Veřejné DNS servery Googlu obětí únosu

18. 3. 2014

Podle Twitterového kanálu společnosti BGPmon došlo v sobotu 15. března 2014 k únosu IP adresy 8.8.8.8/32, na které běží známá služba Google Public DNS. Únos trval přibližně 22 minut a postihl zejména Brazílii a Venezuelu. K únosu byl zřejmě použit protokol BGP, prostřednictvím kterého byla IP adresa DNS serveru ohlášena z autonomního systému AS7908, který patří venezuelské pobočce telekomunikačního giganta BT.

Není jisté, zda se jednalo o chybu konfigurace nebo cílený útok typu Man-in-the-Middle. V každém případě je únos veřejného rekurzivního DNS serveru, který denně obslouží 150 miliard dotazů, alarmující zprávou. Jedinou cestou, jak detekovat podobné problémy je validace DNSSEC co nejblíže koncovému uživateli, například pomocí rozšíření DNSSEC validator do webového prohlížeče. O zranitelnostech protokolu BGP, včetně tzv. neviditelného únosu podle Pilosov & Kapela, přednášel Ondřej Surý na konferenci IT09.

Zdroj: The Hacker News

Našli jste v článku chybu?

Zasílat nově přidané názory e-mailem

Aktualita je stará, nové názory již nelze přidávat.

18. 3. 2014 15:35

Kolemjdouci (neregistrovaný)

To nekdo rozumny akceptuje? S celym Ceckem by asi slavili vetsi uspech.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
18. 3. 2014 15:43

Ondřej Caletka

Zlatý podporovatel

Taky si myslím, že ve skutečnosti ohlašovali /24, ale na twitteru bylo napsáno /32.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
19. 3. 2014 6:56

petr_p (neregistrovaný)

Já vám nevím, ale když můžou oznamovat prefix DNS serveru, tak rovnou můžou oznamovat prefix konkrétního serveru, kam by podvržený DNS překlad směroval. Jinak řečeno DNSSEC je při tomto typu útoku k ničemu.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
19. 3. 2014 7:46

d.c. (neregistrovaný)

Kdyz by bylo DNSSEC vsude nasazene a overovalo se na spravnem miste, tak by se asi uzivatel nedozvedel v pripade zamerne spatneho smerovani spravnou odpoved, ale aspon by se nedozvedel spatnou.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
19. 3. 2014 8:10

Filip Jirsák

Stříbrný podporovatel

Záleží na úhlu pohledu. DNS má poskytovat platné záznamy – to, že lze stejný způsob útoku použít i pro útok na cílový server, aniž by bylo nutné falšovat DNS záznamy, vlastně nemusí správce DNS zajímat. Cílový server je potřeba také chránit, pokud jde třeba o web, pak použitím HTTPS. Můžete namítnout, že HTTPS by řešilo uvedený problém i bez DNSSEC. Ano, dnes by to řešilo – ale připravuje se i možnost dávat serverové certifikáty do DNS, pak by DNSSEC bylo potřeba.
Každopádně to ukazuje na nutnost validovat DNSSEC co nejblíže uživateli, určitě ne dál, než v lokální síti.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
19. 3. 2014 9:02

j (neregistrovaný)

Mr Caletka, DNSSEC je naprosto lautr khownu. Googli DNS totiz neposkytuje zadny autoritativni zaznamy, a pokud bych cilene unasel prave takovy DNS server, tak rozhodne ne proto, abych posilal falesne odpovedi. Treba mi staci to, ze ziskam velmi zajimava data o uzivatelich toho dns.

A to nemluvim o tom, ze pokud bych chtel utocit na konkretni sit/osobu ... tak je mu DNSSEC k hownu 10x ... protoze mu samozrejme podvrhnu VSECHNY DNS dotazy - tedy i ty, ktere se budou snazit o overeni v TLD. Tudiz mu jeho validator spokojene zahlasi, ze je vsechno OK.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
19. 3. 2014 9:07

Ondřej Caletka

Zlatý podporovatel

Milý pane j, opět plácáte nesmysly. Jak chcete podvrhnout elektronické podpisy v RRSIG záznamech bez znalosti privátních klíčů?
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
19. 3. 2014 12:46

j (neregistrovaný)

Aha, mr placal vubec nema ani paru jak funguje overovani dnssec ....

