{"id":113594,"date":"2024-02-14T22:02:42","date_gmt":"2024-02-14T20:02:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec"},"modified":"2024-02-14T22:02:42","modified_gmt":"2024-02-14T20:02:42","slug":"uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/news\/uyazvimosti-keytrap-i-nsec3-zatragivayushhie-bolshinstvo-realizaczij-dnssec","title":{"rendered":"S\u00e5rbarheterna KeyTrap och NSEC3 p\u00e5verkar de flesta implementationer av DNSSEC.","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
I olika implementationer av protokollet DNSSEC har tv\u00e5 s\u00e5rbarheter uppt\u00e4ckts som ber\u00f6r DNS-resolvere BIND, PowerDNS, dnsmasq, Knot Resolver och Unbound. S\u00e5rbarheterna m\u00f6jligg\u00f6r en \u00f6verbelastningsattack mot DNS-resolvere som validerar med hj\u00e4lp av DNSSEC, vilket skapar h\u00f6g CPU-belastning som hindrar behandling av andra f\u00f6rfr\u00e5gningar. F\u00f6r att genomf\u00f6ra en attack r\u00e4cker det med att skicka en f\u00f6rfr\u00e5gan till en DNS-resolver som anv\u00e4nder DNSSEC, vilket leder till en beg\u00e4ran som h\u00e4nvisar till en specifikt utformad DNS-zon p\u00e5 angriparens server. <\/p>\n
De skadliga inst\u00e4llningarna inneb\u00e4r att anv\u00e4nda en kombination av konfliktande nycklar, RRSET-poster och digitala signaturer f\u00f6r zonen. F\u00f6rs\u00f6ket att validera med dessa nycklar resulterar i l\u00e5ngvariga, resurskr\u00e4vande operationer som kan fullst\u00e4ndigt belasta CPU:n och blockera behandling av andra f\u00f6rfr\u00e5gningar (till exempel rapporteras det att vid en attack p\u00e5 BIND lyckades man stoppa behandlingen av andra f\u00f6rfr\u00e5gningar i 16 timmar). <\/p>\n
Det noteras att uppkomsten av ovanst\u00e5ende s\u00e5rbarheter beror p\u00e5 att specifikationen f\u00f6r DNSSEC till\u00e5ter DNS-servern att skicka alla tillg\u00e4ngliga kryptografiska nycklar, medan resolvere m\u00e5ste bearbeta alla mottagna nycklar tills valideringen \u00e4r framg\u00e5ngsrik eller alla mottagna nycklar har kontrollerats. <\/p>\n
Som \u00e5tg\u00e4rder f\u00f6r att blockera s\u00e5rbarheter i resolverare har det maximala antalet DNSSEC-nycklar som anv\u00e4nds i processen f\u00f6r att bygga en f\u00f6rtroendekedja begr\u00e4nsats, likas\u00e5 det maximala antalet hashber\u00e4kningar f\u00f6r NSEC3, och antalet f\u00f6rs\u00f6k att validera f\u00f6r varje RRSET (kombinationer av nycklar och signaturer) och varje svar \u00e4r ocks\u00e5 begr\u00e4nsat. servern<\/a>. <\/p>\n