Undersökning: En DNS-server på 10 är "trivial sårbar"

Mer än 10 procent av internetets DNS-domännamn (Domain Name System) -servrar är fortfarande sårbara för cache-förgiftningsattacker, enligt en världsomspännande undersökning av Internet-namnservrar på Internet.

Det är trots Det var flera månader sedan sårbarheterna avslöjades och korrigeringar gjordes tillgängliga, sade DNS-sakkunnig Cricket Liu, vars företag Infoblox, beställde årlig undersökning. "

" Vi uppskattar att det finns 11,9 miljoner namnservrar ute och över 40 procent tillåter öppen rekursion, så de accepterar frågor från någon. Av dem är kvart inte patched. Så det finns 1,3 miljoner nameservers som är trivialt sårbara, säger Liu, som är Infoblox vice president för arkitektur. [

[Ytterligare läsning: Så här tar du bort skadlig kod från din vind ows PC]

Andra DNS-servrar kan möjligen tillåta rekursion, men är inte öppna för alla, så de hämtades inte av undersökningen, sade han.

Liu sa att cache-förgiftningen är sårbar, som ofta heter Dan Kaminsky, säkerhetsforskaren som publicerade detaljer om den i juli, är äkta: "Kaminsky exploaterades inom några dagar efter att ha blivit offentligt", sade han.

Moduler som riktar sig till sårbarheten har lagts till i hacknings- och penetrationsverktyget Metasploit, till exempel. Ironiskt nog var en av de första DNS-servrarna som komprometterades av en cache-förgiftningsattack en som användes av Metasploits författare, HD Moore.

För närvarande är motsatsen till cacheförgiftningsfel portportalisering. Genom att skicka DNS-frågor från olika källportar gör det det svårare för en angripare att gissa vilken port som ska skicka förgiftad data till.

Detta är bara en partiell åtgärd, varnade Liu. "Port randomisering mildrar problemet men det gör inte en attack omöjlig," sa han. "Det är egentligen bara ett stopp på vägen till kryptografisk kontroll, vilket är vad DNSSEC-säkerhetsförlängningarna gör.

" DNSSEC kommer att ta mycket längre tid att genomföra, eftersom det finns mycket infrastruktur involverad - nyckeln hantering, zon signering, public key signering och så vidare. Vi trodde vi kunde se ett märkbart upptag i DNSSEC-adoptionen i år, men vi såg bara 45 DNSSEC-poster ur ett miljonprov. Förra året såg vi 44. "

Liu sa att den positiva sidan visade upp en rad goda nyheter. Till exempel stöd till SPF - avsändarpolitiken, som bekämpar e-postspoofing - har ökat under de senaste 12 månaderna från 12,6 procent av zonerna som samplades till 16,7 procent. Dessutom har antalet osäkra Microsoft DNS Server-system anslutna till Internet minskat från 2,7 procent av det totala till 0,17 procent. Liu noterade att Dessa system skulle fortfarande kunna användas inom organisationer, men sade att det är viktigt att "människor skakar bort från att ansluta dem till Internet."

Liu sa att endast organisationer med ett specifikt behov av öppen rekursiv DNS servrar - och den tekniska förmågan att hålla dem översvämmade - bör köra dem.

"Jag skulle gärna vilja se hur mycket procent av öppna rekursiva servrar går ner, för även om de är lappade gör de stora förstärkare för förnekelse -attack-attacker ", sa han." Vi kan inte bli av med rekursiva servrar, men du behöver inte låta bara någon använda dem. "