NXNSAtack हमला सभी DNS रिज़ॉल्वर को प्रभावित कर रहा है

तेल अवीव विश्वविद्यालय और हर्ज़लिया (इज़राइल) में अंतःविषय केंद्र के शोधकर्ताओं का एक समूह विकसित किया नई आक्रमण विधि NXNSAtack (पीडीएफ), आपको किसी भी DNS रिज़ॉल्वर को ट्रैफ़िक एम्पलीफायर के रूप में उपयोग करने की अनुमति देता है, जो पैकेटों की संख्या के संदर्भ में 1621 गुना तक की प्रवर्धन दर प्रदान करता है (रिज़ॉल्वर को भेजे गए प्रत्येक अनुरोध के लिए, आप पीड़ित के सर्वर पर भेजे जा रहे 1621 अनुरोधों को प्राप्त कर सकते हैं) और ट्रैफ़िक के मामले में 163 गुना तक।

समस्या प्रोटोकॉल की विशिष्टताओं से संबंधित है और पुनरावर्ती क्वेरी प्रोसेसिंग का समर्थन करने वाले सभी DNS सर्वरों को प्रभावित करती है BIND (सीवीई-2020-8616), गांठ (सीवीई-2020-12667), PowerDNS (सीवीई-2020-10995), विंडोज़ डीएनएस सर्वर и अबाध (CVE-2020-12662), साथ ही Google, Cloudflare, Amazon, Quad9, ICANN और अन्य कंपनियों की सार्वजनिक DNS सेवाएँ। समाधान को DNS सर्वर डेवलपर्स के साथ समन्वित किया गया था, जिन्होंने अपने उत्पादों में भेद्यता को ठीक करने के लिए एक साथ अपडेट जारी किया था। रिलीज़ में हमले से सुरक्षा लागू की गई
अनबाउंड 1.10.1, नॉट रिज़ॉल्वर 5.1.1, पॉवरडीएनएस रिकर्सर 4.3.1, 4.2.2, 4.1.16, बाइंड 9.11.19, 9.14.12, 9.16.3.

हमला हमलावर द्वारा उन अनुरोधों पर आधारित है जो बड़ी संख्या में पहले से अनदेखे काल्पनिक एनएस रिकॉर्ड को संदर्भित करते हैं, जिनके लिए नाम निर्धारण सौंपा गया है, लेकिन प्रतिक्रिया में एनएस सर्वर के आईपी पते के बारे में जानकारी के साथ गोंद रिकॉर्ड निर्दिष्ट किए बिना। उदाहरण के लिए, एक हमलावर हमलावर.com डोमेन के लिए जिम्मेदार DNS सर्वर को नियंत्रित करके sd1.attacker.com नाम को हल करने के लिए एक क्वेरी भेजता है। हमलावर के DNS सर्वर पर रिज़ॉल्वर के अनुरोध के जवाब में, एक प्रतिक्रिया जारी की जाती है जो आईपी एनएस सर्वर का विवरण दिए बिना प्रतिक्रिया में एनएस रिकॉर्ड को इंगित करके पीड़ित के DNS सर्वर को sd1.atacker.com पते का निर्धारण सौंपती है। चूंकि उल्लेखित एनएस सर्वर पहले नहीं देखा गया है और इसका आईपी पता निर्दिष्ट नहीं है, रिज़ॉल्वर लक्ष्य डोमेन (पीड़ित.कॉम) की सेवा करने वाले पीड़ित के डीएनएस सर्वर पर एक क्वेरी भेजकर एनएस सर्वर का आईपी पता निर्धारित करने का प्रयास करता है।

