Tietoturva nyt!

29.8.2008

Avoimia nimipalvelimia suojattu kohtuullisesti

CERT-FI selvitti viikon 32 aikana, kuinka hyvin suomalaisten fi-päätteisten verkkotunnusten nimipalvelimet on suojattu. Selvityksessä tutkittiin sallivatko palvelimet rekursiivisia kyselyitä koko internetistä ja tekevätkö ne iteratiivisia kyselyitä riittävän satunnaisista lähdeporteista.

Selvityksen tuloksista julkaistiin 11.8.2008 yhteenvetona Tietoturva nyt! -artikkeli. Samassa yhteydessä lähestyimme puutteellisesti suojattujen nimipalvelimien omistajia infokirjeellä, jossa kehotamme ylläpitäjiä asentamaan palvelimiinsa uusimmat tietoturvapäivitykset CERT-FI Haavoittuvuustiedotteissa 087/2008, 088/2008 ja 100/2008 mainituilla tavoilla. Lisäksi kehotimme myös harkitsemaan, onko nimipalvelimen tarpeellista sallia rekursiivisia kyselyjä koko internetistä.

Kuluvan viikon aikana testasimme viikon 32 selvityksessä tutkitut palvelimet uudestaan, sekä lähdeporttien satunnaisuuden että avoimesti koko internetistä sallittavien rekursiivisten kyselyiden osalta. Samassa yhteydessä viikon 32 selvityksen tulokset tutkittiin uudestaan ja niiden laskentatavassa havaittiin forwarderiksi konfiguroitujen nimipalvelimien osalta pieniä epätarkkuuksia, jotka korjattiin. Tulokset tarkentuivat muun muassa avoimien palvelimien kokonaismäärän osalta. Alkuperäisessä laskennassa avoimia palvelimia havaittiin 1391 kappaletta. Tarkistuslaskennassa määrä tarkentui lukemaan 1180.

Alkuperäiset 11.8.2008 julkaistut tulokset olivat seuraavat:

Tarkistuslaskennassa havaittiin lähdeporttien satunnaisuuden GREAT-luokan tulosten määrittämiseen käytetyssä laskentatavassa epätäsmällisyys, joka suurensi GREAT-luokituksen saaneiden nimipalvelinten määrää. Korjatut viikolla 32 kerättyyn aineistoon perustuvat tulokset ovat seuraavat:

Kuluvalla viikolla tehdyn uuden testauksen päämääränä oli selvittää miten CERT-FI:n ensimmäisen selvityksen tulosten perusteella puutteellisesti suojattujen nimipalvelimien ylläpitäjille lähetetyt infokirjeet olivat vaikuttaneet tilanteeseen. Tämän viikon selvityksen tulokset olivat seuraavat:

Rekursiiviset kyselyt koko internetistä sallivien palvelimien kokonaismäärä oli 1083. Avoimia nimipalvelimia oli siis 97 kappaletta vähemmän kuin ennen infokirjeiden lähettämistä. POOR-luokituksen omaavien eli liian ennalta-arvattavia lähdeportteja käyttävien palvelinten määrä oli vähentynyt 111:lla. Merkittävä osa POOR-luokkaan kuuluvien nimipalvelimien määrän muutoksesta johtuu siitä, että erityisen usein juuri tämän luokituksen saaneista nimipalvelimista avoimen rekursion tarjoaminen oli poistettu. Tämä toimenpide pienentää riskiä joutua nimipalvelutietojen vääristymiseen johtavan hyökkäyksen kohteeksi. GOOD- ja GREAT-luokituksen saaneiden määrä on noussut hieman. Infokirjeiden voidaan todeta vaikuttaneen tyydyttävästi, mutta on silti todettava, että puutteellisesti suojattujen nimipalvelimien osuus on yhä merkittävä.

Lisätietoa

• Lisätietoa DNS-kyselyihin käytettyjen lähdeporttien satunnaisuuden määrittämisessä käytetystä luokituksesta: https://www.dns-oarc.net/oarc/services/porttest

Sivua päivitetty 29.08.2008

Tulostusversio