ការវាយប្រហារ NXNSAttack ប៉ះពាល់ដល់អ្នកដោះស្រាយ DNS ទាំងអស់។

ក្រុមអ្នកស្រាវជ្រាវមកពីសាកលវិទ្យាល័យ Tel Aviv និងមជ្ឈមណ្ឌល Interdisciplinary នៅ Herzliya (អ៊ីស្រាអែល) បានអភិវឌ្ឍ វិធីសាស្រ្តវាយប្រហារថ្មី។ NXNSAttack (ជា PDF) អនុញ្ញាតឱ្យអ្នកប្រើកម្មវិធីដោះស្រាយ DNS ណាមួយជាឧបករណ៍ពង្រីកចរាចរណ៍ ដោយផ្តល់នូវអត្រាពង្រីករហូតដល់ 1621 ដងក្នុងន័យនៃចំនួនកញ្ចប់ព័ត៌មាន (សម្រាប់សំណើនីមួយៗដែលបានផ្ញើទៅអ្នកដោះស្រាយ អ្នកអាចសម្រេចបាននូវសំណើចំនួន 1621 ដែលត្រូវបានផ្ញើទៅកាន់ម៉ាស៊ីនមេរបស់ជនរងគ្រោះ) និងរហូតដល់ 163 ដងទាក់ទងនឹងចរាចរណ៍។

បញ្ហាគឺទាក់ទងទៅនឹងភាពប្លែកនៃពិធីការ និងប៉ះពាល់ដល់ម៉ាស៊ីនមេ DNS ទាំងអស់ដែលគាំទ្រដំណើរការសំណួរដែលកើតឡើងដដែលៗ រួមទាំង BIND (CVE-២០២០-១១៨៧៩) Knot (CVE-២០២០-១១៨៧៩) PowerDNS (CVE-២០២០-១១៨៧៩) ម៉ាស៊ីនមេ DNS វីនដូ и unbound (CVE-2020-12662) ក៏ដូចជាសេវាកម្ម DNS សាធារណៈរបស់ Google, Cloudflare, Amazon, Quad9, ICANN និងក្រុមហ៊ុនផ្សេងទៀត។ ការជួសជុលនេះត្រូវបានសម្របសម្រួលជាមួយអ្នកអភិវឌ្ឍន៍ម៉ាស៊ីនមេ DNS ដែលបានចេញផ្សាយក្នុងពេលដំណាលគ្នានូវការធ្វើបច្ចុប្បន្នភាពដើម្បីជួសជុលភាពងាយរងគ្រោះនៅក្នុងផលិតផលរបស់ពួកគេ។ ការការពារការវាយប្រហារត្រូវបានអនុវត្តនៅក្នុងការចេញផ្សាយ
គ្មានដែនកំណត់ 1.10.1, Knot Resolver 5.1.1, PowerDNS Recursor 4.3.1, 4.2.2, 4.1.16, ចង 9.11.19, 9.14.12, 9.16.3.

ការវាយប្រហារគឺផ្អែកលើអ្នកវាយប្រហារដោយប្រើសំណើដែលសំដៅទៅលើចំនួនដ៏ច្រើននៃកំណត់ត្រា NS ក្លែងក្លាយដែលមើលមិនឃើញពីមុន ដែលការកំណត់ឈ្មោះត្រូវបានផ្ទេរសិទ្ធិ ប៉ុន្តែដោយមិនបានបញ្ជាក់កំណត់ត្រាស្អិតជាប់ជាមួយនឹងព័ត៌មានអំពីអាសយដ្ឋាន IP របស់ម៉ាស៊ីនមេ NS ក្នុងការឆ្លើយតប។ ឧទាហរណ៍ អ្នកវាយប្រហារផ្ញើសំណួរដើម្បីដោះស្រាយឈ្មោះ sd1.attacker.com ដោយគ្រប់គ្រងម៉ាស៊ីនមេ DNS ដែលទទួលខុសត្រូវសម្រាប់ដែន attacker.com ។ ជាការឆ្លើយតបទៅនឹងសំណើរបស់អ្នកដោះស្រាយចំពោះម៉ាស៊ីនមេ DNS របស់អ្នកវាយប្រហារ ការឆ្លើយតបមួយត្រូវបានចេញដែលធ្វើប្រតិភូកម្មការកំណត់អាសយដ្ឋាន sd1.attacker.com ទៅកាន់ម៉ាស៊ីនមេ DNS របស់ជនរងគ្រោះដោយបង្ហាញកំណត់ត្រា NS ក្នុងការឆ្លើយតបដោយមិនលម្អិតអំពីម៉ាស៊ីនមេ IP NS ។ ដោយសារម៉ាស៊ីនមេ NS ដែលរៀបរាប់មិនត្រូវបានគេជួបប្រទះពីមុន ហើយអាសយដ្ឋាន IP របស់វាមិនត្រូវបានបញ្ជាក់ អ្នកដោះស្រាយព្យាយាមកំណត់អាសយដ្ឋាន IP របស់ម៉ាស៊ីនមេ NS ដោយផ្ញើសំណួរទៅម៉ាស៊ីនមេ DNS របស់ជនរងគ្រោះដែលបម្រើដែនគោលដៅ (victim.com) ។

