{"id":82460,"date":"2020-05-21T19:42:00","date_gmt":"2020-05-21T17:42:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery"},"modified":"2020-05-21T19:42:00","modified_gmt":"2020-05-21T17:42:00","slug":"ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/news\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","title":{"rendered":"NXNSAttack-Angriff, der alle DNS-Resolver betrifft","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Eine Gruppe von Forschern der Universit\u00e4t Tel Aviv und des Interdisziplin\u00e4ren Zentrums in Herzlia (Israel) hat entwickelt<\/a><\/noindex> eine neue Angriffsart NXNSAttack<\/a><\/noindex> (PDF<\/a><\/noindex>), die es erm\u00f6glicht, beliebige DNS-Resolver als Traffic-Verst\u00e4rker zu nutzen, mit einer Verst\u00e4rkungsrate von bis zu 1621-fach bei der Anzahl der Pakete (auf jede an den Resolver gesendete Anfrage kann einen 1621 Anfragen an den Server des Opfers erm\u00f6glicht werden) und bis zu 163-fach beim Traffic. <\/p>\n

Das Problem h\u00e4ngt mit den spezifischen Arbeitsweisen des Protokolls zusammen und betrifft alle DNS-Server, die die rekursive Anfrageverarbeitung unterst\u00fctzen, einschlie\u00dflich BIND<\/a><\/noindex> (CVE-2020-8616), Knot<\/a><\/noindex> (CVE-2020-12667), PowerDNS<\/a><\/noindex> (CVE-2020-10995), Windows DNS-Server<\/a><\/noindex> und Unbound<\/a><\/noindex> (CVE-2020-12662), sowie \u00f6ffentliche DNS-Dienste wie Google, Cloudflare, Amazon, Quad9, ICANN und andere Unternehmen. Die Behebung des Problems wurde in Zusammenarbeit mit den Entwicklern der DNS-Server koordiniert, die gleichzeitig Updates mit der Behebung der Sicherheitsanf\u00e4lligkeit in ihren Produkten ver\u00f6ffentlicht haben. Der Schutz vor dem Angriff wurde in den Versionen
\nUnbound 1.10.1<\/a><\/noindex>, Knot Resolver 5.1.1<\/a><\/noindex>, PowerDNS Recursor 4.3.1, 4.2.2, 4.1.16<\/a><\/noindex>, BIND 9.11.19, 9.14.12, 9.16.3<\/a><\/noindex>.<\/p>\n

Der Angriff basiert auf der Nutzung von Anfragen des Angreifers, die auf eine gro\u00dfe Anzahl bisher unbekannter gef\u00e4lschter NS-Eintr\u00e4ge verweisen, die mit der Bestimmung des Namens beauftragt sind, jedoch ohne die Angabe von Glue-Records mit Informationen \u00fcber die IP-Adressen der NS-Server in der Antwort. Zum Beispiel sendet der Angreifer eine Anfrage zur Bestimmung des Namens sd1.attacker.com, und kontrolliert den DNS-Server, der f\u00fcr die Domain attacker.com zust\u00e4ndig ist. Als Antwort auf die Anfrage des Resolvers an den DNS-Server des Angreifers wird eine Antwort ausgegeben, die die Bestimmung der Adresse sd1.attacker.com an den DNS-Server des Opfers delegiert, indem in der Antwort NS-Eintr\u00e4ge angegeben werden, ohne IP-Details der NS-Server. Da der genannte NS-Server bisher unbekannt ist und seine IP-Adresse nicht angegeben ist, versucht der Resolver, die IP-Adresse des NS-Servers durch eine Anfrage an den DNS-Server des Opfers zu bestimmen, der die Ziel-Domain (victim.com) bedient.<\/p>\n

\"NXNSAttack-Angriff,<\/a><\/noindex><\/center><\/p>\n

Das Problem besteht darin, dass ein Angreifer in der Antwort eine gro\u00dfe Liste nicht wiederholender NS-Server mit nicht existierenden fiktiven Unterdom\u00e4nennamen des Opfers (fake-1.victim.com, fake-2.victim.com, \u2026 fake-1000.victim.com) zur\u00fcckgeben kann. Der Resolver wird versuchen, eine Anfrage an den DNS-Server des Opfers zu senden, erh\u00e4lt jedoch die Antwort, dass die Domain nicht gefunden wurde, und versucht dann, den n\u00e4chsten NS-Server in der Liste zu ermitteln, und zwar so lange, bis er alle vom Angreifer aufgef\u00fchrten NS-Eintr\u00e4ge durchgegangen ist. Folglich werden auf eine Anfrage des Angreifers durch den Resolver eine enorme Anzahl von Anfragen zur Ermittlung der NS-Hosts gesendet. Da die Namen der NS-Server zuf\u00e4llig generiert werden und auf nicht existierende Unterdom\u00e4nen verweisen, werden sie nicht aus dem Cache abgerufen, und jede Anfrage des Angreifers f\u00fchrt zu einer Flut von Anfragen an den DNS-Server, der die Domain des Opfers bedient.<\/p>\n

