DNS新漏洞,難以完全防堵

DNS新漏洞,難以完全防堵
文/劉哲銘 (記者) 2008-08-21


DNS的設計被發現可攻擊的漏洞,攻擊者可透過偽裝DNS主要伺服器的方式,引導使用者進入惡意網頁,以釣魚方式取得資訊,或者植入惡意程式。



日前IOActive的安全研究員Dan Kaminsky揭露了一個DNS安全漏洞,由於這是基於DNS本身的設計而造成的安全漏洞,Kaminsky日前在自己的部落格上這樣寫著:「現在釋出的修補程式雖然有辦法讓攻擊難度提高個幾千倍,但是還是無法根本的解決這個問題。」

惡意攻擊者將有辦法透過這個漏洞來假冒DNS主要伺服器(DNS Master Server),將使用者導向惡意攻擊者假冒的網頁。由於使用者端輸入的網址是正確的,所以使用者會在毫無警覺性的狀況下誤入惡意網站,因而洩漏出各種個人資料,或是直接在假冒的網頁被植入木馬或是其他惡意程式。

DNS網域劫持,可以影響所有網站
由於這個漏洞最主要的問題是發生在DNS本身的設計上,這也使得所有的網站都有可能受到此一漏洞的影響。DNS全名是(Domain Name Service),是負責網址轉譯的機制,將網址轉譯為電腦可以識別的數字位址。舉例來說,使用者如果在瀏覽器上輸入一串「www.xxx.tw」的網址,透過DNS轉譯,會成為像「192.168.255.255」這樣的IP位址,讓伺服器和終端電腦可以識別,把使用者的流量導到正確的網站。

一般來說,整個DNS運作的流程是這樣的,DNS伺服器存有網域名稱比對的資料,當使用者要瀏覽某個網站時,電腦會發出一個UDP協定的請求到本地端的快取DNS伺服器(一般是電信商的快取DNS伺服器),等候快取DNS伺服器比對這個請求,如果快取DNS伺服器裡面存有該網站位址的記錄,就會把正確的網站IP位址轉送給終端電腦,引導使用者連上正確的網站。若快取DNS伺服器沒有此一位址,它會再進一步查詢上一層的根目錄DNS伺服器或主要DNS伺服器,找尋正確的位址,然後回應給使用者,引導進入正確的網站。快取DNS伺服器會將查詢過的位址暫存下來,加快使用者連網時比對DNS的速度。

由於UDP協定在設計上,不像TCP協定一般,包含有回應方與來源方的資訊,在這樣的狀況下,DNS機制為了比對是由哪一臺伺服器發出查詢的請求、哪一臺伺服器發出回應,會利用連接埠號和一個稱為TXID的16位元識別碼,作為連線辨識的依據,如此一來,即便2臺DNS伺服器使用相同的對外連接埠號,也能透過TXID辨識出是由哪一臺DNS伺服器發出查詢的請求。

由此可知,TXID的識別對於DNS機制來說,非常重要,可以說是DNS伺服器在查詢時辨識其他伺服器回應的主要依據,而此次被發現的漏洞,正是TXID這種設計本身的不足所造成。因為TXID本身只有16位元的長度,惡意攻擊者只要假造UDP封包的來源,欺騙使用者的暫存DNS伺服器,就可以把該暫存DNS伺服器下的所有使用者(數千,甚至是數萬臺終端電腦)流量,轉至任何他想轉到的網頁。

要欺騙暫存DNS伺服器,惡意攻擊者只需要做到2件事。一是設法讓暫存伺服器發出對外查詢的請求;其二則是取得回應DNS伺服器的TXID。第一點可以透過很多方式做到,第二點則就是本次發現漏洞的重點。

Dan Kaminsky發現,攻擊者可以用猜的。攻擊者只要在真的DNS伺服器發出回應給暫存DNS伺服器之前,發出大量的UDP封包,逐號猜測TXID,猜中了,就能假冒成回應查詢的DNS伺服器,劫持網域,然後就能為所欲為了。以16位元的長度來計算,這代表每一個攻擊者發出的偽造UDP回應,都有6萬5,335分之1的機會猜中(但實際上,如果DNS伺服器使用固定的連接埠,則攻擊者成功的機會就更高)。也因為這是利用DNS設計上的漏洞,無論暫存DNS伺服器使用的是哪一種DNS伺服器軟體,多數都會受到這種攻擊的影響。



