എല്ലാ DNS റിസോൾവറുകളും ബാധിക്കുന്ന NXNSAattack ആക്രമണം

ടെൽ അവീവ് യൂണിവേഴ്സിറ്റിയിൽ നിന്നും ഹെർസ്ലിയയിലെ (ഇസ്രായേൽ) ഇൻ്റർ ഡിസിപ്ലിനറി സെൻ്ററിൽ നിന്നുമുള്ള ഒരു കൂട്ടം ഗവേഷകർ വികസിപ്പിച്ചു പുതിയ ആക്രമണ രീതി NXNSAattack (പീഡിയെഫ്), ട്രാഫിക് ആംപ്ലിഫയറുകളായി ഏതെങ്കിലും ഡിഎൻഎസ് റിസോൾവറുകൾ ഉപയോഗിക്കാൻ നിങ്ങളെ അനുവദിക്കുന്നു, പാക്കറ്റുകളുടെ എണ്ണത്തിൻ്റെ അടിസ്ഥാനത്തിൽ 1621 മടങ്ങ് വരെ ആംപ്ലിഫിക്കേഷൻ നിരക്ക് നൽകുന്നു (റിസോൾവറിലേക്ക് അയയ്‌ക്കുന്ന ഓരോ അഭ്യർത്ഥനയ്ക്കും, ഇരയുടെ സെർവറിലേക്ക് അയയ്‌ക്കുന്ന 1621 അഭ്യർത്ഥനകൾ നിങ്ങൾക്ക് നേടാനാകും) ട്രാഫിക്കിൻ്റെ കാര്യത്തിൽ 163 തവണ വരെ.

പ്രശ്നം പ്രോട്ടോക്കോളിൻ്റെ പ്രത്യേകതകളുമായി ബന്ധപ്പെട്ടതാണ് കൂടാതെ ആവർത്തന അന്വേഷണ പ്രോസസ്സിംഗിനെ പിന്തുണയ്ക്കുന്ന എല്ലാ DNS സെർവറുകളെ ബാധിക്കുന്നു. ബൈൻഡി (സിവിഇ -2020-8616), നോട്ട് (സിവിഇ -2020-12667), PowerDNS (സിവിഇ -2020-10995), വിൻഡോസ് ഡിഎൻഎസ് സെർവർ и പരിധിയില്ലാത്ത (CVE-2020-12662), അതുപോലെ Google, Cloudflare, Amazon, Quad9, ICANN, മറ്റ് കമ്പനികൾ എന്നിവയുടെ പൊതു DNS സേവനങ്ങളും. ഡിഎൻഎസ് സെർവർ ഡെവലപ്പർമാരുമായി ഏകോപിപ്പിച്ചാണ് ഈ പ്രശ്നം പരിഹരിക്കപ്പെട്ടത്, അവർ തങ്ങളുടെ ഉൽപ്പന്നങ്ങളിലെ കേടുപാടുകൾ പരിഹരിക്കുന്നതിനായി ഒരേസമയം അപ്‌ഡേറ്റുകൾ പുറത്തിറക്കി. റിലീസുകളിൽ ആക്രമണ സംരക്ഷണം നടപ്പിലാക്കി
അൺബൗണ്ട് 1.10.1, നോട്ട് റിസോൾവർ 5.1.1, PowerDNS റിക്കർസർ 4.3.1, 4.2.2, 4.1.16, ബൈൻഡ് 9.11.19, 9.14.12, 9.16.3.

