Αποφυγή DNS Rebinding των επιθέσεων

18η Απριλίου 2008 · από το Δαβίδ Bradley

Έχω μιλήσει για τα οφέλη OpenDNS σύστημα ως εναλλακτικό τρόπο με τους ιστοχώρους που χρησιμοποιούν παρά ISP σας DNS τους κεντρικούς υπολογιστές. Προσφέρει ενσωματωμένο phishing προστασία, φιλτράρισμα (ενήλικο περιεχόμενο, παραδείγματος χάριν), μπορεί αυτόματα να διορθώσει τα typos URL κάνετε στο φραγμό διευθύνσεων, και επιτρέπετε σε σας για να δημιουργήσετε τους συντομότερους δρόμους που μπορείτε να χρησιμοποιήσετε μέσω το δίκτυο υπολογιστών σας που πρέπει παρά να τους αναπαραγάγετε από τη μηχανή αναζήτησης στη μηχανή αναζήτησης.

Τώρα, OpenDNS έχει αντιμετωπίσει ένα άλλο σημαντικό ζήτημα ασφάλειας, αποκαλούμενο DNS Rebinding. Μια DNS rebinding επίθεση περιλαμβάνει έναν επιτιθέμενο που καταχωρεί μια περιοχή που μεταβιβάζεται σε έναν DNS κεντρικό υπολογιστή που ελέγχουν. Ο κεντρικός υπολογιστής διαμορφώνεται για να αποκριθεί με μια πολύ σύντομη χρόνος--ζωντανή παράμετρο (TTL) καθορισμένη που αποτρέπει την απάντηση από την εναποθήκευση. Μια τέτοια επίθεση μπορεί να χρησιμοποιηθεί για να υπονομεύσει την πολιτική ίδιος-προέλευσης και να μετατρέψει τη μηχανή αναζήτησης σας σε ένα πληρεξούσιο ανοικτών δικτύων.

Προκύπτον mayhem σημαίνει η αντιπυρική ζώνη ότι σας παραβιάζεται και οι χάκερ μπορούν να πάρουν την άμεση πρόσβαση στα εσωτερικές έγγραφα και τις υπηρεσίες. Με λιγότερο από $100 ένας cyber-απατεώνας θα μπορούσε προσωρινά να πειρατεψει 100.000 διευθύνσεις Διαδικτύου (IP) για να στείλει επάνω το spam τους, phish, και για να αφαιρέσει δολίως τους δηαφημιστές αμοιβή-ανά-κρότου με τη μετατροπή της μηχανής αναζήτησης σας σε αγγελία-κρότο BOT. Το OpenDNS εξηγεί το ζήτημα:

Οι ύποπτες απαντήσεις είναι DNS απαντήσεις που περιέχουν τα στοιχεία που η δύναμη είναι κακόβουλη ή ειδάλλως ανεπιθύμητη. Αντίθετα από το υπόλοιπο των φιλτράροντας χαρακτηριστικών γνωρισμάτων μας, τα οποία το φίλτρο βάσισε στην περιοχή που ανατρέχεται, φίλτρο αυτών των εργαλείων βασισμένο στο περιεχόμενο της απάντησης.

Με τη διευκόλυνση του φίλτρου για να εμποδίσει τις εσωτερικές διευθύνσεις IP που απαριθμούνται σε RFC1918, το σύστημα μπορεί να αποτρέψει τέτοιες DNS Rebinding επιθέσεις. Παραδείγματος χάριν, εάν το badstuff.attacker.com δείχνει το 192.168.1.1 (που πρέπει να είναι μια εσωτερική διεύθυνση στο δίκτυό σας), η επιλογή θα φίλτραρε έξω την απάντηση. Κάνοντας σας όλους το χρηματοκιβώτιο και τον ήχο άλλη μια φορά.

2 απαντήσεις μέχρι τώρα ↓

Δαβίδ Ulevitch // 18 Απρ. 2008 στις 5:22 μ.μ.

Ευχαριστίες για μεγάλο write-up για το νέο χαρακτηριστικό γνώρισμά μας. Σκέφτομαι ότι είναι είδος της κατάπληξης ότι είμαστε το μόνο παιχνίδι στην πόλη που προσφέρει το λεπτομερές φιλτράρισμα απάντησης ερώτησης (και το διάστημα RFC1918 είναι ακριβώς η αρχή).
Δαβίδ Bradley // 18 Απρ. 2008 στις 5:24 μ.μ.

Καλά, το επέτρεψα μόλις είδα αυτό ήμουν διαθέσιμος, πρέπει να χρησιμοποιήσετε την προστασία, σε τελευταία ανάλυση, περισσότερο σε αυτή σε μια ακόλουθη θέση που έρχεται σύντομα.

DB