還有5成DNS伺服器未更新,企業可自行檢測
負責管理網域名稱的臺灣網路資訊中心(TWNIC)技術組組長徐乃文表示,這種劫持網域的攻擊手法,並不是新的攻擊手法,但是隨著此一漏洞被發現,駭客組織已經釋出了攻擊的程式,讓惡意使用者能以更簡易的方式進行TXID的猜號,這的確是一個隱憂。

但是徐乃文也指出,由於這種攻擊手法耗時良久,攻擊者也必須偽造大量的UDP回應,目前還沒有聽過臺灣有傳出任何災情。他表示,企業如果想要防範這種攻擊方式,可以安裝各家DNS伺服器廠商所釋出的更新,安裝更新將會大幅減少被此種手法攻下的機會,比如說動態TXID、隨機連接埠等機制。

此外,企業提供的網路服務,如果沒有透過暫存伺服器,也不會受到影響。

不過,雖然更新已經釋出,但更新的速度似乎並沒有想像中快。
Dan Kaminsky在7月初發表此一漏洞,根據他7月底在部落格上發表的追蹤文章,目前全球至少還有52%的DNS伺服器沒有透過更新來遏止此一漏洞。

那麼,企業本身到底能做些什麼呢?難道只能被動的等待ISP更新其DNS伺服器?事實上,包括DNS-OARC、DNSstuff.com、Kaminsky的部落格等網站,都已經提供線上的DNS漏洞檢測工具,企業可以透過這些工具檢視自己網路服務所使用的DNS伺服器是不是還未更新,進而要求服務商更新,或是更新自己的DNS伺服器。

企業可先將內部使用的伺服器更新,要完全杜絕需靠DNSsec
此外,企業除了透過線上檢測DNS漏洞工具檢查,進而要求網路服務商或企業內部負責DNS伺服器的人員更新外,企業內部的伺服器也可以先做相關的更新。以微軟為例,7月8日時就已經釋出了包括Windows 2000、XP、Server 2003、Server 2008等系統平臺的更新,微軟的DNS伺服器使用者可以直接使用Microsoft Update進行更新,單獨更新則可安裝MS08-037的安全修補程式;ISC BIND的DNS伺服器使用者,可以更新至9.5.0-P1版本;RedHat、Fedora linux等DNS伺服器的使用者,則可以直接透過yum update更新。除了這些廠商之外,多數的DNS伺服器廠商也都已經推出更新,可以直接與廠商連繫,尋求修補程式。

要完全杜絕此一漏洞,現在看來安裝DNSsec(DNS安全性擴充)會是一個好方案,DNSsec是一個針對DNS傳送網域資料做金鑰加密的擴充通訊協定,在DNSsec的規範中,每個區域都有用來加密與解密數位簽章的私密金鑰與公開金鑰,用這樣的方式,沒有擁有金鑰的惡意攻擊者,即便用上述的攻擊手法,也無法成功的假冒主要DNS伺服器,這將能有效杜絕這種猜號的攻擊模式。但是要使用DNSsec,牽涉到終端電腦必須支援,並且所有拜訪網站的DNS伺服器也都必須支援,短期間看來,還是一個不可能的任務。這也代表短期之內,惡意攻擊者永遠都有機會透過這個漏洞,對DNS伺服器展開一場樂透猜號競賽。文⊙劉哲銘
Post a Comment

Popular posts from this blog

Pairwise Master Key (PMK) vs Parewise Transient Key(PTK) vs PseudoRandom Function(PRF) vs GTK (Groupwise Transient Key)

DSSS(直接序列展頻技術) vs OFDM(正交頻率多重分割)

DTMF Relay : RTP-NTE vs SIP INFO vs SIP NOTIFY