បញ្ហាគឺថាអ្នកវាយប្រហារអាចឆ្លើយតបជាមួយនឹងបញ្ជីដ៏ធំនៃម៉ាស៊ីនមេ NS ដែលមិនដំណើរការឡើងវិញជាមួយនឹងឈ្មោះដែនរងជនរងគ្រោះដែលមិនពិត (fake-1.victim.com, fake-2.victim.com,... fake-1000។ ជនរងគ្រោះ.com) ។ អ្នកដោះស្រាយនឹងព្យាយាមផ្ញើសំណើទៅកាន់ម៉ាស៊ីនមេ DNS របស់ជនរងគ្រោះ ប៉ុន្តែនឹងទទួលបានការឆ្លើយតបថាដែនមិនត្រូវបានរកឃើញ បន្ទាប់ពីនោះវានឹងព្យាយាមកំណត់ម៉ាស៊ីនមេ NS បន្ទាប់នៅក្នុងបញ្ជី ហើយបន្តរហូតដល់វាព្យាយាមទាំងអស់ កំណត់ត្រា NS រាយបញ្ជីដោយអ្នកវាយប្រហារ។ ដូច្នោះហើយ សម្រាប់សំណើរបស់អ្នកវាយប្រហារម្នាក់ អ្នកដោះស្រាយនឹងផ្ញើសំណើជាច្រើនដើម្បីកំណត់ម៉ាស៊ីន NS ។ ដោយសារឈ្មោះម៉ាស៊ីនមេ NS ត្រូវបានបង្កើតដោយចៃដន្យ និងសំដៅទៅលើដែនរងដែលមិនមានស្រាប់ ពួកវាមិនត្រូវបានទាញយកពីឃ្លាំងសម្ងាត់ទេ ហើយសំណើនីមួយៗពីអ្នកវាយប្រហារនាំឱ្យសំណើទៅម៉ាស៊ីនមេ DNS ដែលកំពុងបម្រើដែនជនរងគ្រោះ។

អ្នកស្រាវជ្រាវបានសិក្សាពីកម្រិតនៃភាពងាយរងគ្រោះរបស់អ្នកដោះស្រាយ DNS សាធារណៈចំពោះបញ្ហា ហើយបានកំណត់ថា នៅពេលផ្ញើសំណួរទៅកាន់ CloudFlare ដោះស្រាយ (1.1.1.1) វាអាចបង្កើនចំនួនកញ្ចប់ព័ត៌មាន (PAF, Packet Amplification Factor) 48 ដង Google (8.8.8.8) - 30 ដង FreeDNS (37.235.1.174) - 50 ដង OpenDNS (208.67.222.222) - 32 ដង។ សូចនាករគួរឱ្យកត់សម្គាល់បន្ថែមទៀតត្រូវបានអង្កេតសម្រាប់
Level3 (209.244.0.3) - 273 ដង, Quad9 (9.9.9.9) - 415 ដង
SafeDNS (195.46.39.39) - 274 ដង, Verisign (64.6.64.6) - 202 ដង,
Ultra (156.154.71.1) - 405 ដង Comodo Secure (8.26.56.26) - 435 ដង DNS.Watch (84.200.69.80) - 486 ដង និង Norton ConnectSafe (199.85.126.10 ដង) -569. សម្រាប់ម៉ាស៊ីនមេដែលមានមូលដ្ឋានលើ BIND 9.12.3 ដោយសារតែភាពស្របគ្នានៃសំណើ កម្រិតទទួលបានអាចឡើងដល់ 1000។ នៅក្នុង Knot Resolver 5.1.0 កម្រិតទទួលបានគឺប្រហែលជាច្រើនដប់ដង (24-48) ចាប់តាំងពីការប្តេជ្ញាចិត្តនៃ ឈ្មោះ NS ត្រូវបានអនុវត្តតាមលំដាប់លំដោយ ហើយស្ថិតនៅលើដែនកំណត់ខាងក្នុងលើចំនួនជំហាននៃដំណោះស្រាយឈ្មោះដែលត្រូវបានអនុញ្ញាតសម្រាប់សំណើមួយ។

មានយុទ្ធសាស្ត្រការពារសំខាន់ពីរ។ សម្រាប់ប្រព័ន្ធដែលមាន DNSSEC បានស្នើឡើង ប្រើ RFC-១៩១៨ ដើម្បីការពារ DNS cache bypass ព្រោះសំណើត្រូវបានផ្ញើជាមួយឈ្មោះចៃដន្យ។ ខ្លឹមសារនៃវិធីសាស្ត្រគឺបង្កើតការឆ្លើយតបអវិជ្ជមានដោយមិនចាំបាច់ទាក់ទងម៉ាស៊ីនមេ DNS ដែលមានការអនុញ្ញាត ដោយប្រើការត្រួតពិនិត្យជួរតាមរយៈ DNSSEC ។ វិធីសាស្រ្តសាមញ្ញជាងគឺកំណត់ចំនួនឈ្មោះដែលអាចកំណត់បាននៅពេលដំណើរការសំណើដែលបានផ្ទេរសិទ្ធិតែមួយ ប៉ុន្តែវិធីសាស្ត្រនេះអាចបណ្តាលឱ្យមានបញ្ហាជាមួយនឹងការកំណត់ដែលមានស្រាប់មួយចំនួន ដោយសារដែនកំណត់មិនត្រូវបានកំណត់នៅក្នុងពិធីការ។

ប្រភព: opennet.ru