Každý čtvrtý DNS server je stále zranitelný vůči Kaminskému útoku

David Budai, 13. listopad 2008 01:20 0 komentářů
Rubriky: Security, Internet

Lupa
Podle posledního výzkumu společnosti The Measurement Factory je čtvrtina DNS serverů stále zranitelná vůči útoku, který před několika měsíci objevil bezpečnostní expert Dan Kaminski. Útokům typu DDoS se neubrání dokonce 40 procent serverů. Tato alarmující čísla jsou dána nejen samotnou povahou starého DNS protokolu, ale také samotnými firmami, které z mnoha důvodů neprovádějí aktualizace svých serverů.

0101

Když Dan Kaminsky, bývalý zaměstnanec společnosti Cisco, v srpnu tohoto roku zveřejnil bezpečnostní trhlinu u DNS serverů, prolétly tyto informace snad všemi významnými médii. Hovořilo se dokonce o bezpečnostní hrozbě desetiletí a jejím možném katastrofickém dopadu na celý internet. Útok typu „cache poisioning“ je známý již dlouhou dobu, ale Kaminsky přišel na mnohem snadnější způsob, jak ho využít právě proti DNS serverům.

Měsíce uplynuly a zmíněný výzkum naznačuje, že příliš mnoho kroků směrem k zabezpečení učiněno nebylo. Miliony serverů na internetu jsou tak stále snadno zranitelné, jednak vůči Kaminskému útoku, ale také vůči distribuovaným útokům na odepření služby (DDoS). Mnoho z nich totiž stále nevyužívá randomizace portů (Port Randomization), která by těmto útokům měla zabránit, nebo zbytečně umožňuje vyřizovat rekurzivní požadavky.

„Vyřizování rekurzivních požadavků představuje velké nebezpečí. Útočník toho může snadno využít k oklamání DNS serveru, který pak bude uživatelům nabízet zaměněná data,“ říká Paul Parisi, CTO společnosti DNSstuff. Jiný výzkum provedený touto společností potvrzuje výše uvedená fakta s tím, že 31 procent účastníků zatím neprovedlo potřebné záplatování serverů nebo nemělo dostatečné technické znalosti k jejich provedení. „Je to udivující, vzhledem k tomu, jaká pozornost byla tomuto problému věnována.“

V době vzniku DNS byla bezpečnost druhořadá

Tvůrce DNS Paul Mockapetris říká, že když v 80. letech protokol psal, byla stránka bezpečnosti úmyslně vypuštěna s tím, že bude včleněna později. Tímto zabezpečením by měl být standard DNSSEC, což je bezpečnostní rozšíření DNS. Uživatelům poskytne jistotu, že informace, které z DNS získal, byly poskytnuty správným zdrojem, jsou úplné a jejich integrita nebyla při přenosu narušena.

Problémem však podle Mockapetrise bude rozšíření DNSSEC. První zmínky o této technologii se sice objevily už před mnoha lety a nyní už je prakticky připravena na implementaci, mnoho organizací však prý odrazuje její složitost nebo nedostatečná informovanost.

Česká republika se mezi státy využívající DNSSEC zařadila v září, po prvním měsíci provozu je tímto způsobem chráněno už 245 domén.

Přečtěte si také


Vint Cerf: Internet čekají velké změny
CZ.NIC zavede technologii DNSSEC v Česku
Trojský kůň jako nový bankovní lupič


Komentáře

RSS 

Komentujeme

V datových centrech už nejde o Windows?

Pavel Houser , 22. březen 2017 12:47
Pavel Houser

Trevor Pott si na The Register pokládá otázku o budoucnosti serverových Windows na platformě ARM. ...

Více






Kalendář

20. 03.

24. 03.
CeBIT 2017
21. 03.

24. 03.
Amper
23. 03. Cloud computing v praxi
RSS 

Zprávičky

Prodej mobilů v ČR loni klesl o pět procent

ČTK , 22. březen 2017 16:14

Prodej mobilních telefonů v Česku loni klesl o pět procent, uvedla analytická firma GfK. Podle infor...

Více 0 komentářů

Nařízení EU usnadní uplatnění práva být zapomenut, ale s omezením

ČTK , 22. březen 2017 15:01

Nárok na vymazání osobních údajů, který od konce května příštího roku přinesou nová pravidla EU pro ...

Více 0 komentářů

Na trh přicházejí GFI OneConnect a OneGuard

Pavel Houser , 22. březen 2017 09:30

Nová řešení ochrany firemních sítí a e-mailové infrastruktury . ...

Více 0 komentářů

Starší zprávičky

Kritická chyba v přepínačích Cisco

Pavel Houser , 22. březen 2017 09:00

Více než 300 typů přepínačů Cisco včetně 264 přepínačů Catalyst obsahují kritickou zranitelnost....

Více 0 komentářů

USA a Británie zakázaly pasažérům některých aerolinek elektroniku

ČTK , 22. březen 2017 08:45

Americké úřady zakázaly pasažérům devíti leteckých společností převážně z muslimských zemí brát do l...

Více 1 komentářů

České Radiokomunikace pokrývají svou sítí IoT další města

Pavel Houser , 22. březen 2017 08:30

CRA hledají partnery pro poskytování IoT služeb. Do rozvoje této oblasti plánují v průběhu roku inve...

Více 0 komentářů

Epidemie negativity: Češi jsou druhým nejvíce kverulantským národem

ITBiz.cz , 22. březen 2017 08:00

České podniky jsou v sevření epidemie negativity. Průzkum společnosti Sharp odhalil, že přes dvě tře...

Více 0 komentářů