Observatoire الملحظ
Derniers articles آخر ما نشر
Page d'accueil الاستقبال
KHEREDDINE 2015-2016 أين المبادئ
Signaler l'abus: plainte ou information
www.ho-net.net presentation
2011-2012تونس:مسائل راهنة
QUESTIONS URGENTES مسائل عاجلة
Profils de detresse humaine
Vie et société plus saines حياة أفضل و مجتمع أحسن
Opinions آراء
Tunisie: bien etre ou savoir faire?
Tunisie : confiants, ou credules ?
Cafeteria Culturelle منتزه ثقافي
Parole à l'image (1)
Gestion des Catastrophes التصرف في الكوارث
Offres d'assistance ou demandes d'aide
Declaration universelle: Les Textes des droits de l'homme:
Micro-mensonges et tyrannismes pour macro nuisances!
Comment promouvoir les droits de l'homme?
Changements climatiques
Rapports a propos du net et la condition humaine (dh)
Articles jadis masques depuis l'été 12
عربي
Environnement et civilisation
Guide Urgences Santé
ENGLISH
Vulgarisation du web
Mon internet
Annonces tous azimuts!
Impacts sociaux du web
Criminalité
Histoire de l'internet
Actualites internet et computering
=> Dernieres actualites securite
=> Infos bureautiques et OS...
=> Chronologie partie 1
=> Chronologie partie 2
=> Juillet 2008: la faille du DNS
=> Informatique été 2008
=> Actualites 2009-2010
Le sens des mots : Glossaire
Le tour du monde
Histoires dans la vie
Soutenez Chatt eljerid: merveilles du monde
Abonnement des mises à jour,Newsletter
Livre d'or
Contact
Search site
Qui suis je
ALMADIAFA Forum
essai
Titre de la nouvelle page
 

Juillet 2008: la faille du DNS



      INTERNET POUR INTERNET
Home      Actualités internet      DNS flaw. 7/2008
Juillet 2008: la faille du DNS.


Mais avant: c'est quoi DNS?
DNS est un système pour, entre autres choses, savoir quel numéro à utiliser pour appeler  quelqu'un sur Internet. Comme, il ya beaucoup de gens, dans beaucoup d'endroits, il n'a pas une seule possibilité. Souvent, lorsque vous questionnez  un serveur pour un nombre, il vous dit d'aller ailleurs. Et quand vous vous y rendez, vous pourriez être envoyé à une troisième destination. Ce processus - "récursivité" - est répétée à plusieurs reprises, jusqu'à ce que vous avez enfin le numéro de ce nom.

Bien sûr, sur Internet, vous n'allez pas vraiment nulle part. Ce  qui se passe réellement est que vous envoyez des messages, et vous recevez des réponses de retour. Qu'est-ce qui empêche un méchant de fournir ses propres réponses, avec son propre faux numéro pour ce que vous cherchiez?

Pas grand chose - mais pas rien.

DNS peut être considéré comme une course: Une demande est envoyée. Un bon gars et un méchant à la fois veulent faire parvenir  des réponses  qui  font  confiance.
 
 
      Le bon gars a un avantage: il voit la demande, et à l'intérieur de celle-ci, il peut trouver un numéro secret, quelque part entre zéro à soixante cinq mille. La course n'est pas gagnée jusqu'à ce que quelqu'un traverse la ligne d'arrivée avec le numéro secret, et pendant que le méchant pourrait deviner le nombre, il ne dispose que d'un 1 / 65536 chance de deviner correctement. Pire encore, le vainqueur de la course doit dire combien de temps reste  jusqu'à la prochaine course! Les chiffres peuvent travailler que cela prendra des mois, voire des années pour que le méchant arrive enfin à gagner une course.

Toutefois, il existe trois problèmes. Les deux premiers sont un peu connus. Le second est très récent.

Tout d'abord, le méchant tient le pistolet de départ. Il décide du moment où la demande part - c'est à dire il ne sais pas   ** quel est **   le nombre  secret, mais il sait en fait que la course a commencé avant le bon gars ne le sache.
 
 
Deuxièmement, le méchant n'est pas le seul. Il peut avoir autant de "coureurs" dans la course  qu'il souhaite - la course n'est finie que quand quelqu'un arrive avec le bon numéro secret. Le méchant peut essayer  un  mauvais numéro aprés l'autre ;  et jusqu'à ce que le bon type se présente avec la bonne réponse, il peut essayer encore et encore. S'il peut tirer une centaine de numéros en meme temps ainsi , la probabilité  des chances tombe  de une  pour  soixante cinq mille à une pour six cents cinquante cinq ...
 
Mais cela représente encore  un grand nombre de probabilités , et s'il perd, il devrait attendre un jour pour essayer de nouveau.

Ou il pourrait pas.


