pomerne mala, takze Vas utok by trval pravdepodobne velmi dlouho. Pan Kaminski dokazal, ze utok muzete provest v jakemkoliv case a jeste ho opakovat. To tedy znamena, ze i kdyz pravdepodobnost uspesneho napadeni daneho DNS serveru neni prilis vysoka, muze te jej okamzite opakovat, dokud se Vam to nepovede. (Navic jeste zpusob utoku mirne vylepsil.) Mimochodem ani pouziti randomizovaneho zdrojoveho portu nam nedava jistotu, pouze snizuje pravdepodobnost uspechu utoku! A proto "vylepseni" pana Kaminskeho naopak zvysuje sance utocnika otravit cache i takto "zabezpeceneho" DNS serveru. Jedine reseni, ktere se mi v soucasne dobe jevi jako bezpecne, je pouziti DNSSEC.

On si odpověděl, ale já bych se to pokusil více rozvést...

Testuje se IP adresa, ze které chodí dotazy, nezáleží na jaké adrese je server, kterého se ptáte vy, ale server, který se pak ptá autoritativního serveru. Jestli je mezi serverem, kterého se ptáte vy, a autoritativním server, který odpovídá, dalších 10 zřetězených serverů, se normálně vy už nedovíte, ale přitom stačí napadnout ten nejblíž autoritativnímu serveru (nebo nejdál vám), tedy ten, který komunikuje s "internetem".

To samé platí o NATu. Což je taková třešnička na dortu. Vy můžete mít zazáplatovaný DNS server a váš NAT pak bude tak hodný, že vaše náhodné porty zeserializuje... a jste tam kde jsme byli před aktualizací.

Bezpečné protokoly, které se používají, docela dobře vzdorují "mužíčkovi-uprostřed, tedy pokud uživatel není úplné pako."

Mate bohuzel pravdu pouze castecne. Bezpecne protokoly, tedy napriklad https, pouzivaji certifikaty. Certifikaty vydava certifikacni autorita. Narozdil od tech ceskych kvalifikovanych se tyto autority obvykle spolehaji na udaje z whois. Tedy na udaje, pro jejichz ziskani potrebuji zase DNS. Pokud je tedy utocnik dobre vybaven, nejprve si vystavi certifikat pro prislusny web, pak presmeruje provoz. A ani uzivatel, ktereho byste jiste neoznacil jako "uplne pako", nema sanci

Tohle vysvetleni jsem tak nejak nepochopil a stejne tak chovani toho DNS testu.

Test mi na nekolika mistech vypisuje, ze otestoval IP adresu, na ktere zadny DNS server nebezi - v podstate vzdy vypisuje adresu, za kterou jsem schovany (NAT), pricemz na teto verejne adrese nebezi *zadna* sluzba, tedy ani DNS.

Nekde je zrejme chyba - bud ten test testuje jiny DNS server a spatne vypisuje IP adresu otestovaneho serveru, nebo si vymysli. Takze tak.

Možná je to jenom náhoda, ale tento týden mě připojení od O2 dost záhadně blbne a shodou okolností jsou to právě chyby DNS. Blíž jsem po tom nepátral, ale asi už se patchuje...

Smozřejmě souhlasím, že s křížkem po funuse :-(

Jedna věc je napadnout individuální PC. Druhá věc je napadnout DNS server ISP, kde ovlivníte tisíce uživatelů. Myslíte, že se mezi těmi tisíci nenajde alespoň jeden dva technicky málo zdatní uživatelé? Já myslím, že ano.

Viděl jsem nějaké kalkulace, o kterých se docela dost lidí shodlo, že jsou správně, a ve chvíli, kdy se začne používat náhodný zdrojový port, tak ten datový stream už musí být vcelku velký. Více se dá najít na namedroppers.