pĂ«rditĂ«sime korrigjuese pĂ«r degĂ«t stabile tĂ« serverit DNS BIND 9.11.18 dhe 9.16.2, si dhe degĂ«n eksperimentale nĂ« zhvillim 9.17.1. NĂ« lĂ«shime tĂ« reja problemi i sigurisĂ« qĂ« lidhet me efikasitetin e mbrojtjes nga sulmet «» gjatĂ« funksionimit nĂ« modin e serverit DNS qĂ« pĂ«rçmon kĂ«rkesat (bloku «forwarders» nĂ« cilĂ«simet). PĂ«r mĂ« tepĂ«r, Ă«shtĂ« bĂ«rĂ« punĂ« pĂ«r tĂ« reduktuar madhĂ«sinĂ« e statistikave tĂ« nĂ«nshkrimeve digjitale tĂ« ruajtura nĂ« memory pĂ«r DNSSEC â numri i çelĂ«save tĂ« ndjekur Ă«shtĂ« reduktuar nĂ« 4 pĂ«r çdo zonĂ«, e cila Ă«shtĂ« e mjaftueshme nĂ« 99% tĂ« rasteve.
Taktika «DNS rebinding» lejon, kur përdoruesi hap një faqe të caktuar në shfletues, të krijojë një lidhje WebSocket me një shërbim në rrjetin e brendshëm, që nuk është në dispozicion për qasje direkte përmes internetit. Për të kaluar mbrojtjen e aplikuar në shfletues për daljen jashtë fushës së aktualit domain (cross-origin), përdoret ndërrimi i emrit të hostit në DNS. Në serverin DNS të sulmuesit konfigurohet një dhënie e ndërlikuar e dy adreseve IP: për kërkesën e parë kthehet adresa reale IP e serverit me faqen, dhe për kërkesat e tjera kthehet adresa e brendshme e pajisjes (për shembull, 192.168.10.1).
Koha e jetës (TTL) për përgjigjen e parë caktuar në vlerën minimale, kështu që kur hapet faqe, shfletuesi përcakton adresën reale IP të serverit të sulmuesit dhe ngarkon përmbajtjen e faqes. Në faqe ekzekutohet kodi JavaScript, i cili pret skadimin e TTL dhe dërgon një kërkesë të dytë, e cila tani përcakton hostin si 192.168.10.1. Kjo lejon që nga JavaScript të qasje shërbimin brenda rrjetit lokal, duke kaluar kufizimin cross-origin. mbrojtja nga këto sulme në BIND bazohet në bllokimin e kthej nga serverët e jashtëm të adresave IP të rrjetit aktual të brendshëm ose CNAME-alias për domenet lokale përmes cilësimeve deny-answer-addresses dhe deny-answer-aliases.
Burimi: opennet.ru
