[linux] DNS security problem - cache poisoning

Tibor Pittich Tibor.Pittich na phuture.sk
Úterý Červenec 15 16:18:40 CEST 2008


-----BEGIN PGP SIGNED MESSAGE-----
Hash: SHA1

Matus UHLAR - fantomas, 15.7.2008 14:07:

> 3. Problem spociva v tom, ze DNS dotazy sa vacsinou posielaju UDP paketmi so
> 16-bitovym ID cislom, co dava dost malo kombinacii. Problem je mozne
> zmiernit tym, ze dotazy budu chodit z co najvacsieho mnozstva roznych UDP
> portov, takze utocnik bude musiet hadat aj spravny port.
> 
> ...
> Objavitel problemu Dan Kaminsky chce zverejnit podrobnejsie informacie na
> BlackHat konferencii 7-8 Augusta, skuste doupgradovat dovtedy.
> http://news.cnet.com/8301-10789_3-9985815-57.html?hhTest=1

Na tento problém upozorňoval ešte v minulom storočí Paul Vixie vo svojej
prezentácii na Usenix-e v roku 1995:
http://www.usenix.org/publications/library/proceedings/security95/full_papers/vixie.txt

Okrem iného aj Daniel J. Bernstein na svojej stránke popisuje tento
problém: http://cr.yp.to/djbdns/forgery.html
pričom djbdns používa odzačiatku randomizáciu zdrojových portov.

Dan Kaminsky problém neobjavil, len oživil starý problém tým, že zrejme
našiel efektívnejší spôsob ako vykonať "forgery".
Za doterajších okolností bola potrebná pomerne veľká hrubá sila,
zaujímavé hodnoty sú uvedené v štúdii
http://tools.ietf.org/html/draft-ietf-dnsext-forgery-resilience-05

-----BEGIN PGP SIGNATURE-----
Version: GnuPG v1.4.5 (Darwin)

iD8DBQFIfLHAD+AyEdKmHUQRAl8TAJ43jX3JF4Sx2zBfdGj3EV9ydPnbRACdGCse
lzrVpGDsa5x8/LijVBWtuCQ=
=nVy6
-----END PGP SIGNATURE-----


Další informace o konferenci linux