NXNSAtack आक्रमणले सबै DNS समाधानकर्ताहरूलाई असर गर्छ

तेल अवीव विश्वविद्यालय र हर्जलिया (इजरायल) मा अन्तरविषय केन्द्रका अनुसन्धानकर्ताहरूको समूह विकसित भएको छ नयाँ आक्रमण विधि NXNSAtack (पीडीएफ), तपाईंलाई ट्राफिक एम्पलीफायरहरूको रूपमा कुनै पनि DNS समाधानकर्ताहरू प्रयोग गर्न अनुमति दिँदै, प्याकेटहरूको संख्याको हिसाबले 1621 पटकसम्मको एम्प्लीफिकेशन दर प्रदान गर्दै (रिजोल्भरलाई पठाइएको प्रत्येक अनुरोधको लागि, तपाईंले पीडितको सर्भरमा पठाइएका 1621 अनुरोधहरू प्राप्त गर्न सक्नुहुन्छ)। र ट्राफिकको सन्दर्भमा 163 पटक सम्म।

समस्या प्रोटोकलको विशेषताहरूसँग सम्बन्धित छ र सबै DNS सर्भरहरूलाई असर गर्छ जसले पुनरावर्ती क्वेरी प्रक्रियालाई समर्थन गर्दछ, सहित BIND (CVE-2020-8616) नट (CVE-2020-12667) PowerDNS (CVE-2020-10995) Windows DNS सर्भर и नबाँधिएको (CVE-2020-12662), साथै Google, Cloudflare, Amazon, Quad9, ICANN र अन्य कम्पनीहरूको सार्वजनिक DNS सेवाहरू। फिक्स DNS सर्भर विकासकर्ताहरूसँग समन्वय गरिएको थियो, जसले एकै साथ अपडेटहरू जारी गर्यो तिनीहरूका उत्पादनहरूमा कमजोरीहरू ठीक गर्न। विज्ञप्तिमा लागू गरिएको आक्रमण सुरक्षा
अनबाउन्ड १.१७, गाँठ रिजोल्भर ५.१.१, PowerDNS रिकर्सर ४.३.१, ४.२.२, ४.१.१६, BIND 9.11.19, 9.14.12, 9.16.3.

आक्रमणकर्ताले अनुरोधहरू प्रयोग गरेर पहिले नै नदेखेका काल्पनिक NS रेकर्डहरूको ठूलो संख्यालाई सन्दर्भ गर्नेमा आधारित छ, जसलाई नाम निर्धारण प्रत्यायोजित गरिएको छ, तर प्रतिक्रियामा NS सर्भरहरूको IP ठेगानाहरूको बारेमा जानकारीको साथ ग्लु रेकर्डहरू निर्दिष्ट नगरी। उदाहरणका लागि, आक्रमणकर्ताले आक्रमणकर्ता.com डोमेनको लागि जिम्मेवार DNS सर्भरलाई नियन्त्रण गरेर नाम sd1.attacker.com समाधान गर्न क्वेरी पठाउँछ। आक्रमणकर्ताको DNS सर्भरमा समाधानकर्ताको अनुरोधको जवाफमा, IP NS सर्भरहरूको विवरण नदिई प्रतिक्रियामा NS रेकर्डहरू संकेत गरेर पीडितको DNS सर्भरमा sd1.attacker.com ठेगानाको निर्धारण प्रत्यायोजन गर्ने प्रतिक्रिया जारी गरिन्छ। उल्लेखित NS सर्भर पहिले भेटिएको छैन र यसको IP ठेगाना निर्दिष्ट गरिएको छैन, समाधानकर्ताले लक्षित डोमेन (victim.com) सेवा गर्ने पीडितको DNS सर्भरमा क्वेरी पठाएर NS सर्भरको IP ठेगाना निर्धारण गर्ने प्रयास गर्दछ।

