Das Internet ist nicht wirklich dezentral aufgebaut, sondern läuft in einigen Dutzend DNS-Servern (Domain Name System – DNS) zusammen. Diese bilden eine Art „Internet-Zentralregister“. Jedesmal wenn ein Nutzer eine Webadresse anklickt oder im Browser eingibt, fragt dieser bei einem DNS-Server an und ermittelt so die IP-Adresse mit der der Kontakt aufzunehmen ist, um die Webseite zu erreichen. Hat dieser DNS-Server die angefragte Webadresse nicht in seiner Datenbank fragt er den nächsten. Damit die Namensauflösung nicht für jede Netzwerkverbindung erneut erfolgen muss und um so den Ablauf zu beschleunigen, speichern viele Systeme die Ergebnisse eine Zeit lang in einem Cache.
s.a. Wikipedia, Domain Name System
Gelingt es nun, die Zuordnung Webseite = IP-Adresse (z.B. www.google.de = 74.125.39.147) zu manipulieren, so könnte man z.B. Anfragen an einen Bezahldienst oder eine Bank auf eine eigene präparierte Webseite umleiten und so eingegebene Passwörter, PINs, TANs, usw. abfischen (IP-Spoofing, Phishing). Auch weitere Angriffsziele wie etwa das Abfangen, mitschneiden und Manipulieren von E-Mails, das Fälschen von SSL-Zertifikaten (und damit der Bruch der SSL-Verschlüsselung) sowie der Zugang zu sensiblen Nutzerdaten in Webangeboten wäre so möglich.
Nachdem das US-CERT auf Sicherheitsprobleme im Domain Name System hinwies, entdeckte der Security-Experte Dan Kaminsky bereits vor geraumer Zeit einen Weg dieses beträchtliche Sicherheitsloch in der Internet-Infrastruktur auszunutzen.
Kaminsky kontaktete die Betreiber der Systeme mit Bezug auf diese Sicherheitslücke und forderte sie auf, das Loch zu schließen. Nach Ablauf einer 30-tägigen Frist veröffentlichte er nun Details im Rahmen eines Vortrags auf der Blackhat-Sicherheitskonferenz in Las Vegas. Demnach können die DNS-Server über die Manipulation der im Cache zwischengespeicherten Daten (Cache-Poisoning) angegriffen werden.
Heise.de schreibt hierzu: „Neben dem Angriff auf einen CNAME-Record ist es offenbar möglich, einem anfragenden Nameserver eine Antwort mit gefälschten Angaben für die Anfrage bei weiteren Nameservern unterzujubeln. Damit lässt sich nicht nur ein einzelner Adress-Eintrag im Cache manipulieren, sondern alle weiteren Anfragen an den Nameserver eines Angreifers umleiten.
Dabei macht sich der Angriff zunutze, dass ein rekursiv auflösender Nameserver von einem Nameserver zum nächsten weiterdelegiert wird, bis er schließlich den für die Domain zuständigen Nameserver erreicht hat. Dabei hat der Angreifer mehrfach die Gelegenheit, gespoofte Pakete an den Server des Opfers zu schicken. Es soll sogar möglich sein, die Nameserver für die Top-Level-Domains auf diese Weise anzugreifen. Erstmals war ein Hinweis auf diese alternative Angriffsart im Exploit von H.D.Moore aufgetaucht. Das könnte auch die unterschiedlichen Zeitangaben verschiedener Sicherheitsspezialisten erklären, wie lange es dauern soll, bis eine Cache-Poisoning-Attacke erfolgreich ist. Während einige Angaben im Minutenbereich lagen, betonte Kaminsky mehrfach, dass sein Angriff nur wenige Sekunden dauere.“
Inzwischen haben speziell in Nordamerika und Europa, wo die meisten DNS-Server stehen, viele Provider bereits nachgezogen und Updates für ihre Systeme eingespielt. Allerdings dürfte es noch einige Zeit dauern, bis das Problem flächendeckend behoben ist. Zudem scheinen sowohl das DNS-Protokoll als auch gängige Implementierungen davon noch weitere grundsätzliche Lücken zu beinhalten.
Kaminsky veröffentlicht letzte Details zur DNS-Schwachstelle