\"NXNSAttack-Angriff,<\/a><\/noindex><\/center><\/p>\n

Forscher haben das Ausma\u00df der Anf\u00e4lligkeit \u00f6ffentlicher DNS-Resolver untersucht und festgestellt, dass bei Anfragen an den Resolver von CloudFlare (1.1.1.1) eine Paketvervielfachung (PAF, Packet Amplification Factor) von 48 erreicht werden kann, bei Google (8.8.8.8) \u2013 30 mal, bei FreeDNS (37.235.1.174) \u2013 50 mal, bei OpenDNS (208.67.222.222) \u2013 32 mal. Deutlichere Werte werden festgestellt f\u00fcr
\nLevel3 (209.244.0.3) \u2013 273 mal, Quad9 (9.9.9.9) \u2013 415 mal
\nSafeDNS (195.46.39.39) \u2013 274 mal, Verisign (64.6.64.6) \u2013 202 mal,
\nUltra (156.154.71.1) \u2013 405 mal, Comodo Secure (8.26.56.26) \u2013 435 mal, DNS.Watch (84.200.69.80) \u2013 486 mal, und Norton ConnectSafe (199.85.126.10) \u2013 569 mal. Bei Servern auf Basis von BIND 9.12.3 kann der Verst\u00e4rkungsfaktor durch Parallelisierung der Anfragen bis zu 1000 erreichen. Im Knot Resolver 5.1.0 liegt der Verst\u00e4rkungsfaktor bei etwa mehreren Dutzend (24-48), da die Bestimmung der NS-Namen sequenziell erfolgt und an eine interne Begrenzung der Anzahl der Aufl\u00f6sungsschritte st\u00f6\u00dft, die f\u00fcr eine Anfrage zul\u00e4ssig sind.<\/p>\n

Es werden zwei Hauptstrategien zum Schutz identifiziert. F\u00fcr Systeme mit DNSSEC vorgeschlagen<\/a><\/noindex> man bereits etwas braucht (ich arbeite mit dem clusterf\u00e4higen Proxmox VE 5.x und ZFS \u00fcber iSCSI). RFC-8198<\/a><\/noindex> zum Schutz vor Cache-Bypassing, da Anfragen mit zuf\u00e4lligen Namen gesendet werden. Der Kern der Methode besteht darin, negative Antworten zu generieren, ohne auf autoritative DNS-Server zuzugreifen, indem eine Bereichspr\u00fcfung \u00fcber DNSSEC angewendet wird. Ein einfacherer Ansatz besteht darin, die Anzahl der Namen, die bei der Verarbeitung einer einzelnen delegierten Anfrage bestimmt werden k\u00f6nnen, zu begrenzen, jedoch kann diese Methode Probleme mit einigen bestehenden Konfigurationen verursachen, da die Grenzen im Protokoll nicht definiert sind.<\/p>\n

<\/a><\/noindex><\/p>\n

Quelle: opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0422\u0435\u043b\u044c-\u0410\u0432\u0438\u0432\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0438 \u041c\u0435\u0436\u0434\u0438\u0441\u0446\u0438\u043f\u043b\u0438\u043d\u0430\u0440\u043d\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u0432 \u0413\u0435\u0440\u0446\u043b\u0438\u0438 (\u0418\u0437\u0440\u0430\u0438\u043b\u044c) \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0430\u0442\u0430\u043a\u0438 NXNSAttack (PDF), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043b\u044e\u0431\u044b\u0435 DNS-\u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u044b \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0443\u0441\u0438\u043b\u0438\u0442\u0435\u043b\u0435\u0439 \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u0441\u0442\u0435\u043f\u0435\u043d\u044c \u0443\u0441\u0438\u043b\u0435\u043d\u0438\u044f \u0434\u043e 1621 \u0440\u0430\u0437 \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 (\u043d\u0430 \u043a\u0430\u0436\u0434\u044b\u0439 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043a \u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u0443 \u0437\u0430\u043f\u0440\u043e\u0441, \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0436\u0435\u0440\u0442\u0432\u044b 1621 \u0437\u0430\u043f\u0440\u043e\u0441) \u0438 \u0434\u043e 163 \u0440\u0430\u0437 \u043f\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0443. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":82461,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-82460","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47NXNSAttack-Angriff, der alle DNS-Resolver betrifft | ProHoster","description":"Eine Gruppe von Forschern der Universit\u00e4t Tel Aviv und des Interdisziplin\u00e4ren Zentrums in Herzlia (Israel)","canonical_url":"https:\/\/prohoster.info\/de\/blog\/news\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"de_DE","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u0442\u0430\u043a\u0430 NXNSAttack, \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u044e\u0449\u0430\u044f \u0432\u0441\u0435 DNS-\u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u044b | ProHoster","og:description":"\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0422\u0435\u043b\u044c-\u0410\u0432\u0438\u0432\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0438 \u041c\u0435\u0436\u0434\u0438\u0441\u0446\u0438\u043f\u043b\u0438\u043d\u0430\u0440\u043d\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u0432 \u0413\u0435\u0440\u0446\u043b\u0438\u0438 (\u0418\u0437\u0440\u0430\u0438\u043b\u044c)","og:url":"https:\/\/prohoster.info\/de\/blog\/news\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-21T17:42:00+00:00","article:modified_time":"2020-05-21T17:42:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"82460","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:37:29","updated":"2022-09-29 14:28:05","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/82460","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/comments?post=82460"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/posts\/82460\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media\/82461"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/media?parent=82460"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/categories?post=82460"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/de\/wp-json\/wp\/v2\/tags?post=82460"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}