മുമ്പ് കാണാത്ത സാങ്കൽപ്പിക എൻഎസ് റെക്കോർഡുകളുടെ ഒരു വലിയ സംഖ്യയെ പരാമർശിക്കുന്ന അഭ്യർത്ഥനകൾ ഉപയോഗിച്ചുള്ള ആക്രമണത്തെ അടിസ്ഥാനമാക്കിയുള്ളതാണ് ആക്രമണം, അതിലേക്ക് പേര് നിർണയം നിയുക്തമാക്കിയിട്ടുണ്ട്, എന്നാൽ പ്രതികരണത്തിൽ എൻഎസ് സെർവറുകളുടെ ഐപി വിലാസങ്ങളെക്കുറിച്ചുള്ള വിവരങ്ങളുള്ള ഗ്ലൂ റെക്കോർഡുകൾ വ്യക്തമാക്കാതെ. ഉദാഹരണത്തിന്, attacker.com ഡൊമെയ്‌നിൻ്റെ ഉത്തരവാദിത്തമുള്ള DNS സെർവറിനെ നിയന്ത്രിച്ച് sd1.attacker.com എന്ന പേര് പരിഹരിക്കാൻ ഒരു ആക്രമണകാരി ഒരു ചോദ്യം അയയ്ക്കുന്നു. ആക്രമണകാരിയുടെ ഡിഎൻഎസ് സെർവറിലേക്കുള്ള റിസോൾവറിൻ്റെ അഭ്യർത്ഥനയ്ക്ക് മറുപടിയായി, ഐപി എൻഎസ് സെർവറുകൾ വിശദീകരിക്കാതെ പ്രതികരണത്തിൽ എൻഎസ് റെക്കോർഡുകൾ സൂചിപ്പിച്ചുകൊണ്ട് ഇരയുടെ ഡിഎൻഎസ് സെർവറിലേക്ക് sd1.attacker.com വിലാസത്തിൻ്റെ നിർണ്ണയം നിയോഗിക്കുന്ന ഒരു പ്രതികരണം പുറപ്പെടുവിക്കുന്നു. സൂചിപ്പിച്ച NS സെർവർ മുമ്പ് നേരിട്ടിട്ടില്ലാത്തതിനാലും അതിൻ്റെ IP വിലാസം വ്യക്തമാക്കിയിട്ടില്ലാത്തതിനാലും, ടാർഗെറ്റ് ഡൊമെയ്‌നിൽ (victim.com) സേവിക്കുന്ന ഇരയുടെ DNS സെർവറിലേക്ക് ഒരു ചോദ്യം അയച്ചുകൊണ്ട് NS സെർവറിൻ്റെ IP വിലാസം നിർണ്ണയിക്കാൻ റിസോൾവർ ശ്രമിക്കുന്നു.

പ്രശ്‌നം, ആക്രമണകാരിക്ക് നിലവിലില്ലാത്ത സാങ്കൽപ്പിക ഇര സബ്‌ഡൊമെയ്ൻ നാമങ്ങൾ (fake-1.victim.com, fake-2.victim.com,... fake-1000) ഉപയോഗിച്ച് ആവർത്തിക്കാത്ത NS സെർവറുകളുടെ ഒരു വലിയ ലിസ്റ്റ് ഉപയോഗിച്ച് പ്രതികരിക്കാൻ കഴിയും എന്നതാണ്. ഇര.കോം). ഇരയുടെ DNS സെർവറിലേക്ക് ഒരു അഭ്യർത്ഥന അയക്കാൻ റിസോൾവർ ശ്രമിക്കും, എന്നാൽ ഡൊമെയ്ൻ കണ്ടെത്തിയില്ല എന്ന ഒരു പ്രതികരണം ലഭിക്കും, അതിനുശേഷം അത് ലിസ്റ്റിലെ അടുത്ത NS സെർവർ നിർണ്ണയിക്കാൻ ശ്രമിക്കും, അങ്ങനെ അത് എല്ലാം പരീക്ഷിക്കുന്നതുവരെ ആക്രമണകാരി പട്ടികപ്പെടുത്തിയ NS രേഖകൾ. അതനുസരിച്ച്, ഒരു ആക്രമണകാരിയുടെ അഭ്യർത്ഥനയ്ക്കായി, NS ഹോസ്റ്റുകളെ നിർണ്ണയിക്കാൻ റിസോൾവർ ധാരാളം അഭ്യർത്ഥനകൾ അയയ്ക്കും. NS സെർവർ പേരുകൾ ക്രമരഹിതമായി ജനറേറ്റ് ചെയ്യുന്നതും നിലവിലില്ലാത്ത ഉപഡൊമെയ്‌നുകളെ പരാമർശിക്കുന്നതും ആയതിനാൽ, അവ കാഷെയിൽ നിന്ന് വീണ്ടെടുക്കപ്പെടുന്നില്ല, മാത്രമല്ല ആക്രമണകാരിയുടെ ഓരോ അഭ്യർത്ഥനയും ഇരയുടെ ഡൊമെയ്‌നിൽ സേവനം നൽകുന്ന DNS സെർവറിലേക്കുള്ള അഭ്യർത്ഥനകളുടെ കുത്തൊഴുക്കിന് കാരണമാകുന്നു.

