Tietoturva nyt!

9.7.2008

Nimipalvelun välimuistitietojen väärentäminen

Uudet tutkimukset ovat vauhdittaneet välimuistitietojen myrkyttämiseen (DNS cache poisoning) liittyvää keskustelua.

Työaseman ja nimipalvelimen (tai nimipalvelimen ja nimipalvelimen) välinen liikennöinti tapahtuu pääosin UDP-protokollan päällä. Tämän protokollan käyttö antaa hyökkääjälle mahdollisuuden väärentää verkkoliikennettä niin, että se näyttää tulevan nimipalvelimelta. Väärennetyllä liikenteellä hyökkääjä voi "myrkyttää" joko työaseman tai palvelimen välimuistin väärällä tiedolla. Myrkytetyn välimuistin avulla hyökkääjä voi esimerkiksi ohjata työasemalta avatun yhteyden kulkemaan hyökkääjän hallussa olevalle vihamieliselle palvelimelle.

Väärennettyjä vastauksia vastaan on määritelty eräitä suojautumiskeinoja. Jo vuosia sitten tehdyissä tutkimuksissa on osoitettu, että kyseisiä suojautumiskeinoja ei ole toteutettu riittävällä huolellisuudella (katso lisätiedot). Uusien tutkimusten valossa useat valmistajat ovatkin koordinoidusti päätyneet korjaamaan nimipalveluihin liittyviä toteutuksiaan. Korjauksia on saatavilla sekä työasemiin että palvelimiin. CERT-FI epäilee lisäksi, että osa kotikäytössä olevista päätelaitteista voivat olla haavoittuvia. Epäilys koskee esimerkiksi sellaisia laajakaistamodeemeja, jotka sisältävät ominaisuuden toimia nimipalvelimena.

Lisätietoa

• Roberto Larcher / Predictability of Windows DNS resolver
• Ian Green / DNS Spoofing by The Man In The Middle

Sivua päivitetty 09.07.2008

Tulostusversio