Takze caletka, overovani dnssec (pro tebe a dalsi retartovane) je zalozeny na tom, ze resolver si klic overi u nadrazeneho serveru ... kdyz se k nemu nedostane, nebo kdyz jeho odpoved vrati utocnik, tak ji bude povazovat za zcela korektni.

Privatni klice si muzu nagenerovat do zasoby a muzu jich mit kolik chci ...

Ale to by podobni placalove museli aspon tusit jak to (ne)funguje, ze ...

Ano, ciste teoreticky by resolver mohl mit u sebe klice vsech tld ... a nejak (asi telepaticky) je pravidelne obnovovat. Pak by byl schopen zjistit, ze odpoved nepochazi od toho spravneho serveru.

DNSSEC zarucuje jedine - ze mi cizi dns server nepodvrhne odpoved, pokud mam pristup k nadrazenemu DNS serveru (a domena je podepsana samo).
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
19. 3. 2014 13:11

Petr Krčmář

Zaprvé by bylo fajn, kdybyste přestal ve slušné debatě lidi označovat za blbce a začal komunikovat trochu normálně.

Zadruhé: Očividně jste jediný, kdo tu netuší, jak DNSSEC funguje. Klient (rekurzor) má u sebe veřejné klíče ke kořenové zóně a všechny odpovědi v celém řetězci musí být podepsané, pokud má doména DNSSEC. Takže když se řetěz přeruší, považuje se odpověď za nevalidní.

Pokud koncová doména DNSSEC nemá, tak musí po cestě přijít podepsaná informace o tom, že bude zbytek řetězce bez DNSSEC. Takže se nedá nafintit, že třeba www.root.cz nemá DNSSEC a doplnit do nepodepsané odpovědi falešné podpisy.
- Zobrazit celé vlákno
- Skok na další nový názor. K navigaci lze použít i klávesy N pro následující a P pro předchozí nový názor
19. 3. 2014 13:14

Filip Jirsák

Stříbrný podporovatel

Prázdný sud nejvíc duní. Jediný, kdo tady plácá nesmysly, jste vy.

Kořenová zóna už je nějaký ten pátek podepsaná. Zbytek si snad dokážete dostudovat sám.
- Zobrazit celé vlákno

Zasílat nově přidané názory e-mailem

Líbí

Nelíbí

Ondřej Caletka

Ondřej Caletka vystudoval obor Telekomunikační technika na ČVUT a dnes pracuje ve vzdělávacím oddělení RIPE NCC, mezinárodní asociaci koordinující internetové sítě.

Témata:

Google

Sdílet

Byl pro vás článek přínosný?

Autor zprávičky

Ondřej Caletka

Témata:

Veřejné DNS servery Googlu obětí únosu

Sdílet

Byl pro vás článek přínosný?

Autor zprávičky

Ondřej Caletka

Témata:

Dále u nás najdete

„Letní sádra“ sice může do vody, na plavání a tobogány ale zapomeňte

Výrobce koupelnového vybavení Laufen čeká oživení poptávky

Vypněte si sledování v novém Firefoxu

Příčina obřího IT výpadku? Chyba aktualizace

Motání hlavy může být způsobeno problémy s krčními tepnami

Jsou prompty pro AI chatboty autorským dílem?

Labioplastika neslouží jen vyššímu sebevědomí

Popálená tvář, zlomená páteř. Elektřina mrzačí i bez doteku drátů

Impregnace škodí životnímu prostředí i zdraví

Nevyléčitelně nemocní získají příspěvek automaticky

Allegro v ČR spouští výdejní boxy, WE|DO se mění na One by Allegro

Tesco na jedné straně plasty šetří, na druhé jimi ale plýtvá

Zmatek u důchodové reformy, stejný termín pro dvě opatření

Revmatická horečka už nepatří mezi běžná onemocnění

Kolik a čeho mají vypít při sportu v horkém létě

Chráníme totožnost podatele podnětu, tvrdil úřad

Proč vystavujeme zápočtový list a proč ho vyžadujeme?

Musk: Humanoidní roboty začne Tesla používat už příští rok

Test Wi-Fi 7 vs. Wi-Fi 6: Další zvýšení rychlostí

Trdlokafe otevřelo první pobočku v USA