Skupina Istraživači sa sveučilišta Tsinghua i kalifornijskog sveučilišta Riverside razvili su novu vrstu napada ovo omogućuje zamjenu lažnih podataka u predmemoriji DNS poslužitelja, koja se može koristiti za lažiranje IP adrese proizvoljne domene i preusmjeravanje poziva na domenu na napadačev poslužitelj.
Napad zaobilazi dodatnu zaštitu DNS poslužiteljima za blokiranje klasične metode trovanja DNS predmemorijom koju je 2008. predložio Dan Kaminsky.
Metoda Kaminsky manipulira zanemarivom veličinom polja ID-a DNS upita, što je samo 16 bita. Da biste pronašli točan identifikator potreban za lažno predstavljanje imena hosta, samo pošaljite oko 7.000 140.000 zahtjeva i simulirajte oko XNUMX XNUMX lažnih odgovora.
Napad se svodi na slanje velikog broja lažnih IP-vezanih paketa na DNS razrješivač s različitim ID-ovima DNS transakcija. Da bi se spriječilo predmemoriranje prvog odgovora, u svakom je lažnom odgovoru navedeno malo izmijenjeno ime domene.
Da bi se zaštitio od ove vrste napada, Proizvođači DNS poslužitelja implementirao slučajnu raspodjelu brojeva mrežnih priključaka izvor iz kojeg se šalju zahtjevi za razlučivost, što je nadoknadilo nedovoljno veliku veličinu identifikatora (da bi se poslao fiktivni odgovor, uz odabir 16-bitnog identifikatora, bilo je potrebno odabrati i jedan od 64 tisuće priključaka, što je povećalo mogućnosti odabira na 2 ^ 32).
Napad SAD DNS dramatično pojednostavljuje identifikaciju porta iskorištavanjem filtrirane aktivnosti na mrežnim priključcima. Problem se očituje u svim operativnim sustavima (Linux, Windows, macOS i FreeBSD) i kada koristite različite DNS poslužitelje (BIND, Unbound, dnsmasq).
Tvrdi se da je napadnuto 34% svih otvorenih rješavača, kao i 12 od 14 najboljih testiranih DNS usluga, uključujući 8.8.8.8 (Google), 9.9.9.9 (Quad9) i 1.1.1.1 (CloudFlare) usluge, kao i 4 od 6 testiranih usmjerivača renomiranih dobavljača.
Problem je zbog osobitosti formiranja ICMP odgovora, ovo omogućuje vam određivanje pristupa aktivnim mrežnim priključcima a ne koristi se preko UDP-a. Ova značajka omogućuje vam vrlo brzo skeniranje otvorenih UDP priključaka i učinkovito zaobilaženje zaštite na temelju slučajnog odabira mrežnih priključaka, smanjujući broj opcija grube sile na 2 ^ 16 + 2 ^ 16 umjesto na 2 ^ 32.
Izvor problema je mehanizam za ograničavanje intenziteta pošiljke broj ICMP paketa na mrežnom stogu, koji koristi predvidljivu vrijednost brojača, od kojeg započinje regulacija prema naprijed. Ovaj brojač je uobičajen za sav promet, uključujući lažni promet napadača i stvarni promet. Prema zadanim postavkama, na Linuxu su ICMP odgovori ograničeni na 1000 paketa u sekundi. Za svaki zahtjev koji dosegne zatvoreni mrežni priključak, mrežni snop povećava brojač za 1 i šalje ICMP paket s podacima s nedostižnog porta.
Dakle, ako pošaljete 1000 paketa na različite mrežne priključke, sve su zatvorene, poslužitelj će ograničiti slanje ICMP odgovora jednu sekundu i napadač može biti siguran da među 1000 pretraženih luka nema otvorenih portova. Ako se paket pošalje na otvoreni port, poslužitelj neće vratiti ICMP odgovor i vrijednost brojača se neće mijenjati, odnosno nakon što se pošalje 1000 paketa, ograničenje brzine odziva neće biti dosegnuto.
Budući da se lažni paketi provode s lažne IP adrese, napadač ne može primiti ICMP odgovore, ali zahvaljujući ukupnom brojaču, nakon svakih 1000 lažnih paketa, sa stvarne IP adrese može poslati zahtjev na nepostojeći port i procijeniti dolazak odgovora; ako je odgovor stigao, onda u jednom od 1000 paketa. Svake sekunde napadač može poslati 1000 lažnih paketa na različite portove i brzo odrediti u kojem je bloku otvoreni port, a zatim suziti odabir i odrediti određeni port.
Linux kernel rješava problem zakrpom koja randomizira parametre kako bi se ograničio intenzitet slanja ICMP paketa, što uvodi šum i minimizira curenje podataka kroz bočne kanale.
izvor: https://www.saddns.net/