{"id":82460,"date":"2020-05-21T19:42:00","date_gmt":"2020-05-21T17:42:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery"},"modified":"2020-05-21T19:42:00","modified_gmt":"2020-05-21T17:42:00","slug":"ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","title":{"rendered":"NXNSAttack, das alle DNS-Resolver betrifft","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Eine Forschergruppe der Universit\u00e4t Tel Aviv und des Interdisziplin\u00e4ren Zentrums in Herzlia (Israel) hat<\/a><\/noindex> eine neue Angriffs-Methode NXNSAttack<\/a><\/noindex> (PDF<\/a><\/noindex>), die es erm\u00f6glicht, beliebige DNS-Resolver als Traffic-Verst\u00e4rker zu nutzen, mit einem Verst\u00e4rkungsgrad von bis zu 1621-fach in Bezug auf die Anzahl der Pakete (f\u00fcr jede an den Resolver gesendete Anfrage k\u00f6nnen bis zu 1621 Anfragen an den Server des Opfers gesendet werden) und bis zu 163-fach in Bezug auf den Traffic. <\/p>\n

Das Problem h\u00e4ngt mit den Besonderheiten des Protokolls zusammen und betrifft alle DNS-Server, die rekursive Anfragen unterst\u00fctzen, einschlie\u00dflich BIND<\/a><\/noindex> (CVE-2020-8616), Knot<\/a><\/noindex> (CVE-2020-12667), PowerDNS<\/a><\/noindex> (CVE-2020-10995), Windows DNS Server<\/a><\/noindex> und Unbound<\/a><\/noindex> (CVE-2020-12662), sowie \u00f6ffentliche DNS-Dienste von Google, Cloudflare, Amazon, Quad9, ICANN und anderen Unternehmen. Die Behebung des Problems wurde mit den Entwicklern der DNS-Server koordiniert, die gleichzeitig Updates zur Behebung der Sicherheitsanf\u00e4lligkeit in ihren Produkten ver\u00f6ffentlichten. Der Schutz vor dem Angriff wurde in den Versionen
\nUnbound 1.10.1<\/a><\/noindex>, Knot Resolver 5.1.1<\/a><\/noindex>, PowerDNS Recursor 4.3.1, 4.2.2, 4.1.16<\/a><\/noindex>, BIND 9.11.19, 9.14.12, 9.16.3<\/a><\/noindex>.<\/p>\n

Der Angriff basiert auf der Verwendung von Anfragen, die sich auf eine gro\u00dfe Anzahl zuvor unbekannter fiktiver NS-Eintr\u00e4ge beziehen, die f\u00fcr die Namensaufl\u00f6sung delegiert werden, jedoch ohne Angabe von Glue-Eintr\u00e4gen mit Informationen \u00fcber die IP-Adressen der NS-Server. Beispielsweise sendet der Angreifer eine Anfrage zur Namensaufl\u00f6sung von sd1.attacker.com, wobei er den DNS-Server kontrolliert, der f\u00fcr die Domain attacker.com zust\u00e4ndig ist. Als Antwort auf die Anfrage des Resolvers an den DNS-Server des Angreifers wird eine Antwort zur\u00fcckgegeben, die die Namensaufl\u00f6sung von sd1.attacker.com an den DNS-Server des Opfers delegiert, indem NS-Eintr\u00e4ge ohne Details zu den IP-Adressen der NS-Server bereitgestellt werden. Da der genannte NS-Server zuvor nicht bekannt war und seine IP-Adresse nicht angegeben ist, versucht der Resolver, die IP-Adresse des NS-Servers zu bestimmen, indem er eine Anfrage an den DNS-Server des Opfers sendet, der die Ziel-Domain (victim.com) verwaltet.<\/p>\n

\"NXNSAttack,<\/a><\/noindex><\/center><\/p>\n

Das Problem besteht darin, dass ein Angreifer eine enorme Liste von nicht wiederholbaren NS-Servern mit nicht existierenden gef\u00e4lschten Subdomainnamen des Opfers (fake-1.victim.com, fake-2.victim.com,\u2026 fake-1000.victim.com) zur\u00fcckgeben kann. Der Resolver versucht, eine Anfrage an den DNS-Server des Opfers zu senden, erh\u00e4lt jedoch die Antwort, dass die Domain nicht gefunden wurde, und versucht dann, den n\u00e4chsten NS-Server in der Liste zu ermitteln, und so weiter, bis alle vom Angreifer aufgef\u00fchrten NS-Datens\u00e4tze durchlaufen wurden. Folglich wird f\u00fcr eine Anfrage des Angreifers vom Resolver eine gro\u00dfe Anzahl an Anfragen zur Ermittlung der NS-Hosts gesendet. Da die Namen der NS-Server zuf\u00e4llig generiert werden und auf nicht existierende Subdomains verweisen, werden sie nicht aus dem Cache abgerufen, und jede Anfrage des Angreifers f\u00fchrt zu einer Flut von Anfragen an den DNS-Server, der die Domain des Opfers verwaltet.<\/p>\n

