Serveurs DNS : sur-médiatisation d'un vieux bug ou grave menace ?

Dan Kaminsky met internet sous pression. Il affirme avoir découvert une faille des serveurs DNS permettant de mener simplement des attaques par phishing. Comme il ne révèle ses secrets qu'à de rares élus, il est fortement critiqué. Les fournisseurs de logiciels de DNS ont proposé un correctif simultanément, crédibilisant les propos de Dan Kaminsky

Dan Kaminsky se trouve au centre d'une controverse après qu'il ait déclaré mardi 8 juillet 2008 avoir découvert un bug critique dans l'infrastructure internet. Il s'agit d'une faille affectant les serveurs de routage DNS (Domain Name System). En mars dernier, il avait réuni 16 entreprises qui vendent des logiciels DNS, des sociétés comme Microsoft, Cisco ou Sun Microsystems - afin de les amener à corriger le bug en question et de sortir simultanément les correctifs nécessaires.
Reste que cela n'impressionne pas certains pairs de Dan Kaminsky. Ceci parce qu'il a violé une des règles de base de la divulgation d'une faille : ne pas avoir fourni les détails techniques afin de vérifier ses assertions.

Dan Kaminsky est allé encore plus loin, puisqu'il a demandé aux hackers de ne pas effectuer de recherches sur le problème en attendant qu'il délivre plus d'information lors de sa prochaine présentation à la conférence Black Hat. La faille permet d'exploiter une attaque par le cache (« cache poisoning attack »). Ces attaques permettent de rediriger les internautes vers des sites Web illégitimes, copies de sites Web commerciaux. Ces attaques sont connues depuis longtemps, mais Dan Kaminisky affirme avoir découvert une manière très efficace de lancer ce type d'attaque, via une vulnérabilité dans le protocole DNS lui-même. Il affirme vouloir mettre la pression sur les professionnels de l'informatique et de l'internet afin qu'ils mettent à jour leurs logiciels de DNS, tout en tenant les hackers dans l'obscurité. Révéler tous les détails techniques mettrait internet en danger, a même déclaré Dan Kaminsky, mercredi 9 juillet.

Cela a déclenché une réaction de scepticisme de la part de Thomas Ptacek, un chercheur en sécurité de la société Matasano. Il a indiqué sur son blog, que la faille de Dan Kaminsky est liée à une faiblesse connue depuis longtemps de DNS : la difficulté de créer de manière aléatoire des identifiants « uniques » de session entre machines sur internet. « Le bug c'est que le DNS possède un identifiant de session sur 16 bits. On ne peut pas déployer une nouvelle application Web avec des identifiants de moins de 128 bits. On connait tous ce problème fondamental depuis les années 90, déclare-t-il.

Photo : Dan Kaminsky (D.R.)

. Web-profils.com, la place de marché du conseil et de l'ingénierie