DNS ক্যাশে জাল তথ্য সন্নিবেশ করার জন্য নতুন SAD DNS আক্রমণ

ক্যালিফোর্নিয়া বিশ্ববিদ্যালয়ের গবেষকদের একটি দল, রিভারসাইড SAD DNS আক্রমণের (CVE-2021-20322) একটি নতুন রূপ প্রকাশ করেছে যা CVE-2020-25705 দুর্বলতা ব্লক করতে গত বছর সুরক্ষা যোগ করা সত্ত্বেও কাজ করে। নতুন পদ্ধতিটি সাধারণত গত বছরের দুর্বলতার অনুরূপ এবং সক্রিয় UDP পোর্টগুলি পরীক্ষা করার জন্য শুধুমাত্র একটি ভিন্ন ধরনের ICMP প্যাকেট ব্যবহারে ভিন্ন। প্রস্তাবিত আক্রমণটি DNS সার্ভার ক্যাশে কাল্পনিক ডেটা প্রতিস্থাপনের অনুমতি দেয়, যা ক্যাশে একটি নির্বিচারে ডোমেনের আইপি ঠিকানা প্রতিস্থাপন করতে এবং আক্রমণকারীর সার্ভারে ডোমেনে অনুরোধগুলি পুনঃনির্দেশ করতে ব্যবহার করা যেতে পারে।

লিনাক্সে ICMP প্যাকেট প্রসেসিং মেকানিজমের বিশেষত্বের সাথে সংযোগের কারণে প্রস্তাবিত পদ্ধতিটি শুধুমাত্র লিনাক্স নেটওয়ার্ক স্ট্যাকে কাজ করে, যা ডেটা ফাঁসের উত্স হিসাবে কাজ করে যা সার্ভার দ্বারা একটি পাঠাতে ব্যবহৃত UDP পোর্ট নম্বর নির্ধারণকে সহজ করে। বাহ্যিক অনুরোধ। আগস্টের শেষে লিনাক্স কার্নেলে তথ্য ফাঁসকে ব্লক করে এমন পরিবর্তনগুলি গৃহীত হয়েছিল (কার্নেলের LTS শাখায় কার্নেল 5.15 এবং সেপ্টেম্বর আপডেটে ফিক্সটি অন্তর্ভুক্ত করা হয়েছিল)। জেনকিন্স হ্যাশের পরিবর্তে নেটওয়ার্ক ক্যাশে সিপহ্যাশ হ্যাশিং অ্যালগরিদম ব্যবহারে স্যুইচ করার জন্য সমাধানটি ফুটে উঠেছে। ডিস্ট্রিবিউশনে দুর্বলতা ঠিক করার অবস্থা এই পৃষ্ঠাগুলিতে মূল্যায়ন করা যেতে পারে: ডেবিয়ান, আরএইচইএল, ফেডোরা, সুস, উবুন্টু।

সমস্যা চিহ্নিতকারী গবেষকদের মতে, নেটওয়ার্কে প্রায় 38% ওপেন রিসোলভার দুর্বল, যার মধ্যে জনপ্রিয় DNS পরিষেবা যেমন OpenDNS এবং Quad9 (9.9.9.9) রয়েছে। সার্ভার সফ্টওয়্যার হিসাবে, একটি লিনাক্স সার্ভারে BIND, Unbound এবং dnsmasq এর মতো প্যাকেজগুলি ব্যবহার করে আক্রমণ করা যেতে পারে। উইন্ডোজ এবং বিএসডি সিস্টেমে চলমান ডিএনএস সার্ভারে সমস্যাটি দেখা যায় না। সফলভাবে আক্রমণ চালানোর জন্য, আইপি স্পুফিং ব্যবহার করা প্রয়োজন, যেমন এটি প্রয়োজনীয় যে আক্রমণকারীর আইএসপি একটি জাল উৎস আইপি ঠিকানা সহ প্যাকেটগুলি ব্লক করে না৷

একটি অনুস্মারক হিসাবে, SAD DNS আক্রমণ 2008 সালে Dan Kaminsky দ্বারা প্রস্তাবিত ক্লাসিক DNS ক্যাশে বিষক্রিয়া পদ্ধতি ব্লক করতে DNS সার্ভারে যোগ করা সুরক্ষাগুলিকে বাইপাস করে। কামিনস্কির পদ্ধতিটি ডিএনএস ক্যোয়ারী আইডি ফিল্ডের ক্ষুদ্র আকারকে ম্যানিপুলেট করে, যা মাত্র 16 বিট। হোস্ট নাম স্পুফিংয়ের জন্য প্রয়োজনীয় সঠিক DNS লেনদেন শনাক্তকারী নির্বাচন করতে, প্রায় 7000টি অনুরোধ পাঠানো এবং প্রায় 140 হাজার কাল্পনিক প্রতিক্রিয়া অনুকরণ করা যথেষ্ট। আক্রমণটি একটি কাল্পনিক আইপি বাইন্ডিং সহ এবং বিভিন্ন ডিএনএস লেনদেন শনাক্তকারীর সাথে ডিএনএস সমাধানকারীর সাথে প্রচুর সংখ্যক প্যাকেট প্রেরণের জন্য উস্কে দেয়। প্রথম প্রতিক্রিয়ার ক্যাশিং প্রতিরোধ করতে, প্রতিটি ডামি প্রতিক্রিয়াতে একটি সামান্য পরিবর্তিত ডোমেন নাম থাকে (1.example.com, 2.example.com, 3.example.com, ইত্যাদি)।