समस्या यह है कि हमलावर गैर-दोहराए जाने वाले एनएस सर्वरों की एक विशाल सूची के साथ गैर-मौजूद काल्पनिक पीड़ित उपडोमेन नामों (नकली-1.victim.com, नकली-2.victim.com,... नकली-1000) के साथ प्रतिक्रिया कर सकता है। विक्टिम.कॉम). रिज़ॉल्वर पीड़ित के DNS सर्वर को एक अनुरोध भेजने का प्रयास करेगा, लेकिन उसे एक प्रतिक्रिया मिलेगी कि डोमेन नहीं मिला, जिसके बाद वह सूची में अगले एनएस सर्वर को निर्धारित करने का प्रयास करेगा, और इसी तरह जब तक वह सभी प्रयास नहीं कर लेता। हमलावर द्वारा सूचीबद्ध एनएस रिकॉर्ड। तदनुसार, एक हमलावर के अनुरोध के लिए, रिज़ॉल्वर एनएस होस्ट निर्धारित करने के लिए बड़ी संख्या में अनुरोध भेजेगा। चूंकि एनएस सर्वर नाम यादृच्छिक रूप से उत्पन्न होते हैं और गैर-मौजूद उपडोमेन को संदर्भित करते हैं, उन्हें कैश से पुनर्प्राप्त नहीं किया जाता है और हमलावर के प्रत्येक अनुरोध के परिणामस्वरूप पीड़ित के डोमेन की सेवा करने वाले डीएनएस सर्वर पर अनुरोधों की बाढ़ आ जाती है।

शोधकर्ताओं ने समस्या के प्रति सार्वजनिक डीएनएस रिज़ॉल्वर की भेद्यता की डिग्री का अध्ययन किया और निर्धारित किया कि क्लाउडफ्लेयर रिज़ॉल्वर (1.1.1.1) को प्रश्न भेजते समय, पैकेटों की संख्या (पीएएफ, पैकेट एम्प्लीफिकेशन फैक्टर) को 48 गुना तक बढ़ाना संभव है, Google (8.8.8.8) - 30 बार, फ्रीडीएनएस (37.235.1.174) - 50 बार, ओपनडीएनएस (208.67.222.222) - 32 बार। अधिक ध्यान देने योग्य संकेतक देखे जाते हैं
लेवल3 (209.244.0.3) - 273 बार, क्वाड9 (9.9.9.9) - 415 बार
सेफडीएनएस (195.46.39.39) - 274 बार, वेरीसाइन (64.6.64.6) - 202 बार,
अल्ट्रा (156.154.71.1) - 405 बार, कोमोडो सिक्योर (8.26.56.26) - 435 बार, डीएनएस.वॉच (84.200.69.80) - 486 बार, और नॉर्टन कनेक्टसेफ (199.85.126.10) - 569 बार। BIND 9.12.3 पर आधारित सर्वरों के लिए, अनुरोधों के समानांतर होने के कारण, लाभ स्तर 1000 तक पहुंच सकता है। नॉट रिज़ॉल्वर 5.1.0 में, निर्धारण के बाद से लाभ स्तर लगभग कई दसियों गुना (24-48) है एनएस नाम क्रमिक रूप से निष्पादित किए जाते हैं और एक अनुरोध के लिए अनुमत नाम समाधान चरणों की संख्या पर आंतरिक सीमा पर निर्भर होते हैं।

दो मुख्य रक्षा रणनीतियाँ हैं। DNSSEC वाले सिस्टम के लिए प्रस्तावना उपयोग करने के लिए आरएफसी-8198 DNS कैश बायपास को रोकने के लिए क्योंकि अनुरोध यादृच्छिक नामों से भेजे जाते हैं। विधि का सार DNSSEC के माध्यम से रेंज चेकिंग का उपयोग करके, आधिकारिक DNS सर्वर से संपर्क किए बिना नकारात्मक प्रतिक्रियाएं उत्पन्न करना है। एक सरल तरीका उन नामों की संख्या को सीमित करना है जिन्हें एकल प्रत्यायोजित अनुरोध को संसाधित करते समय परिभाषित किया जा सकता है, लेकिन यह विधि कुछ मौजूदा कॉन्फ़िगरेशन के साथ समस्याएं पैदा कर सकती है क्योंकि सीमाएं प्रोटोकॉल में परिभाषित नहीं हैं।

स्रोत: opennet.ru