તમામ DNS રિઝોલ્વર્સને અસર કરતો NXNSAtack હુમલો

તેલ અવીવ યુનિવર્સિટીના સંશોધકોનું એક જૂથ અને હર્ઝલિયા (ઇઝરાયેલ)માં આંતરશાખાકીય કેન્દ્ર વિકાસ થયો છે નવી હુમલો પદ્ધતિ એનએક્સએનએસએટેક (પીડીએફ), તમને ટ્રાફિક એમ્પ્લીફાયર તરીકે કોઈપણ DNS રિઝોલ્વરનો ઉપયોગ કરવાની પરવાનગી આપે છે, જે પેકેટોની સંખ્યાના સંદર્ભમાં 1621 ગણો સુધીનો એમ્પ્લીફિકેશન રેટ પ્રદાન કરે છે (રિઝોલ્વરને મોકલવામાં આવેલી દરેક વિનંતી માટે, તમે પીડિતના સર્વરને મોકલવામાં આવતી 1621 વિનંતીઓ પ્રાપ્ત કરી શકો છો) અને ટ્રાફિકની દ્રષ્ટિએ 163 વખત સુધી.

સમસ્યા પ્રોટોકોલની વિશિષ્ટતાઓ સાથે સંબંધિત છે અને તે તમામ DNS સર્વર્સને અસર કરે છે જે પુનરાવર્તિત ક્વેરી પ્રોસેસિંગને સપોર્ટ કરે છે, જેમાં BIND (સીવીઇ -2020-8616), ગાંઠ (સીવીઇ -2020-12667), પાવરડીએનએસ (સીવીઇ -2020-10995), વિન્ડોઝ DNS સર્વર и અનબાઉન્ડ (CVE-2020-12662), તેમજ Google, Cloudflare, Amazon, Quad9, ICANN અને અન્ય કંપનીઓની જાહેર DNS સેવાઓ. ફિક્સ DNS સર્વર ડેવલપર્સ સાથે સંકલન કરવામાં આવ્યું હતું, જેમણે તેમના ઉત્પાદનોમાં નબળાઈને ઠીક કરવા માટે એક સાથે અપડેટ્સ રિલીઝ કર્યા હતા. પ્રકાશનમાં અમલમાં આવેલ હુમલા સંરક્ષણ
અનબાઉન્ડ 1.10.1, નોટ રિઝોલ્વર 5.1.1, પાવરડીએનએસ રિકરસર 4.3.1, 4.2.2, 4.1.16, BIND 9.11.19, 9.14.12, 9.16.3.

હુમલો હુમલાખોરની વિનંતીઓ પર આધારિત છે જે અગાઉ ન જોયેલા કાલ્પનિક NS રેકોર્ડ્સની મોટી સંખ્યામાં સંદર્ભ આપે છે, જેના માટે નામ નિર્ધારણ સોંપવામાં આવે છે, પરંતુ પ્રતિભાવમાં NS સર્વર્સના IP સરનામાં વિશેની માહિતી સાથે ગુંદર રેકોર્ડ્સનો ઉલ્લેખ કર્યા વિના. ઉદાહરણ તરીકે, હુમલાખોર attacker.com ડોમેન માટે જવાબદાર DNS સર્વરને નિયંત્રિત કરીને sd1.attacker.com નામને ઉકેલવા માટે ક્વેરી મોકલે છે. હુમલાખોરના DNS સર્વરને રિઝોલ્વરની વિનંતીના જવાબમાં, એક પ્રતિસાદ જારી કરવામાં આવે છે જે IP NS સર્વરની વિગતો આપ્યા વિના પ્રતિભાવમાં NS રેકોર્ડ્સ સૂચવીને પીડિતના DNS સર્વરને sd1.attacker.com સરનામાના નિર્ધારણને સોંપે છે. ઉલ્લેખિત NS સર્વરનો આ પહેલાં સામનો ન થયો હોવાથી અને તેનું IP સરનામું નિર્દિષ્ટ ન હોવાથી, રિઝોલ્વર ટાર્ગેટ ડોમેન (victim.com) ને સેવા આપતા પીડિતના DNS સર્વરને ક્વેરી મોકલીને NS સર્વરનું IP સરનામું નક્કી કરવાનો પ્રયાસ કરે છે.