समस्या यो हो कि आक्रमणकारीले गैर-अवस्थित काल्पनिक पीडित उपडोमेन नामहरू (fake-1.victim.com, fake-2.victim.com,... fake-1000) सँग दोहोरिने NS सर्भरहरूको ठूलो सूचीको साथ प्रतिक्रिया दिन सक्छ। शिकार.com)। समाधानकर्ताले पीडितको DNS सर्भरमा अनुरोध पठाउने प्रयास गर्नेछ, तर डोमेन फेला परेन भन्ने प्रतिक्रिया प्राप्त गर्नेछ, त्यसपछि यसले सूचीमा अर्को NS सर्भर निर्धारण गर्ने प्रयास गर्नेछ, र त्यसले सबै प्रयास नगरेसम्म। आक्रमणकारी द्वारा सूचीबद्ध NS रेकर्ड। तदनुसार, एक आक्रमणकर्ताको अनुरोधको लागि, समाधानकर्ताले NS होस्टहरू निर्धारण गर्न ठूलो संख्यामा अनुरोधहरू पठाउनेछ। NS सर्भर नामहरू अनियमित रूपमा उत्पन्न भएकाले र अस्तित्वमा नभएका सबडोमेनहरूलाई सन्दर्भ गर्ने भएकोले, तिनीहरू क्यासबाट पुनःप्राप्त हुँदैनन् र आक्रमणकर्ताबाट प्रत्येक अनुरोधले पीडितको डोमेन सेवा गर्ने DNS सर्भरमा अनुरोधहरूको लहरमा परिणाम दिन्छ।

अन्वेषकहरूले समस्यामा सार्वजनिक DNS समाधानकर्ताहरूको जोखिमको डिग्री अध्ययन गरे र निर्धारण गरे कि क्लाउडफ्लेयर रिजोल्भर (1.1.1.1) मा प्रश्नहरू पठाउँदा, प्याकेटहरूको संख्या (PAF, प्याकेट प्रवर्द्धन कारक) 48 गुणाले बढाउन सम्भव छ, गुगल। (8.8.8.8) - 30 पटक, FreeDNS (37.235.1.174) - 50 पटक, OpenDNS (208.67.222.222) - 32 पटक। का लागि थप ध्यान दिने संकेतकहरू अवलोकन गरिन्छ
स्तर३ (२०९.२४४.०.३) - २७३ पटक, क्वाड९ (९.९.९.९) - ४१५ पटक
SafeDNS (195.46.39.39) - 274 पटक, Verisign (64.6.64.6) - 202 पटक,
अल्ट्रा (156.154.71.1) - 405 पटक, कोमोडो सेक्योर (8.26.56.26) - 435 पटक, DNS.Watch (84.200.69.80) - 486 पटक, र Norton ConnectSafe (199.85.126.10-569 पटक)। BIND 9.12.3 मा आधारित सर्भरहरूको लागि, अनुरोधहरूको समानान्तरको कारणले, लाभ स्तर 1000 सम्म पुग्न सक्छ। Knot Resolver 5.1.0 मा, लाभ स्तर लगभग धेरै दशौं पटक (24-48), को निर्धारण पछि। NS नामहरू क्रमिक रूपमा गरिन्छ र एउटा अनुरोधको लागि अनुमति दिइएको नाम रिजोल्युसन चरणहरूको संख्यामा आन्तरिक सीमामा रहन्छ।

त्यहाँ दुई मुख्य रक्षा रणनीतिहरू छन्। DNSSEC सँग प्रणालीहरूको लागि प्रस्तावित प्रयोग गर्नुहोस् आरएफसी -१ 8198 १। DNS क्यास बाइपास रोक्नको लागि किनभने अनुरोधहरू अनियमित नामहरूसँग पठाइन्छ। विधिको सार भनेको DNSSEC मार्फत दायरा जाँच प्रयोग गरी आधिकारिक DNS सर्भरहरूलाई सम्पर्क नगरी नकारात्मक प्रतिक्रियाहरू उत्पन्न गर्नु हो। एक सरल दृष्टिकोण भनेको नामहरूको संख्या सीमित गर्नु हो जुन एकल प्रतिनिधि अनुरोध प्रशोधन गर्दा परिभाषित गर्न सकिन्छ, तर यो विधिले केही अवस्थित कन्फिगरेसनहरूमा समस्या निम्त्याउन सक्छ किनभने सीमाहरू प्रोटोकलमा परिभाषित गरिएको छैन।

स्रोत: opennet.ru