Jag filmade en olycka, får jag lägga upp på Youtube? Spårad: integritet på nätet med Parisa Amiri
Felet upptäcktes för flera månader sedan av IOActive-forskaren Dan Kaminsky, som arbetade tidigt En del av detta år med Internet-programvaruleverantörer som Microsoft, Cisco och Internet Systems Consortium att klara problemet.
Företagen släppte en åtgärd för felet för två veckor sedan och uppmanade företagsanvändare och Internetleverantörer att klistra in sina DNS-system Så snart som möjligt. Även om problemet kan påverka vissa hemmabrukare, anses det inte vara ett viktigt problem för konsumenterna, enligt Kaminsky.
[Vidare läsning: Bästa NAS-lådor för media streaming och backup]
Vid det tillkännagav han fel, bad Kaminsky medlemmar av säkerhetsforskningsgemenskapen att hålla fast vid offentlig spekulation om sin exakta natur för att ge användarna tid att klistra in sina system. Kaminsky hade planerat att avslöja detaljer om felet under en presentation vid Black Hats säkerhetskonferens som sattes fram den 6 augusti.Några forskare tog begäran som en personlig utmaning för att finna felet före Kaminskys samtal. Andra klagade över att hållas i mörkret om de tekniska detaljerna om hans upptäckt.
På måndagen tog Zynamics.com vd Thomas Dullien (som använder hackernamnet Halvar Flake) [Cq] en gissning på felet och medgav att han kände väldigt lite om DNS.
Hans resultat bekräftades snabbt av Matasano Security, en säljare som hade blivit orienterad om frågan.
"Katten är ur väskan." Ja, Halvar Flake fann ut felet Dan Kaminsky kommer att meddela på Black Hat ", sa Matasano i en bloggpost som togs bort inom fem minuter från klockan 1:30 Östra publikationen. Kopior av posten cirkulerade snart på Internet, varav den ena betraktades av IDG News Service.
Matasanos inlägg diskuterar tekniska detaljer om buggan och säger att med hjälp av en snabb Internetanslutning kan en angripare starta det som är känt som en DNS-cache-förgiftningsattack mot en domännamnsserver och lyckas till exempel omdirigera trafik till skadliga webbplatser inom cirka 10 sekunder.
Matasano-forskaren Thomas Ptacek avböjde sig för att kommentera huruvida Flake faktiskt hade räknat ut felet eller inte, men i en telefonintervju sa han att föremålet hade blivit "oavsiktligt upplagt för tidigt". Ptacek var en av de få säkerhetsforskare som hade fått en detaljerad orientering om buggan och hade kommit överens om att inte kommentera det innan uppgifter offentliggjordes.
Matasanos inlägg bekräftade oavsiktligt att Flake hade korrekt beskrivit felet, erkände Ptacek.
Ptacek bad sent på måndagen till Kaminsky på sin företagsblogg. "Vi ångrar att det sprang," skrev han. "Vi tog bort det från bloggen så snart vi såg det. Tyvärr tar det bara sekunder för internetpublikationer att sprida."
Kaminsky attacker utnyttjar flera kända DNS-fel som kombinerar dem på en ny väg, sa Cricket Liu vice president för arkitektur med DNS-apparatleverantör Infoblox, efter att ha tittat på Matasano-posten.
Felet har att göra med hur DNS-klienter och servrar får information från andra DNS-servrar på Internet. När DNS-programvaran inte känner till den numeriska IP-adressen (Internet Protocol) för en dator, frågar den en annan DNS-server för denna information. Med cacheförgiftning tränger angriparen DNS-programvaran till att tro att legitima domäner, till exempel idg.com, lägger till skadliga IP-adresser.
I Kaminsky's attack innehåller ett cache-förgiftningsförsök även det som kallas "Extra Resource Record" -data. Genom att lägga till dessa data blir attacken mycket kraftigare, säger säkerhetseksperter. "Kombinationen av dem är ganska dålig," sade Liu.
En angripare kan starta en sådan attack mot en internetleverantörs domännamnsservrar och sedan omdirigera dem till skadliga servrar. Genom att förgifta domännamnsposten för www.citibank.com kan till exempel angriparna omdirigera Internetleverantörens användare till en skadlig phishing-server varje gång de försökte besöka banksidan med sin webbläsare.
Kaminsky nekade att bekräfta att Flake hade upptäckt sin fråga, men i en utstationering till sin webbplats måndag skrev han "13> 0", tydligen en kommentar som de 13 dagars administratörerna måste klara sina fel innan offentliggörandet är bättre än ingenting.
" Patch. Idag. Nu. Ja, stanna sent, "skrev han.
Han har skrivit ett test på sin webbplats som alla kan springa för att hitta om deras nätverkets DNS-programvara är lappat.
Experter: Oracle Database Option Prishöjningar Ingen olycka
Experter säger att det finns en avsiktlig strategi bakom Oracles beslut att höja kostnaden för vissa databaser -ons.
Om du letar efter en bärbar GPS-navigationsenhet med en mammot skärm, kan Magellans nya RoadMate 1700 ($ 300, per den 4 november 2009) bara vara rättvisande. saken. Mäter 7,5 med 4,2 med 0,6 tum och väger in i en stor 10,7 ounce, 1700 är stor nog för att packa en gigantisk 7-tums skärm.
Större är dock inte alltid bättre. I ett stort fordon, till exempel en RV eller en lastbil, är RoadMate 1700 förmodligen den perfekta storleken, eftersom avståndet mellan föraren och GPS är större än i en bil. I min Camry tog dock 1700 upp för mycket dashboardutrymme och, beroende på monteringsplatsen, skapade distraherande blinda fläckar.
Larrabee Projekt ett olycka för Intels juridiska strider
Intel tillkännagav att det diskreta grafikkortet Larrabee Project blev borttaget. Juridiska strider med Nvidia satte sannolikt utvecklingen tillbaka.