સમસ્યા એ છે કે હુમલાખોર બિન-અસ્તિત્વ ધરાવતા કાલ્પનિક પીડિત સબડોમેઇન નામો (fake-1.victim.com, fake-2.victim.com,... fake-1000) સાથે પુનરાવર્તિત ન થતા NS સર્વરની વિશાળ સૂચિ સાથે પ્રતિસાદ આપી શકે છે. ભોગ.com). રિઝોલ્વર પીડિતના DNS સર્વરને વિનંતી મોકલવાનો પ્રયાસ કરશે, પરંતુ તેને ડોમેન મળ્યો ન હોવાનો પ્રતિસાદ પ્રાપ્ત થશે, તે પછી તે સૂચિમાં આગળના NS સર્વરને નિર્ધારિત કરવાનો પ્રયાસ કરશે, અને જ્યાં સુધી તે તમામ પ્રયાસો ન કરે ત્યાં સુધી. હુમલાખોર દ્વારા સૂચિબદ્ધ NS રેકોર્ડ્સ. તદનુસાર, એક હુમલાખોરની વિનંતી માટે, રિઝોલ્વર NS હોસ્ટ્સ નક્કી કરવા માટે મોટી સંખ્યામાં વિનંતીઓ મોકલશે. NS સર્વર નામો અવ્યવસ્થિત રીતે જનરેટ થાય છે અને અસ્તિત્વમાં ન હોય તેવા સબડોમેન્સનો સંદર્ભ આપે છે, તેથી તે કેશમાંથી પુનઃપ્રાપ્ત કરવામાં આવતાં નથી અને હુમલાખોરની પ્રત્યેક વિનંતી પીડિતના ડોમેનને સેવા આપતા DNS સર્વરને વિનંતીઓના ધસારામાં પરિણમે છે.

સંશોધકોએ સમસ્યા માટે જાહેર DNS રિઝોલ્વર્સની નબળાઈની ડિગ્રીનો અભ્યાસ કર્યો અને નિર્ધારિત કર્યું કે CloudFlare રિઝોલ્વર (1.1.1.1) ને ક્વેરી મોકલતી વખતે, પેકેટ્સની સંખ્યા (PAF, Packet Amplification Factor) 48 ગણી વધારવી શક્ય છે, Google (8.8.8.8) - 30 વખત, FreeDNS (37.235.1.174) - 50 વખત, OpenDNS (208.67.222.222) - 32 વખત. માટે વધુ નોંધપાત્ર સૂચકાંકો અવલોકન કરવામાં આવે છે
સ્તર3 (209.244.0.3) - 273 વખત, Quad9 (9.9.9.9) - 415 વખત
SafeDNS (195.46.39.39) - 274 વખત, Verisign (64.6.64.6) - 202 વખત,
અલ્ટ્રા (156.154.71.1) - 405 વખત, કોમોડો સિક્યોર (8.26.56.26) - 435 વખત, DNS.Watch (84.200.69.80) - 486 વખત અને Norton ConnectSafe (199.85.126.10 વખત) - BIND 569 પર આધારિત સર્વર્સ માટે, વિનંતીઓના સમાંતરને કારણે, ગેઇન લેવલ 9.12.3 સુધી પહોંચી શકે છે. Knot Resolver 1000 માં, ગેઇન લેવલ લગભગ દસ ગણું (5.1.0-24) છે, કારણ કે NS નામો ક્રમિક રીતે કરવામાં આવે છે અને એક વિનંતી માટે માન્ય નામ રિઝોલ્યુશન પગલાંની સંખ્યા પર આંતરિક મર્યાદા પર આધાર રાખે છે.

બે મુખ્ય સંરક્ષણ વ્યૂહરચના છે. DNSSEC સાથે સિસ્ટમો માટે પ્રસ્તાવિત ઉપયોગ કરો આરએફસી -8198 DNS કેશ બાયપાસ અટકાવવા કારણ કે વિનંતીઓ રેન્ડમ નામો સાથે મોકલવામાં આવે છે. પદ્ધતિનો સાર એ છે કે DNSSEC મારફતે રેન્જ ચેકિંગનો ઉપયોગ કરીને અધિકૃત DNS સર્વર્સનો સંપર્ક કર્યા વિના નકારાત્મક પ્રતિભાવો પેદા કરવા. એક સરળ અભિગમ એ નામોની સંખ્યાને મર્યાદિત કરવાનો છે કે જે એક જ સોંપેલ વિનંતી પર પ્રક્રિયા કરતી વખતે વ્યાખ્યાયિત કરી શકાય છે, પરંતુ આ પદ્ધતિ કેટલાક અસ્તિત્વમાંના રૂપરેખાંકનોમાં સમસ્યા ઊભી કરી શકે છે કારણ કે મર્યાદાઓ પ્રોટોકોલમાં વ્યાખ્યાયિત નથી.

સોર્સ: opennet.ru