{"id":82460,"date":"2020-05-21T19:42:00","date_gmt":"2020-05-21T17:42:00","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery"},"modified":"2020-05-21T19:42:00","modified_gmt":"2020-05-21T17:42:00","slug":"ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","title":{"rendered":"Attaque NXNSAttack affectant tous les r\u00e9solveurs DNS","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Un groupe de chercheurs de l'Universit\u00e9 de Tel-Aviv et du Centre Interdisciplinaire de Herzliya (Isra\u00ebl) a d\u00e9velopp\u00e9<\/a><\/noindex> une nouvelle m\u00e9thode d'attaque NXNSAttack<\/a><\/noindex> (PDF<\/a><\/noindex>), qui permet d'utiliser n'importe quel r\u00e9solveur DNS comme amplificateur de trafic, offrant un taux d'amplification allant jusqu'\u00e0 1621 fois en nombre de paquets (pour chaque requ\u00eate envoy\u00e9e au r\u00e9solveur, on peut obtenir l'envoi de 1621 requ\u00eates au serveur cible) et jusqu'\u00e0 163 fois en trafic. <\/p>\n

Le probl\u00e8me est li\u00e9 aux particularit\u00e9s du fonctionnement du protocole et affecte tous les serveurs DNS prenant en charge le traitement r\u00e9cursif des requ\u00eates, y compris BIND<\/a><\/noindex> (CVE-2020-8616), Knot<\/a><\/noindex> (CVE-2020-12667), PowerDNS<\/a><\/noindex> (CVE-2020-10995), Serveur DNS Windows<\/a><\/noindex> et Unbound<\/a><\/noindex> (CVE-2020-12662), ainsi que les services DNS publics de Google, Cloudflare, Amazon, Quad9, ICANN et d'autres entreprises. La correction du probl\u00e8me a \u00e9t\u00e9 coordonn\u00e9e avec les d\u00e9veloppeurs de serveurs DNS, qui ont simultan\u00e9ment publi\u00e9 des mises \u00e0 jour pour corriger la vuln\u00e9rabilit\u00e9 dans leurs produits. La protection contre l'attaque a \u00e9t\u00e9 mise en \u0153uvre dans les versions
\nUnbound 1.10.1<\/a><\/noindex>, Knot Resolver 5.1.1<\/a><\/noindex>, PowerDNS Recursor 4.3.1, 4.2.2, 4.1.16<\/a><\/noindex>, BIND 9.11.19, 9.14.12, 9.16.3<\/a><\/noindex>.<\/p>\n

L'attaque repose sur l'utilisation, par l'attaquant, de requ\u00eates se r\u00e9f\u00e9rant \u00e0 un grand nombre d'enregistrements NS fictifs jamais rencontr\u00e9s auparavant, qui se voient d\u00e9l\u00e9guer la d\u00e9finition d'un nom, mais sans fournir dans la r\u00e9ponse des enregistrements glue contenant des informations sur les adresses IP des serveurs NS. Par exemple, l'attaquant envoie une requ\u00eate pour d\u00e9finir le nom sd1.attacker.com, contr\u00f4lant le serveur DNS responsable du domaine attacker.com. En r\u00e9ponse \u00e0 la requ\u00eate du r\u00e9solveur au serveur DNS de l'attaquant, une r\u00e9ponse est fournie, d\u00e9l\u00e9guant la d\u00e9finition de l'adresse sd1.attacker.com au serveur DNS de la victime par le biais d'enregistrements NS dans la r\u00e9ponse sans sp\u00e9cifier les adresses IP des serveurs NS. \u00c9tant donn\u00e9 que le serveur NS mentionn\u00e9 n'a jamais \u00e9t\u00e9 rencontr\u00e9 auparavant et que son adresse IP n'est pas sp\u00e9cifi\u00e9e, le r\u00e9solveur tente de d\u00e9terminer l'adresse IP du serveur NS en envoyant une requ\u00eate au serveur DNS de la victime, qui g\u00e8re le domaine cibl\u00e9 (victim.com).<\/p>\n

