| Cập nhật lúc 22h ngày 25/07/2008 |
| 1. |
Công cụ tự động đang được phát tán rộng rãi trên Internet. |
| 2. |
Đã xuất hiện một số vụ tấn công trên thế giới. Có dấu hiệu cho thấy
hacker sử dụng mạng botnet vào việc tấn công DNS server khiến hiệu quả
tấn công gia tăng nhiều lần về tốc độ và hiệu quả. |
| 3. |
Một số công cụ được các cá nhân và tổ chức phát triển:
- BkavDNSCheck (có thể không chính xác trong trường hợp có thiết bị NAT nằm trước DNS server)
- Cache audit tool
- Snort rule để phát hiện tấn công |
| 4. |
Lưu ý dành cho quản trị DNS server: nếu có hệ thống NAT/PAT đặt
trước DNS server thì cần lưu ý và xử lý khả năng thiết bị NAT/PAT sẽ vô
hiệu hóa khả năng random port của DNS server, làm cho DNS server tiếp
tục có khả năng bị tấn công mặc dù đã update đầy đủ bản vá. |
Tổng quan
Nhiều hệ thống DNS đang hoạt động chấp nhận xử lý đồng thời nhiều yêu cầu truy vấn (query) của một tên miền duy nhất, đặc điểm này cho phép tin tặc dễ dàng tấn công vào các DNS server có chức năng hỏi hộ (recursive) và lưu giữ kết quả (caching) với mục đích làm thay đổi ánh xạ tên miền và hướng người dùng đến một địa chỉ IP bất hợp lệ tuỳ ý.
I. Mô tả
Sơ đồ tổng quan kịch bản tấn công:
Đối tượng tin tặc nhắm đến là các DNS server có các đặc điểm sau đây:
- Phục vụ nhiều người dùng.
- Có chức năng hỏi hộ (recursive) và lưu giữ kết quả (caching).
- Có điểm yếu: chấp nhận xử lý đồng thời nhiều yêu cầu truy vấn (query) của một tên miền duy nhất.
- Sử dụng 1 port nguồn (UDP hay TCP) cố định và duy nhất cho tất cả các request.
- (Tuỳ chọn) không kiểm tra chặt chẽ tính chính xác và logic của phần thông tin thêm (addition records) trong các DNS reply trả về.
Ghi chú: khảo sát sơ bộ cho thấy hầu hết các DNS server đang hoạt động tại Việt Nam đang có các đặc điểm này!
Kịch bản tấn công:
- Tin tặc gửi đồng loạt Q request về một tên miền bất kỳ (trong hình trên là www.abc.vn) cho DNS server có điểm yếu (trong hình trên là máy chủ DNS RA).
- Ngay sau đó sẽ đồng loạt gửi R reply giả mạo trả lời từ máy chủ AA về máy chủ RA với các giá trị định danh QID thăm dò là ngẫu nhiên.
- Nếu QID trong một reply giả mạo được chấp nhận (khả năng các nhà toán học tính toán được là rất cao, xin xem thêm phần tính toán thống kê bên dưới) RA sẽ cập nhật vào cache và từ đó về sau sẽ trả lời tên miền www.abc.vn có địa chỉ là 169.15.X.X là địa chỉ mà tin tặc muốn người dùng hướng vào (địa chỉ đúng là 203.162.X.X).
