Komponentit

Kaminsky: Maraming mga paraan upang mag-atake sa DNS

Взаимодействие c DNS. Урок 3

Взаимодействие c DNS. Урок 3
Anonim

Ang full-time na trabaho ni Kaminsky sa nakalipas na ilang buwan ay nagtatrabaho sa mga vendor ng software at mga kompanya ng Internet upang ayusin ang isang malawakang kapintasan sa DNS (domain name system), na ginagamit ng mga computer upang mahanap ang bawat isa sa Internet. Sinabi ni Kaminsky ang problema noong Hulyo 8, na nagbababala sa mga gumagamit ng korporasyon at mga tagapagkaloob ng serbisyo sa Internet upang maitumbok ang kanilang software sa lalong madaling panahon.

Noong Miyerkules, binanggit niya ang higit pang mga detalye ng isyu sa isang sesyon ng karamihan sa Black Hat conference, na naglalarawan ng isang dizzying array ng mga atake na maaaring pagsamantalahan ng DNS. Sinabi rin ni Kaminsky ang ilan sa mga gawain na ginawa niya upang ayusin ang mga kritikal na serbisyong Internet na maaari ring ma-hit sa atake na ito.

[Karagdagang pagbabasa: Pinakamahusay na mga kahon ng NAS para sa streaming ng media at backup]

Sa pamamagitan ng pagsasamantala ng isang serye ng Ang mga bug sa paraan ng DNS protocol ay gumagana, Kaminsky ay may korte ng isang paraan upang mabilis na punan DNS server na may hindi tumpak na impormasyon. Maaaring gamitin ng mga kriminal ang pamamaraan na ito upang i-redirect ang mga biktima sa mga pekeng Web site, ngunit sa pag-uusap ni Kaminsky inilarawan niya ang maraming iba pang posibleng mga uri ng pag-atake.

Inilarawan niya kung paano maaaring gamitin ang kapintasan upang ikompromiso ang mga mensaheng e-mail, mga software updating system o kahit na password ang mga sistema ng pagbawi sa mga sikat na Web site.

At bagaman marami ang nag-isipan na ang mga koneksyon ng SSL (Secure Socket Layer) ay hindi sinasadya sa pag-atake na ito, ipinakita rin ni Kaminsky kung papaanong ang mga SSL certificate na ginamit upang kumpirmahin ang bisa ng mga Web site ay maaaring iwasan Atake DNS. Ang problema, sinabi niya, ay ang mga kumpanya na naglalabas ng mga sertipiko ng SSL na gumagamit ng mga serbisyo sa Internet tulad ng e-mail at Web upang patunayan ang kanilang mga sertipiko. "Hulaan kung gaano kaligtas na nasa harap ng pag-atake ng DNS," sabi ni Kaminsky. "Hindi masyadong."

"Ang SSL ay hindi ang kaguluhan na gusto natin," sabi niya.

Ang isa pang pangunahing problema ay kung ano ang sinabi ni Kaminsky na "nakalimutan ang aking password" atake. Nakakaapekto ito sa maraming mga kumpanya na may mga Web-based password recovery system. Maaaring i-claim ng mga kriminal na nakalimutan ang isang password ng gumagamit sa Web site at pagkatapos ay gumamit ng mga pamamaraan ng pag-hack ng DNS upang linlangin ang site sa pagpapadala ng password sa kanilang sariling computer.

Bilang karagdagan sa mga DNS vendor, sinabi ni Kaminsky na nagtrabaho siya sa mga kumpanya tulad ng Google, Facebook, Yahoo at eBay upang ayusin ang iba't ibang mga problema na may kaugnayan sa kapintasan. "Hindi ko nais na makita ang aking cell phone bill sa buwan na ito," sabi niya.

Kahit ilang mga conference attendees sinabi Miyerkules na ang Kaminsky ng talk ay overhyped, OpenDNS CEO David Ulevitch sinabi na ang IOActive mananaliksik ay gumaganap ng isang mahalagang serbisyo sa Internet komunidad. "Ang buong saklaw ng atake ay pa rin na ganap na natanto," sinabi niya. "Ito ay nakakaapekto sa bawat isang tao sa Internet."

Gayunpaman, mayroong ilang mga hiccups. Dalawang linggo pagkatapos ng Kaminsky unang napag-usapan ang problema, ang mga teknikal na detalye ng bug ay hindi sinasadyang na leaked sa Internet ng security company Matasano Security. Gayundin, ang ilang mga server ng DNS na may mataas na trapiko ay tumigil sa pagtatrabaho nang maayos pagkatapos ng unang patch, at ang ilang mga produkto ng firewall na ang pagsasalin ng address ng Internet Protocol ay hindi sinasadya na bawiin ang ilan sa mga pagbabago sa DNS na ginawa upang matugunan ang problemang ito. Ang presentasyon ng Black Hat, sinabi ni Kaminsky na sa kabila ng lahat ng mga problema, gusto pa rin niyang gawin ang parehong bagay. "Daan-daang milyong tao ang mas ligtas," sabi niya. "Ang mga bagay ay hindi naging perpekto, ngunit ito ay naging mas mahusay kaysa sa ako ay may anumang karapatan na asahan."