Alkatrészek

Felmérés: Egy DNS-kiszolgáló 10-nél "triviálisan sérülékeny"

Cât de mare este Alphabet ???

Cât de mare este Alphabet ???
Anonim

Az internet DNS (Domain Name System) szervereinek több mint 10 százaléka továbbra is sebezhető a gyorsítótár-mérgezési támadásokkal szemben, a világméretű internetes névkiszolgálók világa szerint.

hogy a sérülékenységek nyilvánosságra hozatala és a javítások elérhetővé váltak, mondta a DNS szakértő, Cricket Liu, akinek az Infoblox cég megbízta az éves felmérést.

"Becslések szerint 11,9 millió névkiszolgáló van ott, és több mint 40 százaléka megengedi a nyílt rekurziót, így mindenki elfogadja a kérdéseket, ezek közül egynegyed nem javítva, így 1,3 millió névkiszolgáló van, amelyek triviálisan sebezhetőek "- mondta Liu, aki az Infoblox alelnöke az építészetnek.

[További olvasmány: Hogyan távolítsunk el kártékony programokat? a széledből ows PC]

Más DNS-kiszolgálók engedélyezhetik a rekurziót, de nem mindenki számára nyitottak, így a felmérés nem vette fel őket. "

Liu elmondta, hogy a gyorsítótár-mérgezési sebezhetőség Dan Kaminsky, a biztonsági kutató, aki júliusban nyilvánosságra hozta a részleteket, valódi: "Kaminsky-t napokban tették közzé nyilvánosságra hozataluk után."

A sebezhetőséget célzó modulokat hozzáadták a hacker- és penetrációvizsgálati eszközhöz Metasploit, például. Ironikus módon az egyik első DNS-kiszolgáló, amelyet egy gyorsítótár-mérgezési támadás fenyegetett, a Metasploit szerzője, a HD Moore által használt.

Most a gyorsítótár mérgezés elleni ellenszere a port randomizáció. A változó forrásportok DNS lekérdezésével ez megnehezíti a támadók számára, hogy kitalálják, melyik port küldheti a mérgezett adatokat.

Ez azonban csak részleges javítás, figyelmeztetett Liu. "A portok randomizálása enyhíti a problémát, de nem teszi lehetetlenné a támadást" - mondta. "Ez valójában csak egy átmeneti lépés a kriptográfiai ellenőrzés felé vezető úton, amit a DNSSEC biztonsági bővítmények teszek.

" A DNSSEC sokkal többet fog végrehajtani a megvalósításhoz, mivel számos infrastruktúrát alkalmaznak - kulcs irányítás, zóna aláírás, nyilvános kulcs aláírás stb. Úgy gondoljuk, hogy a DNSSEC elfogadása ebben az évben jelentősen felmerülhet, de csak 45 DNSSEC rekordot láttunk egy millió mintából. Az elmúlt évben 44-et láttunk. "

Liu elmondta, hogy a pozitív oldalon a felmérés számos jó hírhez kapcsolódott: például az SPF támogatása - az e-mail spoofelés elleni küzdelemre irányuló feladói politikai keret - az elmúlt 12 hónapban 12,7% -kal emelkedett 16,7% -ra.

Ezenkívül az internethez kapcsolódó, bizonytalan Microsoft DNS Server rendszerek száma a teljes 2,7% -ról 0,17% -ra csökkent. ezek a rendszerek még mindig használhatók a szervezeten belül, de a legfontosabb dolog az, hogy "az emberek elszaladnak az internethez való csatlakozásukhoz."

Előretekintve Liu elmondta, hogy csak olyan szervezetek, amelyeknek különleges igényük van a nyílt rekurzív DNS-re

"Szeretném látni, hogy a nyílt rekurzív szerverek százalékos aránya lemerül, mert még akkor is, ha javításra kerülnek, nagyszerű erősítőket tesznek a tagadásért - a szolgálati támadásokról - mondta -, nem tudjuk megszabadulni a rekurzív szerverektől, de nem szabad megengedni, hogy bárki használhassa őket. "