\"Attaque<\/a><\/noindex><\/center><\/p>\n

Le probl\u00e8me est que l'attaquant peut renvoyer une \u00e9norme liste de serveurs NS non r\u00e9p\u00e9t\u00e9s avec des noms de sous-domaines fictifs (fake-1.victim.com, fake-2.victim.com,\u2026 fake-1000.victim.com). Le r\u00e9solveur essaiera d'envoyer une requ\u00eate au serveur DNS de la victime, mais recevra une r\u00e9ponse indiquant que le domaine est introuvable, apr\u00e8s quoi il tentera de d\u00e9terminer le prochain serveur NS dans la liste, et ainsi de suite jusqu'\u00e0 ce qu'il ait parcouru tous les enregistrements NS \u00e9num\u00e9r\u00e9s par l'attaquant. Par cons\u00e9quent, pour une seule requ\u00eate de l'attaquant, le r\u00e9solveur enverra un nombre \u00e9norme de requ\u00eates pour d\u00e9terminer les h\u00f4tes NS. Comme les noms des serveurs NS sont g\u00e9n\u00e9r\u00e9s al\u00e9atoirement et se r\u00e9f\u00e8rent \u00e0 des sous-domaines inexistants, ils ne sont pas extraits du cache et chaque requ\u00eate de l'attaquant entra\u00eene une avalanche de requ\u00eates vers le serveur DNS qui g\u00e8re le domaine de la victime.<\/p>\n

\"Attaque<\/a><\/noindex><\/center><\/p>\n

Les chercheurs ont examin\u00e9 la vuln\u00e9rabilit\u00e9 des r\u00e9solveurs DNS publics et ont d\u00e9termin\u00e9 qu'en envoyant des requ\u00eates au r\u00e9solveur CloudFlare (1.1.1.1), il est possible d'obtenir un facteur d'amplification des paquets (PAF) de 48 fois, pour Google (8.8.8.8) \u2014 30 fois, pour FreeDNS (37.235.1.174) \u2014 50 fois, pour OpenDNS (208.67.222.222) \u2014 32 fois. Des chiffres plus significatifs sont observ\u00e9s pour
\nLevel3 (209.244.0.3) \u2014 273 fois, Quad9 (9.9.9.9) \u2014 415 fois
\nSafeDNS (195.46.39.39) \u2014 274 fois, Verisign (64.6.64.6) \u2014 202 fois,
\nUltra (156.154.71.1) \u2014 405 fois, Comodo Secure (8.26.56.26) \u2014 435 fois, DNS.Watch (84.200.69.80) \u2014 486 fois, et Norton ConnectSafe (199.85.126.10) \u2014 569 fois. Pour les serveurs bas\u00e9s sur BIND 9.12.3, gr\u00e2ce \u00e0 la parall\u00e9lisation des requ\u00eates, le niveau d'amplification peut atteindre 1000. Dans Knot Resolver 5.1.0, le niveau d'amplification est d'environ plusieurs dizaines de fois (24-48), car la d\u00e9termination des noms NS s'effectue s\u00e9quentiellement et se heurte \u00e0 une limite interne sur le nombre d'\u00e9tapes de r\u00e9solution de noms autoris\u00e9es pour une requ\u00eate.<\/p>\n

Deux principales strat\u00e9gies de protection se distinguent. Pour les syst\u00e8mes avec DNSSEC, d'activer<\/a><\/noindex> d'utiliser RFC-8198<\/a><\/noindex> pour emp\u00eacher le contournement du cache DNS, car les requ\u00eates sont envoy\u00e9es avec des noms al\u00e9atoires. Le principe de la m\u00e9thode consiste \u00e0 g\u00e9n\u00e9rer des r\u00e9ponses n\u00e9gatives sans interroger les serveurs DNS autoritaires, en appliquant un contr\u00f4le par plages via DNSSEC. Une m\u00e9thode plus simple consiste \u00e0 limiter le nombre de noms pouvant \u00eatre r\u00e9solus lors du traitement d'une seule requ\u00eate d\u00e9l\u00e9gu\u00e9e, mais cette m\u00e9thode peut poser des probl\u00e8mes avec certaines configurations existantes, car les limites ne sont pas sp\u00e9cifi\u00e9es dans le protocole.<\/p>\n