 
    ££££   Ce qu'il ya de nouveau , c'est que le méchant pourrait ne pas avoir à attendre pour commencer une autre course . DNS est en fait plus une course de relais que un sprint. Rappelez-vous, vous envoyez une requête à un serveur, et vous risquez d'obtenir une réponse qui dit "www.foobar.com? Bien sûr, voici l'adresse IP à utiliser. "Ou encore, vous pourriez obtenir un message qui dit:" www.foobar.com? Je ne sais pas, demandez ns1.foobar.com, voici son adresse. «C'est la récursivité. Ce n'est pas un bug, ou rarement utilisée. DNS est toujours vous envoyer à différents serveurs pour trouver un record - c'est de cette manière que les serveurs qui fonctionnent. Fr.

Maintenant, il ya une limite: pas n'importe quel autre nom de travail - ou autre, je pourrais revenir à vous "www.foobar.com? Oh, qui est hébergé à l'adresse www.google.com, et voici son adresse ", et vous croyez-moi. (Il ya onze ans, que de travail réellement effectuées.) Mais près de noms www.foobar.com - 1.foobar.com, 2.foobar.com, 3.foobar.com - sont dits "en bailliage". Le renvoi à un nom en bailliage doit être digne de confiance.

Et oui, l'attaque. Si quelqu'un essaie d'attaquer www.foobar.com, il ne retirez le pistolet de départ pour ce nom. Après tout, le serveur peut ne pas être prêts à sortir la recherche de www.foobar.com pendant des heures. Non, déclare-t-il pour les courses 1.foobar.com, 2.foobar.com, 3.foobar.com, et ainsi de suite.

Le méchant sera probablement perdre ces courses. Les chances, même avec un pour-cent-un avantage dans le nombre de "partants", sont contre lui.

Mais il peut fonctionner autant de courses ce qu'il veut. Et finalement, il va gagner l'un d'entre eux. Et quand il ne gagne - quand les méchants devine le numéro secret de 0 à 65536 - il ne se contentera pas de fournir une réponse pour le nom aléatoire qui a gagné. Il vous simplement feindre l'ignorance: "83.foobar.com? Je ne sais pas, demandez www.foobar.com, voici son adresse. Oh, et n'oubliez pas ceci pour la semaine prochaine. "

Il a remporté la course. Il obtient son mot à dire.

Maintenant, il ya eu quelques problèmes DNS attaques dans le passé. Amit Klein a été en mesure de deviner le secret le bon type de retour. Joe Stewart a pu causer de nombreux numéros de secret pour être accepté. Mais aucune des attaques pourraient l'emporter sur une course qui a déjà été gagnée. Une fois un serveur de noms est le stockage - cache - le numéro un prénom, il sera tout simplement pas une autre race de ce nom. Pourquoi devrait-il? Il connaît le numéro!

Joe's attaque besoin d'une autre course à www.foobar.com. Amit l'attaque de besoins pour une autre race www.foobar.com.

Dans mon attaque, nous n'avons jamais course à www.foobar.com. Nous course pour un autre nom entièrement. C'est un problème. Il a fallu beaucoup de travail à l'adresse.

===

D'ailleurs, certaines personnes voulaient plus de détails sur les chiffres. Voici ce que je peux dire:

1) le balayage net est ouvert récursive des serveurs de noms - oui, ce n'est pas grand. Mais si personne ne l'utilisant 'em, personne ne sont vulnérables. Et si c'est une récursive serveur de nom sur l'Internet, il ya de bonnes chances personne est géré pendant plusieurs années. Je suis en train de travailler sur la mesure de la résistance de ces hacks.

2) Beaucoup et beaucoup de lieux importants n'ont pas patché.

3) Je n'ai pas encore reçu mon script de test à traiter correctement iptables et pf randomisation. Il s'agit d'obtenir travaillé sur - Damn you créateurs et votre astuces!

4) De 8 au Juillet Juillet 9e, 4242 de 5000 essais activement géré par les utilisateurs derrière un nom unique a montré que les serveurs serveur pour être vulnérables. C'est à peu près 85%. Aujourd'hui, Juillet 25, la dernière 5000 tests (sur les six dernières heures) unique de serveurs de noms uniquement 2503 de 5000 vulnérables - juste au-dessus de 50%. Maintenant, je ne vais pas le nier. Il ya biais de sélection. C'est un échantillon limité. Il existe des tonnes et des tonnes de unpatched fournisseurs de services Internet. Cela est d'autant vrai.

Vous savez quoi? Beaucoup de gens ont fait beaucoup de travail à faire baisser ce chiffre. Il faut faire davantage, mais 13 jours fait une différence, et c'est génial de le voir. 
< /div>
 
     



Aujourd'hui sont déjà 76 visiteurs (156 hits) Ici!
Ce site web a été créé gratuitement avec Ma-page.fr. Tu veux aussi ton propre site web ?
S'inscrire gratuitement