Tính toán thống kê:
Tính toán của Vagner Sacramento (Department of Computer Science and Applied Mathematics / Federal University of Rio Grande do Norte) tại địa chỉ http://www.kb.cert.org/vuls/id/457875 được tóm tắt trong bảng sau:
Máy chủ DNS |
Số lượng request cần gửi đồng thời (Q) |
Số lượng gói tin giả mạo tin tặc cần gửi (R) |
Không random port |
1 |
32.7 ngàn (215) |
Không random port |
4 |
10.4 ngàn |
Không random port |
200 |
427 |
Không random port |
Không giới hạn |
426 |
Có random port |
1 |
2.1 tỷ (231) |
Có random port |
4 |
683 triệu |
Có random port |
200 |
15 triệu |
Có random port |
Không giới hạn |
109 ngàn |
Bảng tính toán: Số lượng gói tin (giả mạo reply từ AA) mà tin tặc cần gửi (giá trị R trong hình minh hoạ trên) để có xác xuất thành công 50% |
Như vậy chỉ cần gửi Q=200 request đồng thời về một tên miền và gửi R=427 reply giả mạo thì tin tặc có khả năng dự đoán QID thành công là 50%.
II. Tác hại
Hacker có thể lợi dụng yếu điểm này để triển khai tấn công quy mô lớn và toàn diện vào các hệ thống DNS gây tác hại trực tiếp đến người dùng internet, phát tán mã độc, lừa đảo. Thông qua việc hướng số lượng lớn người dùng vào một website để phát động tấn công DDOS quy mô lớn vào các hệ thống thông tin bất kỳ.
III. Giải pháp
III.1. Dành cho các ISP, hosting provider, cá nhân-tổ chức sở hữu và quản lý máy chủ DNS
- Theo dõi và cập nhật ngay lập tức các bản vá dịch vụ DNS đang sử dụng trên các DNS server.
- Kiểm tra, rà soát và khắc phục khẩn trương các đặc điểm của DNS server mà tin tặc đang lợi dụng để tấn công (không random port, phục vụ nhiều request đồng thời, không kiểm tra phần addition records, …). Có thể áp dụng chức năng hỗ trợ random port của firewall nếu phần mềm DNS đang sử dụng không hỗ trợ (tham khảo http://cipherdyne.org/blog/2008/07/mitigating-dns- cache-poisoning-attacks-with-iptables.html).
- Tăng cường theo dõi, thống kê và có kế hoạch phản ứng thích hợp khi phát hiện dấu hiệu tấn công (tăng vọt số lượng DNS request đồng thời của một tên miền hay người dùng thông báo các hiện tượng lạ).
- Xem xét giảm thời gian lưu giữ tạm thời (TTL) các bản ghi trên cache máy chủ DNS (nếu có thể)
III.2 Dành cho người dùng Internet
- Tạm thời nên sử dụng các DNS server đã khắc phục lỗi. Tạm thời người dùng có thể sử dụng máy chủ OpenDNS có địa chỉ 208.67.222.222, 208.67.220.220.
- Cập nhật đầy đủ các bản vá của hệ điều hành, phần mềm diệt virus và tăng cường phòng bị trong thời gian tới.
Các hệ thống có khả năng bị ảnh hưởng
Tham khảo
Cám ơn (Credit)
Dan Kaminsky, Vagner Sacramento, CAIS/RPN, US-CERT/CC, Dương Ngọc Thái và nhiều cá nhân tổ chức đã nỗ lực đóng góp nhiều thông tin và ý kiến quý báu.
(Credit for English reader)
Thanks to Vagner Sacramento, DIMAp-UFRN. This vulnerability was discovered by Vagner Sacramento during the development of his master thesis in the DIMAp/UFRN (Department of Computer Science and Applied Mathematics / Federal University of Rio Grande do Norte) under the orientation of Prof. Thais Vasconcelos Batista and Prof. Guido Lemos de Souza Filho.
CAIS/RNP (the Brazilian Research Network CSIRT) publicly reported the vulnerability after conducting several experiments in order to validate its claims.
Other Information
Ngày thông báo |
23/07/2008 |
Ngày cập nhật sau cùng |
23/07/2008 |
VNCERT-ID |
CBND 08-003 |
Mức độ nguy hiểm |
cao |
Mọi thắc mắc hay ý kiến đóng góp xin liên hệ địa chỉ email chính thức của VNCERT (office {at} vncert [.] vn)
| 
