Bug DNS : les hypothèses de Netasq
Le bug DNS annoncé en début de semaine continue de susciter de nombreuses réactions. Le lillois Netasq livre son analyse ce jeudi 10 juillet, à partir des informations disponibles tout en précisant qu'il faudra attendre le mois d'août pour en être sûr. Pour Netasq, l'importance de l'attaque réside dans le fait que la majorité des serveurs DNS sont vulnérables lorsqu'ils interrogent un autre serveur DNS (requête récursive). L'exploitation de cette faille permet de faire passer de fausses réponses DNS pour des réponses correctes ("DNS spoofing"). Pour Netasq, l'analyse des correctifs appliqués au serveur DNS BIND montre que la génération des éléments variables des paquets DNS a été modifiée pour les rendre plus aléatoires. Netasq suppose que l'attaque se base sur la possibilité de deviner les éléments aléatoires nécessaires pour créer une réponse au bon format (DNS ID et port source UDP) et cible les requêtes récursives. C'est donc lorsqu'un serveur DNS envoie une requête sur un domaine qu'il ne connait pas, qu'il est sensible à l'attaque. Toujours pour Netasq, comme les postes clients n'envoient jamais de requêtes récursives en fonctionnement normal et que les serveurs DNS principaux ont été mis à jour, ce sont les serveurs DNS d'entreprise qui sont, à priori, les cibles principales. Le principe de l'attaque implique d'envoyer un nombre important de fausses réponses avec des éléments aléatoires différents, pour tenter de "deviner" le bon format de réponse. Cette fausse réponse doit arriver avant la réponse légitime (celle du serveur DNS interrogé) pour être prise en compte ("race condition »). Le nombre de valeurs possibles est important, mais la multiplication des attaques fait que les chances de succès sont très importantes (paradoxe de l'anniversaire ("birthday attack")).
