Internet Bug Fix spenderar backlash från hackare

Hackers är en skeptisk gäng, men det stör inte Dan Kaminsky, som fick mycket flack från sina kollegor i säkerhetsforskningsgruppen efter att ha hävdat att han upptäckte en kritisk bugg i Internetens infrastruktur. Kaminsky gjorde rubriker på tisdagen av pratar om en stor fel i DNS (Domain Name System), som används för att ansluta datorer till varandra på Internet. I slutet av mars grupperade han 16 företag som tillverkar DNS-programvara - företag som Microsoft, Cisco och Sun Microsystems - och pratade dem för att lösa problemet och gemensamt släppa patchar för det.

Men några av Kaminskys kamrater var orimliga. Det beror på att han brutit mot en av de kardinala reglerna för offentliggörande: publicerar en fel utan att tillhandahålla de tekniska detaljerna för att verifiera hans upptäckt. På onsdag tog han saker ytterligare ett steg på sin blogg och bad hackare att undvika att undersöka problemet fram till nästa månad när han planerar att släppa mer information om det på Black Hats säkerhetskonferens.

[Ytterligare läsning: Bästa NAS-lådor för media streaming och backup]

Felet verkar vara en seriös som kan utnyttjas i det som kallas en "cache poisoning attack." Dessa attacker hackar DNS-systemet, med hjälp av det för att omdirigera offer till skadliga webbplatser utan deras kunskaper. De har varit kända i åratal men kan vara svåra att dra av. Men Kaminsky hävdar att han har hittat ett mycket effektivt sätt att starta en sådan attack, tack vare en sårbarhet i utformningen av DNS-protokollet självt.

På tisdag höll Kaminsky dock tillbaka från att avslöja de tekniska detaljerna om hans upptäckt.

Han sa att han ville gå offentligt med frågan för att sätta press på företagets IT-personal och Internet-leverantörer för att uppdatera sin DNS-programvara, samtidigt som de dåliga killarna i mörkret lagrade om problemets exakta natur. En fullständig offentliggörande av de tekniska detaljerna skulle göra Internet osäkert, sade han i en intervju onsdag. "Just nu behöver ingen av dessa saker gå offentligt."

Han mottog snabbt en skeptisk reaktion från Matasano säkerhetsforskare Thomas Ptacek, som bloggade att Kaminskys cacheförgiftningsattack bara är en av många avslöjanden som understryker samma kända problem med DNS - att det inte gör ett tillräckligt jobb för att skapa slumptal för att skapa unika "session ID" -strängar när du kommunicerar med andra datorer på Internet.

"Felet i DNS är att det har en 16-bitars session ID ", sa han via e-post onsdag. "Du kan inte distribuera en ny webbapp med mindre än 128-bitars session-ID. Vi har känt till det grundläggande problemet sedan 90-talet."

"Här kommer anfallet av intervjuer och mediaexplosion för en annan överhypad bugg av Dan Kaminsky "skrev en jaded (och anonym) affisch till Matasano-bloggen.

På SANS Internet Storm Center, en högt respekterad säkerhetsblogg, spekulerade en bloggare att Kaminsky's fel hade faktiskt publicerats tre år tidigare.

Kaminsky, som är chef för penetrationstestning med säkerhetsleverantören IOActive, sa att han var "vagt överraskad" av någon negativ reaktion, men att denna typ av skepticism var avgörande för hackergemenskapen. "Jag bryter mot reglerna," erkände han. "Det finns inte tillräckligt med information i det rådgivande för att ta reda på attacken och jag skryter om det."

Enligt DNS-sakkunnig Paul Vixie, en av de få personer som har fått en detaljerad briefing om Kaminskys upptäckt, är det skiljer sig från frågan som rapporterades för tre år sedan av SANS. Medan Kaminsky brister i samma område, "är det ett annat problem", säger Vixie, som är ordförande för Internet Systems Consortium, tillverkaren av den mest använda DNS-serverns programvaran på Internet.

Problemet är brådskande och bör patchas omedelbart, säger David Dagon, en DNA-forskare vid Georgia Tech som också informerades om felet. "Med glesa detaljer har några ifrågasatt om Dan Kaminsky ompaketerat äldre arbete i DNS-attacker", sa han i en e-postintervju. "Det är inte möjligt att tro att världens DNS-leverantörer skulle ha patchat och meddelat gemensamt utan anledning."

Vid dagens slut hade Kaminsky till och med vunnit sin mest vokal kritiker, Matasano's Ptacek, som utgav en retraktion på denna blogg efter att Kaminsky förklarade detaljerna i sin forskning via telefon. "Han har varorna," sade Ptacek efteråt. Medan attacken bygger på tidigare DNS-forskning, gör det cacheförgiftningsattacker extremt lätta att dra av. "Han har ganska mycket tagit det för att peka och klicka i en utsträckning som vi inte såg."

Kaminskys återstående kritiker måste vänta tills hans 7: e Black Hat-presentation för att säkert veta.

Säkerhetsforskaren sa att han hoppas att de dyker upp för hans prat. "Om jag inte har utnyttjat", sa han. "Jag förtjänar varje enskilt stycke ilska och misstro."