Eine Forschergruppe der UniversitĂ€t Tel Aviv und des InterdisziplinĂ€ren Zentrums in Herzlia (Israel) eine neue Angriffs-Methode (), die es ermöglicht, beliebige DNS-Resolver als Traffic-VerstĂ€rker zu nutzen, mit einem VerstĂ€rkungsgrad von bis zu 1621-fach in Bezug auf die Anzahl der Pakete (fĂŒr jede an den Resolver gesendete Anfrage können bis zu 1621 Anfragen an den Server des Opfers gesendet werden) und bis zu 163-fach in Bezug auf den Traffic.
Das Problem hĂ€ngt mit den Besonderheiten des Protokolls zusammen und betrifft alle DNS-Server, die rekursive Anfragen unterstĂŒtzen, einschlieĂlich (CVE-2020-8616), (CVE-2020-12667), (CVE-2020-10995), und (CVE-2020-12662), sowie öffentliche DNS-Dienste von Google, Cloudflare, Amazon, Quad9, ICANN und anderen Unternehmen. Die Behebung des Problems wurde mit den Entwicklern der DNS-Server koordiniert, die gleichzeitig Updates zur Behebung der SicherheitsanfĂ€lligkeit in ihren Produkten veröffentlichten. Der Schutz vor dem Angriff wurde in den Versionen
, , , .
Der Angriff basiert auf der Verwendung von Anfragen, die sich auf eine groĂe Anzahl zuvor unbekannter fiktiver NS-EintrĂ€ge beziehen, die fĂŒr die Namensauflösung delegiert werden, jedoch ohne Angabe von Glue-EintrĂ€gen mit Informationen ĂŒber die IP-Adressen der NS-Server. Beispielsweise sendet der Angreifer eine Anfrage zur Namensauflösung von sd1.attacker.com, wobei er den DNS-Server kontrolliert, der fĂŒr die Domain attacker.com zustĂ€ndig ist. Als Antwort auf die Anfrage des Resolvers an den DNS-Server des Angreifers wird eine Antwort zurĂŒckgegeben, die die Namensauflösung von sd1.attacker.com an den DNS-Server des Opfers delegiert, indem NS-EintrĂ€ge ohne Details zu den IP-Adressen der NS-Server bereitgestellt werden. Da der genannte NS-Server zuvor nicht bekannt war und seine IP-Adresse nicht angegeben ist, versucht der Resolver, die IP-Adresse des NS-Servers zu bestimmen, indem er eine Anfrage an den DNS-Server des Opfers sendet, der die Ziel-Domain (victim.com) verwaltet.
Das Problem ist, dass der Angreifer in der Antwort eine riesige Liste von nicht wiederholten NS-Servern mit nicht existierenden fiktiven Subdomain-Namen des Opfers (fake-1.victim.com, fake-2.victim.com,⊠fake-1000.victim.com) ausgeben kann. Der Resolver wird versuchen, eine Anfrage an den DNS-Server des Opfers zu senden, bekommt jedoch die Antwort, dass die Domain nicht gefunden wurde, wonach er versucht, den nĂ€chsten NS-Server in der Liste zu bestimmen und so weiter, bis er alle vom Angreifer aufgelisteten NS-EintrĂ€ge durchlĂ€uft. Folglich wird fĂŒr jede Anfrage des Angreifers eine enorme Anzahl an Anfragen zur Bestimmung der NS-Hosts durch den Resolver gesendet. Da die Namen der NS-Server zufĂ€llig generiert werden und auf nicht existierende Subdomains verweisen, werden sie nicht aus dem Cache abgerufen, und jede Anfrage des Angreifers fĂŒhrt zu einer Flut von Anfragen an den DNS-Server, der die Domain des Opfers verwaltet.
Die Forscher haben das AusmaĂ der AnfĂ€lligkeit öffentlicher DNS-Resolver untersucht und festgestellt, dass bei Anfragen an den Resolver CloudFlare (1.1.1.1) ein Paket-VerstĂ€rkungsfaktor (PAF, Packet Amplification Factor) von 48-fach erreicht werden kann, Google (8.8.8.8) â 30-fach, FreeDNS (37.235.1.174) â 50-fach, OpenDNS (208.67.222.222) â 32-fach. Deutlich höhere Werte wurden bei
Level3 (209.244.0.3) â 273-fach, Quad9 (9.9.9.9) â 415-fach
SafeDNS (195.46.39.39) â 274-fach, Verisign (64.6.64.6) â 202-fach,
Ultra (156.154.71.1) â 405-fach, Comodo Secure (8.26.56.26) â 435-fach, DNS.Watch (84.200.69.80) â 486-fach, und Norton ConnectSafe (199.85.126.10) â 569-fach. Bei Servern, die auf BIND 9.12.3 basieren, kann durch paralleles Senden von Anfragen der VerstĂ€rkungsgrad bis zu 1000 erreichen. Beim Knot Resolver 5.1.0 liegt der VerstĂ€rkungsgrad bei etwa mehreren Dutzend (24-48), da die Bestimmung der NS-Namen sequenziell erfolgt und an einer internen Begrenzung der maximalen Anzahl an Namensauflösungs-Schritten fĂŒr eine Anfrage besteht.
Es werden zwei Hauptstrategien zum Schutz hervorgehoben. FĂŒr Systeme mit DNSSEC eingesetzt zu werden. um das Umgehen des DNS-Caches zu verhindern, da Anfragen mit zufĂ€lligen Namen gesendet werden. Der Kern der Methode besteht darin, negative Antworten zu generieren, ohne autoritative DNS-Server zu konsultieren, wobei eine ĂberprĂŒfung ĂŒber Bereiche mittels DNSSEC angewendet wird. Eine einfachere Methode besteht darin, die Anzahl der Namen zu begrenzen, die bei der Verarbeitung einer delegierten Anfrage aufgelöst werden können, aber diese Methode kann Probleme mit einigen bestehenden Konfigurationen verursachen, da die Grenzen im Protokoll nicht definiert sind.
Quelle: opennet.ru
