Komponenter

Internettet får en patch, da DNS-fejl er fast

How to Improve the Internet on Your Nintendo Switch (WiFi & Wired)

How to Improve the Internet on Your Nintendo Switch (WiFi & Wired)
Anonim

Makere af softwaren, der bruges til at forbinde computere på internettet, offentliggjorte softwareopdateringer tirsdag for at patchere en alvorlig fejl i en af ​​internetets underliggende protokoller, Domain Name System (DNS).

Fejlen blev opdaget "ved fuldstændig ulykke" af Dan Kaminsky, en forsker med sikkerhedsleverandør IOActive. Kaminsky, en tidligere medarbejder hos Cisco Systems, er allerede kendt for sit arbejde inden for netværk.

Ved at sende bestemte typer forespørgsler til DNS-servere kan angriberen derefter omdirigere ofre væk fra et legitimt websted - siger Bofa.com - til et ondsindet websted uden at offeret realiserer det. Denne type angreb, der er kendt som DNS-cacheforgiftning, påvirker ikke kun internettet. Det kan bruges til at omdirigere al internettrafik til hackers servere.

[Yderligere læsning: Sådan fjernes malware fra din Windows-pc]

Fejlen kan udnyttes "som et phishing-angreb uden at sende dig e-mail, "sagde Wolfgang Kandek, chefstekniker med sikkerhedsfirma Qualys.

Selvom denne fejl påvirker nogle hjemme routere og klient DNS-software, er det for det meste et problem for virksomhedens brugere og internetudbydere (internetudbydere), der kører de DNS-servere, der anvendes ved pc'er at finde vej rundt på internettet, sagde kaminsky. "Hjembrugere bør ikke panik," sagde han i et tirsdagskonference.

Efter at have opdaget fejlen for flere måneder siden afrundede Kaminsky straks en gruppe på omkring 16 sikkerhedseksperter med ansvar for DNS-produkter, som mødtes i Microsoft den 31. marts at hamre en måde at løse problemet på. "Jeg kontaktede de andre fyre og sagde:" Vi har et problem, "sagde Kaminsky. "Den eneste måde, vi kunne gøre dette på, er, hvis vi havde en samtidig udgivelse på tværs af alle platforme."

Denne massive fejlrettelse fandt sted tirsdag, da flere af de mest udbredte udbydere af DNS-software udgik patches. Microsoft, Cisco, Red Hat, Sun Microsystems og Internet Software Consortium, beslutningstagere af den mest anvendte DNS-server-software, har alle opdateret deres software til at løse fejlen.

Internet Software Consortiums open source-BIND (Berkeley Internet Name Domain) software kører på omkring 80 procent af internets DNS-servere. For de fleste BIND-brugere er rettelsen en simpel opgradering, men for de anslåede 15 procent af BIND-brugere, der endnu ikke har flyttet til den nyeste version af softwaren, BIND 9, kan det være lidt vanskeligere.

Det er fordi ældre versioner af BIND har nogle populære funktioner, der blev ændret, da BIND 9 blev udgivet, ifølge Joao Damas, senior programleder for Internet Software Consortium.

Kaminsky's bug har at gøre med måden DNS-klienter og servere får information fra andre DNS-servere på internettet. Når DNS-softwaren ikke kender den numeriske IP-adresse (Internet Protocol) til en computer, spørger den en anden DNS-server til disse oplysninger. Ved cacheforgiftning trænger angriberen til DNS-softwaren til at tro på, at legitime domæner, som f.eks. Bofa.com, kortlægger ondsindede IP-adresser.

Sikkerhedsforskere har kendt, hvordan man kan starte disse cacheforgiftningsangreb mod DNS-servere i nogen tid nu, men typisk kræver disse angreb, at angribere sender en masse data til den DNS-server, de forsøger at inficere, hvilket gør angrebene nemmere at opdage og blokere. Men Kaminsky opdagede en langt mere effektiv måde at starte et vellykket angreb på.

Fordi Kaminskys fejl ligger i selve designet af DNS, er der ingen nem måde at løse det på, siger Damas. I stedet har virksomheder som ISC tilføjet en ny sikkerhedsforanstaltning til deres software, der gør det sværere for cacheforgiftning at arbejde.

På lang sigt vil den mest effektive måde at håndtere cacheforgiftning være at vedtage en mere sikker version af DNS, kaldet DNSSEC, sagde Danny McPherson, chefforsker med Arbor Networks. Tirsdagens løsning er stort set "et hack, der gør det meget vanskeligere," sagde han. "Men det løser ikke rodproblemet."

Kaminsky siger, at han vil give netværksadministratorer en måned til at lappe deres software, før de afslører flere tekniske detaljer om fejlen ved næste måneds Black Hat-konference i Las Vegas. I mellemtiden har han oprettet kode på sit websted, der gør det muligt for brugerne at se om deres virksomheds eller internetudbyderens DNS-server er blevet patched.