<\/a><\/noindex><\/p>\n

Source : opennet.ru<\/a><\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"

\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0422\u0435\u043b\u044c-\u0410\u0432\u0438\u0432\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0438 \u041c\u0435\u0436\u0434\u0438\u0441\u0446\u0438\u043f\u043b\u0438\u043d\u0430\u0440\u043d\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u0432 \u0413\u0435\u0440\u0446\u043b\u0438\u0438 (\u0418\u0437\u0440\u0430\u0438\u043b\u044c) \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043b\u0430 \u043d\u043e\u0432\u044b\u0439 \u043c\u0435\u0442\u043e\u0434 \u0430\u0442\u0430\u043a\u0438 NXNSAttack (PDF), \u043f\u043e\u0437\u0432\u043e\u043b\u044f\u044e\u0449\u0438\u0439 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u0442\u044c \u043b\u044e\u0431\u044b\u0435 DNS-\u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u044b \u0432 \u043a\u0430\u0447\u0435\u0441\u0442\u0432\u0435 \u0443\u0441\u0438\u043b\u0438\u0442\u0435\u043b\u0435\u0439 \u0442\u0440\u0430\u0444\u0438\u043a\u0430, \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0438\u0432\u0430\u044e\u0449\u0438\u0445 \u0441\u0442\u0435\u043f\u0435\u043d\u044c \u0443\u0441\u0438\u043b\u0435\u043d\u0438\u044f \u0434\u043e 1621 \u0440\u0430\u0437 \u043f\u043e \u0447\u0438\u0441\u043b\u0443 \u043f\u0430\u043a\u0435\u0442\u043e\u0432 (\u043d\u0430 \u043a\u0430\u0436\u0434\u044b\u0439 \u043e\u0442\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0439 \u043a \u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u0443 \u0437\u0430\u043f\u0440\u043e\u0441, \u043c\u043e\u0436\u043d\u043e \u0434\u043e\u0431\u0438\u0442\u044c\u0441\u044f \u043e\u0442\u043f\u0440\u0430\u0432\u043a\u0438 \u043d\u0430 \u0441\u0435\u0440\u0432\u0435\u0440 \u0436\u0435\u0440\u0442\u0432\u044b 1621 \u0437\u0430\u043f\u0440\u043e\u0441) \u0438 \u0434\u043e 163 \u0440\u0430\u0437 \u043f\u043e \u0442\u0440\u0430\u0444\u0438\u043a\u0443. \u041f\u0440\u043e\u0431\u043b\u0435\u043c\u0430 […]<\/p>\n","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"author":1,"featured_media":82461,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[702],"tags":[],"class_list":["post-82460","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news"],"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\n","aioseo_head_json":{"title":"\ud83e\udd47L'attaque NXNSAttack, affectant tous les r\u00e9solveurs DNS | ProHoster","description":"Un groupe de chercheurs de l'Universit\u00e9 de Tel-Aviv et du Centre Interdisciplinaire de Herzliya (Isra\u00ebl)","canonical_url":"https:\/\/prohoster.info\/fr\/blog\/news\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","robots":"max-image-preview:large","keywords":"","webmasterTools":{"miscellaneous":""},"schema":null,"og:locale":"fr_FR","og:site_name":"ProHoster | \u041a\u0443\u043f\u0438\u0442\u044c \u043d\u0430\u0434\u0435\u0436\u043d\u044b\u0439 \u0445\u043e\u0441\u0442\u0438\u043d\u0433 \u0434\u043b\u044f \u0441\u0430\u0439\u0442\u043e\u0432 \u0441 \u0437\u0430\u0449\u0438\u0442\u043e\u0439 \u043e\u0442 DDoS, VPS VDS \u0441\u0435\u0440\u0432\u0435\u0440\u044b","og:type":"article","og:title":"\ud83e\udd47\u0410\u0442\u0430\u043a\u0430 NXNSAttack, \u0437\u0430\u0442\u0440\u0430\u0433\u0438\u0432\u0430\u044e\u0449\u0430\u044f \u0432\u0441\u0435 DNS-\u0440\u0435\u0437\u043e\u043b\u0432\u0435\u0440\u044b | ProHoster","og:description":"\u0413\u0440\u0443\u043f\u043f\u0430 \u0438\u0441\u0441\u043b\u0435\u0434\u043e\u0432\u0430\u0442\u0435\u043b\u0435\u0439 \u0438\u0437 \u0422\u0435\u043b\u044c-\u0410\u0432\u0438\u0432\u0441\u043a\u043e\u0433\u043e \u0443\u043d\u0438\u0432\u0435\u0440\u0441\u0438\u0442\u0435\u0442\u0430 \u0438 \u041c\u0435\u0436\u0434\u0438\u0441\u0446\u0438\u043f\u043b\u0438\u043d\u0430\u0440\u043d\u043e\u0433\u043e \u0446\u0435\u043d\u0442\u0440\u0430 \u0432 \u0413\u0435\u0440\u0446\u043b\u0438\u0438 (\u0418\u0437\u0440\u0430\u0438\u043b\u044c)","og:url":"https:\/\/prohoster.info\/fr\/blog\/news\/ataka-nxnsattack-zatragivayushhaya-vse-dns-rezolvery","og:image":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:secure_url":"https:\/\/prohoster.info\/wp-content\/uploads\/2021\/11\/logo-350.jpg","og:image:width":350,"og:image:height":350,"article:published_time":"2020-05-21T17:42:00+00:00","article:modified_time":"2020-05-21T17:42:00+00:00","article:publisher":"https:\/\/www.facebook.com\/prohoster","article:author":"https:\/\/www.facebook.com\/prohoster"},"aioseo_meta_data":{"post_id":"82460","title":null,"description":null,"keywords":null,"keyphrases":null,"primary_term":null,"canonical_url":null,"og_title":null,"og_description":null,"og_object_type":"default","og_image_type":"default","og_image_url":null,"og_image_width":null,"og_image_height":null,"og_image_custom_url":null,"og_image_custom_fields":null,"og_video":null,"og_custom_url":null,"og_article_section":null,"og_article_tags":null,"twitter_use_og":false,"twitter_card":"default","twitter_image_type":"default","twitter_image_url":null,"twitter_image_custom_url":null,"twitter_image_custom_fields":null,"twitter_title":null,"twitter_description":null,"schema":{"blockGraphs":[],"customGraphs":[],"default":{"data":{"Article":[],"Course":[],"Dataset":[],"FAQPage":[],"Movie":[],"Person":[],"Product":[],"ProductReview":[],"Car":[],"Recipe":[],"Service":[],"SoftwareApplication":[],"WebPage":[]},"graphName":"","isEnabled":true},"graphs":[]},"schema_type":null,"schema_type_options":null,"pillar_content":false,"robots_default":true,"robots_noindex":false,"robots_noarchive":false,"robots_nosnippet":false,"robots_nofollow":false,"robots_noimageindex":false,"robots_noodp":false,"robots_notranslate":false,"robots_max_snippet":null,"robots_max_videopreview":null,"robots_max_imagepreview":"large","priority":null,"frequency":null,"local_seo":null,"seo_analyzer_scan_date":null,"breadcrumb_settings":null,"limit_modified_date":false,"reviewed_by":null,"ai":null,"created":"2021-02-28 15:37:29","updated":"2022-09-29 14:28:05","focus_keyword":null,"additional_keywords":null,"truseo_locale":null},"gt_translate_keys":[{"key":"link","format":"url"}],"_links":{"self":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/82460","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/comments?post=82460"}],"version-history":[{"count":0,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/posts\/82460\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media\/82461"}],"wp:attachment":[{"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/media?parent=82460"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/categories?post=82460"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/prohoster.info\/fr\/wp-json\/wp\/v2\/tags?post=82460"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}