এই ধরনের আক্রমণ থেকে রক্ষা করার জন্য, DNS সার্ভার নির্মাতারা সোর্স নেটওয়ার্ক পোর্টের সংখ্যাগুলির একটি এলোমেলো বিতরণ প্রয়োগ করে যেখান থেকে রেজোলিউশনের অনুরোধ পাঠানো হয়, যা শনাক্তকারীর অপর্যাপ্ত আকারের জন্য ক্ষতিপূরণ দেয়। একটি কাল্পনিক প্রতিক্রিয়া পাঠানোর জন্য সুরক্ষা প্রয়োগ করার পরে, একটি 16-বিট শনাক্তকারী নির্বাচন করার পাশাপাশি, 64 হাজার পোর্টের মধ্যে একটি নির্বাচন করা প্রয়োজন হয়ে ওঠে, যা নির্বাচনের বিকল্পগুলির সংখ্যা 2^32-এ বৃদ্ধি করে।

এসএডি ডিএনএস পদ্ধতি আপনাকে নেটওয়ার্ক পোর্ট নম্বর নির্ধারণকে আমূলভাবে সরল করতে এবং আক্রমণকে ক্লাসিক কামিনস্কি পদ্ধতিতে হ্রাস করতে দেয়। একজন আক্রমণকারী ICMP প্রতিক্রিয়া প্যাকেটগুলি প্রক্রিয়া করার সময় নেটওয়ার্ক পোর্টগুলির কার্যকলাপ সম্পর্কে ফাঁস হওয়া তথ্যের সুবিধা গ্রহণ করে অব্যবহৃত এবং সক্রিয় UDP পোর্টগুলিতে অ্যাক্সেস সনাক্ত করতে পারে। পদ্ধতিটি আমাদের অনুসন্ধান বিকল্পের সংখ্যাকে 4টি ক্রম দ্বারা কমাতে দেয় - 2^16 এর পরিবর্তে 2^16+2^32 (131_072_4_294 এর পরিবর্তে 967_296)। তথ্য ফাঁস যা আপনাকে সক্রিয় UDP পোর্টগুলিকে দ্রুত নির্ণয় করতে দেয় তা ফ্র্যাগমেন্টেশন অনুরোধ (ICMP ফ্র্যাগমেন্টেশন নিডেড ফ্ল্যাগ) বা পুনঃনির্দেশ (ICMP পুনঃনির্দেশিত পতাকা) সহ ICMP প্যাকেট প্রক্রিয়াকরণের কোডের ত্রুটির কারণে ঘটে। এই ধরনের প্যাকেট পাঠানো নেটওয়ার্ক স্ট্যাকের ক্যাশের অবস্থা পরিবর্তন করে, যা সার্ভারের প্রতিক্রিয়ার উপর ভিত্তি করে, কোন UDP পোর্ট সক্রিয় এবং কোনটি নয় তা নির্ধারণ করা সম্ভব করে।

আক্রমণের দৃশ্য: যখন একটি DNS সমাধানকারী একটি ডোমেন নাম সমাধান করার চেষ্টা করে, তখন এটি ডোমেন পরিবেশনকারী DNS সার্ভারে একটি UDP ক্যোয়ারী পাঠায়। যখন সমাধানকারী একটি প্রতিক্রিয়ার জন্য অপেক্ষা করছে, তখন একজন আক্রমণকারী দ্রুত উৎস পোর্ট নম্বর নির্ধারণ করতে পারে যা অনুরোধ পাঠানোর জন্য ব্যবহৃত হয়েছিল এবং এটিতে একটি জাল প্রতিক্রিয়া পাঠাতে পারে, IP ঠিকানা স্পুফিং ব্যবহার করে ডোমেন পরিবেশনকারী DNS সার্ভারের ছদ্মবেশী করে। DNS সমাধানকারী নকল প্রতিক্রিয়ায় পাঠানো ডেটা ক্যাশে করবে এবং কিছু সময়ের জন্য ডোমেন নামের জন্য অন্যান্য সমস্ত DNS অনুরোধের জন্য আক্রমণকারী দ্বারা প্রতিস্থাপিত আইপি ঠিকানা ফিরিয়ে দেবে।

উত্স: opennet.ru