ഗവേഷകർ പ്രശ്‌നത്തിലേക്കുള്ള പബ്ലിക് ഡിഎൻഎസ് റിസോൾവറുകളുടെ അപകടസാധ്യതയുടെ അളവ് പഠിക്കുകയും ക്ലൗഡ്ഫ്ലെയർ റിസോൾവറിലേക്ക് (1.1.1.1) ചോദ്യങ്ങൾ അയയ്‌ക്കുമ്പോൾ, പാക്കറ്റുകളുടെ എണ്ണം (PAF, പാക്കറ്റ് ആംപ്ലിഫിക്കേഷൻ ഫാക്ടർ) 48 മടങ്ങ് വർദ്ധിപ്പിക്കാൻ കഴിയുമെന്ന് നിർണ്ണയിക്കുകയും ചെയ്തു, Google (8.8.8.8) - 30 തവണ, FreeDNS (37.235.1.174) - 50 തവണ, OpenDNS (208.67.222.222) - 32 തവണ. കൂടുതൽ ശ്രദ്ധേയമായ സൂചകങ്ങൾ നിരീക്ഷിക്കപ്പെടുന്നു
ലെവൽ3 (209.244.0.3) - 273 തവണ, ക്വാഡ്9 (9.9.9.9) - 415 തവണ
SafeDNS (195.46.39.39) - 274 തവണ, Verisign (64.6.64.6) - 202 തവണ,
അൾട്രാ (156.154.71.1) - 405 തവണ, കോമോഡോ സെക്യുർ (8.26.56.26) - 435 തവണ, DNS.Watch (84.200.69.80) - 486 തവണ, കൂടാതെ Norton ConnectSafe (199.85.126.10 തവണ) -569. BIND 9.12.3 അടിസ്ഥാനമാക്കിയുള്ള സെർവറുകൾക്ക്, അഭ്യർത്ഥനകളുടെ സമാന്തരവൽക്കരണം കാരണം, ഗെയിൻ ലെവൽ 1000 വരെ എത്താം. Knot Resolver 5.1.0-ൽ, നിർണ്ണയിച്ചതിന് ശേഷം, നേട്ടത്തിൻ്റെ അളവ് ഏകദേശം പതിനായിരക്കണക്കിന് മടങ്ങാണ് (24-48). NS പേരുകൾ ക്രമാനുഗതമായി നടപ്പിലാക്കുകയും ഒരു അഭ്യർത്ഥനയ്ക്കായി അനുവദനീയമായ പേര് റെസല്യൂഷൻ ഘട്ടങ്ങളുടെ എണ്ണത്തിൻ്റെ ആന്തരിക പരിധിയിൽ ആശ്രയിക്കുകയും ചെയ്യുന്നു.

രണ്ട് പ്രധാന പ്രതിരോധ തന്ത്രങ്ങളുണ്ട്. DNSSEC ഉള്ള സിസ്റ്റങ്ങൾക്ക് നിർദ്ദേശിച്ചു ഉപയോഗിക്കുക ആർഎഫ്സി -8198 അഭ്യർത്ഥനകൾ ക്രമരഹിതമായ പേരുകൾ ഉപയോഗിച്ച് അയച്ചതിനാൽ DNS കാഷെ ബൈപാസ് തടയുന്നതിന്. ഡിഎൻഎസ്എസ്ഇസി വഴിയുള്ള റേഞ്ച് ചെക്കിംഗ് ഉപയോഗിച്ച് ആധികാരിക ഡിഎൻഎസ് സെർവറുകളുമായി ബന്ധപ്പെടാതെ നെഗറ്റീവ് പ്രതികരണങ്ങൾ സൃഷ്ടിക്കുക എന്നതാണ് രീതിയുടെ സാരം. ഒരു ഡെലിഗേറ്റഡ് അഭ്യർത്ഥന പ്രോസസ്സ് ചെയ്യുമ്പോൾ നിർവചിക്കാവുന്ന പേരുകളുടെ എണ്ണം പരിമിതപ്പെടുത്തുക എന്നതാണ് ലളിതമായ ഒരു സമീപനം, എന്നാൽ ഈ രീതി നിലവിലുള്ള ചില കോൺഫിഗറേഷനുകളിൽ പ്രശ്നങ്ങൾ ഉണ്ടാക്കിയേക്കാം, കാരണം പരിധികൾ പ്രോട്ടോക്കോളിൽ നിർവചിച്ചിട്ടില്ല.

അവലംബം: opennet.ru