DNS: Случилось страшное...

[chEbba Профиль ICQ]

В протоколе DNS была обнаружена практически используемыя дыра. Не в каком-то конкретном клиенте, но в самом протоколе. Причём известна-то она была давным-давно, но все "эксперты" сходились на том, что "ну в теории это - может и проблема, но на практике это использовать невозможно". Но не так давно был изобретён способ практического использоваться "cache poisoning" - и это спутало все карты. Похоже, что это - очередное испытание Интернета на прочность: планируется "largest synchronized security update in the history of the Internet", в котором должны будут участвовать десятки вендоров (что не так страшно) и сотни и тысячи ISP (а вот это уже страшнее - многие из них очень халатно относятся к обновлению ПО на серверах).

На настоящее время информации в публичном доступе немного. Есть (авторизуйтесь для просмотра ссылок), есть (авторизуйтесь для просмотра ссылок) на котором вы можете проверить - используется ли ваш компьютер уязвимый DNS или нет (на самом деле, конечно, будет проверен не ваш DNS, а DNS, которым пользуется ваш proxy-сервер).

Также есть некоторая информация о возможных последствиях: злоумышленник может заставить кеширующий DNS-сервер считать что любой сайт в Internet находится где угодно. Какие перспективы для злоупотреблений это открывает мне, я надеюсь, объяснять не нужно (что будет если SMTP-сервер вашего партнёра научат отсылать вашу почту не сразу к вам, а на сайт злумышленника - а оттуда уже к вам?).

Дэн Камински обещал опубликовать подробности на пресс-конференции 6го августа, но предполагается что к тому времени (на основе опубликованных патчей) она будет уже известна многим (и не все эти люди будут носить "белые шляпы").

Такие дела. Большая часть (авторизуйтесь для просмотра ссылок) трубят о том, что "закрыта фундаментальная уязвимость", но вот первое слово - тут явно по ошибке. Не "закрыта", а "закрывается" и когда она будет "закрыта" окончательно - одному богу ведомо.

P.S. Для тех кто в танке: речь не идёт о теоретических изысканиях в вопросе уязвимости DNS-протокола (про это говорили ещё два года назад). Речь идёт о практическом использовании данной узявимости - причём с вероятностью успеха достаточной для того, чтобы засуетелись крупные фирмы типа Cisco, Microsoft (не говоря уже о Linux-вендорах).

P.P.S. Обнаружил что про это уже писали, но так как то был топик ссылка, то, похоже, никому не захотелось даже прочить статью, на которую вела ссылка. Все дружно отплюсовали комментарии типа "боян", "фигня", "практически это использовать нельзя" и т.п., после чего успокоились. "Боян" это или "фигня" мы точно узнаем только 6 августа, а пока - для меня является достаточным критерием тот факт, что все известные мне системы были срочно обновлены вчера-позавчера. Не "два года назад", не "месяц" назад, а "буквально на днях". Что-то же заставило кучу вендоров это делать? Или они все борются с ветряными мельницами?

From (авторизуйтесь для просмотра ссылок)

[genne Профиль]

Такие дырки быстро заштопывают, бояться нечего!

[Pho-NON Профиль ICQ]

мне поровну = )) я деньгами в инете не оперирую

[KriG Профиль СайтICQ]

Вчера для убунты вышла большая заплатка, во многих пакетах имена начинались с dns. Что это было - хз, но шли в секурити секции, поэтому все поставил

[x_alex Профиль]

Отравление кэша находят не впервые для dns. К тому же для авторитетных ns-серверов не актуально, только для кеширующих.