\"NXNSAttack,<\/a><\/noindex><\/center><\/p>\n

Forscher haben die Anf\u00e4lligkeit \u00f6ffentlicher DNS-Resolver untersucht und festgestellt, dass bei Anfragen an den Resolver von CloudFlare (1.1.1.1) ein Paketverst\u00e4rkungsfaktor (PAF, Packet Amplification Factor) von 48 erreicht werden kann, bei Google (8.8.8.8) \u2013 30, bei FreeDNS (37.235.1.174) \u2013 50, bei OpenDNS (208.67.222.222) \u2013 32. Deutlicher ausgepr\u00e4gte Werte zeigen sich f\u00fcr
\nLevel3 (209.244.0.3) \u2013 273, Quad9 (9.9.9.9) \u2013 415
\nSafeDNS (195.46.39.39) \u2013 274, Verisign (64.6.64.6) \u2013 202
\nUltra (156.154.71.1) \u2013 405, Comodo Secure (8.26.56.26) \u2013 435, DNS.Watch (84.200.69.80) \u2013 486, und Norton ConnectSafe (199.85.126.10) \u2013 569. F\u00fcr Server, die auf BIND 9.12.3 basieren, kann der Verst\u00e4rkungsfaktor durch Parallelisierung der Anfragen bis zu 1000 erreichen. Im Knot Resolver 5.1.0 liegt der Verst\u00e4rkungsfaktor bei etwa mehreren Dutzend (24-48), da die Bestimmung der NS-Namen sequenziell erfolgt und an eine interne Begrenzung der Anzahl von Namensaufl\u00f6sungs-Schritten st\u00f6\u00dft, die f\u00fcr eine Anfrage zul\u00e4ssig sind.<\/p>\n

Es werden zwei Hauptstrategien zum Schutz hervorgehoben. F\u00fcr Systeme mit DNSSEC eine L\u00f6sung<\/a><\/noindex> eingesetzt zu werden. RFC-8198<\/a><\/noindex> um das Umgehen des DNS-Caches zu verhindern, da Anfragen mit zuf\u00e4lligen Namen gesendet werden. Der Kern der Methode besteht darin, negative Antworten zu generieren, ohne autoritative DNS-Server zu konsultieren, wobei eine \u00dcberpr\u00fcfung \u00fcber Bereiche mittels DNSSEC angewendet wird. Eine einfachere Methode besteht darin, die Anzahl der Namen zu begrenzen, die bei der Verarbeitung einer delegierten Anfrage aufgel\u00f6st werden k\u00f6nnen, aber diese Methode kann Probleme mit einigen bestehenden Konfigurationen verursachen, da die Grenzen im Protokoll nicht definiert sind.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0422\u0435\u043b\u044c-\u0410\u0432\u0438\u0432\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0438 \u041c\u0435\u0436\u0434\u0438\u0441\u0446\u0438\u043f\u043b\u0438\u043d\u0430\u0440\u043d\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u0432 \u0413\u0435\u0440\u0446\u043b\u0438\u0438 (\u0418\u0437\u0440\u0430\u0438\u043b\u044c) \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0430\u0442\u0430\u043a\u0438 NXNSAttack (PDF), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043b\u044e\u0431\u044b\u0435 DNS-\u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u044b \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0443\u0441\u0438\u043b\u0438\u0442\u0435\u043b\u0435\u0439 \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u0441\u0442\u0435\u043f\u0435\u043d\u044c \u0443\u0441\u0438\u043b\u0435\u043d\u0438\u044f \u0434\u043e 1621 \u0440\u0430\u0437 \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 (\u043d\u0430 \u043a\u0430\u0436\u0434\u044b\u0439 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043a \u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u0443 \u0437\u0430\u043f\u0440\u043e\u0441, \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0436\u0435\u0440\u0442\u0432\u044b 1621 \u0437\u0430\u043f\u0440\u043e\u0441) \u0438 \u0434\u043e 163 \u0440\u0430\u0437 \u043f\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0443. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":82461,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-82460","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-novosti-interneta"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47NXNSAttack betrifft alle DNS-Resolver | ProHoster","description":"Eine Forschergruppe der Universit\u00e4t Tel Aviv und des Interdisziplin\u00e4ren Zentrums in Herzlia (Israel)","canonical_url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u0442\u0430\u043a\u0430 NXNSAttack, \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u044e\u0449\u0430\u044f \u0432\u0441\u0435 DNS-\u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u044b | ProHoster","og:description":"\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0422\u0435\u043b\u044c-\u0410\u0432\u0438\u0432\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0438 \u041c\u0435\u0436\u0434\u0438\u0441\u0446\u0438\u043f\u043b\u0438\u043d\u0430\u0440\u043d\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u0432 \u0413\u0435\u0440\u0446\u043b\u0438\u0438 (\u0418\u0437\u0440\u0430\u0438\u043b\u044c)","og:url":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-21T17:42:00+00:00","article:modified_time":"2020-05-21T17:42:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"82460","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:37:29","updated":"2022-09-29 14:28:05","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/82460","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=82460"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/82460\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/82461"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=82460"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=82460"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=82460"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}