Oui, enfin, pas grand chose d'étonnant, vu ce qu'ils ont lâché comme traffic sur le résolveur DNS.
Le problème est déjà inhérent à l'utilisation, pour quelque chose d'aussi crucial que la résolution de noms, d'un truc comme UDP, qui ne va garantir en rien que c'est bien la bonne personne qui nous répond ; surtout si les vilain-méchants sont en train de faire un DDOS sur le serveur qui a autorité à nous répondre, sur internet (typiquement, le serveur DNS du FAI) et le mettent à genoux...
Bon, on a quand même des contre-mesures... comme le TXID, qui va donner un numéro à la demande d'un nom à un serveur, et n'accepter que la réponse contenant ce numéro... sauf que 16 bits de contre-mesure, ça devient un peu léger, vu les vitesses des connexion actuelles, ainsi que l'ardeur et l'astuce que prennent les attaques...
... alors, pour donner du mou, tout le monde est plus ou moins passé aux ports sources aléatoires : en gros, on va changer le port par lequel on fait une demande à chacune d'elles, et de manière crytpologiquement aléatoire, ie, pas une simple incrémentation ou toujours le même port. Il devient alors plus difficile de deviner comment envoyer une fausse-bonne réponse à notre résolveur. Et zou, 16 bits en plus pour deviner comment créer une réponse plausible.
En gros, on essaye de ne pas écouter n'importe quoi, n'importe comment, mais sans authentification, et sur UDP : une technique de renard, certes, mais de renard galeux...
Maintenant, c'est un problème d'échelle : pour avoir une bonne contre-mesure, il faut avoir assez d'entropie pour rendre moins prédictible le forgeage d'une réponse, qu'il soit déraisonnable d'espérer empoisonner le cache... bon, maintenant, tout le monde essaye de faire sur 32 bits... youpi. Mais forcément, avec une connexion énorme sur laquelle écouter les réponses de tout et n'importe quoi, les 32 bits, ils deviennent faiblards... rien de bien neuf sous le soleil.
Après, surtout si on a une grosse connexion comme ça, on commence peut-être par filtrer les adresses auxquelles le resolver-cache est autorisé à poser des questions et recevoir des réponses, plutôt que d'autoriser n'importe qui à lui répondre n'importe quoi.
... et un jour, on pourra peut-être espérer avoir un accès authentifiant aux DNS externes auxquels on donne autorité... m'enfin, d'ici à ce que DNSSEC se généralise partout, vu qu'il semble qu'il faille déjà saluer l'ensemble de l'industrie pour avoir quand même mis 6 mois après de nouvelles méthodes bien plus dangereuses d'empoisonnement de cache, avant de rajouter 16 bits d'entropie à un truc bancal qui menaçait de plus en plus de se casser la gueule, on a le temps de voir passer quelques gros orages... Gare à toi, Tata Jeanine...
Ou alors, ils vont nous faire un truc du genre de ce qu'ils font avec les serveurs SMTP : on ne pourra contacter que les serveurs DNS de nos FAI... au passage, ça permettrait de faire un petit low-kick-balayette aux crypto-communistes qui se servent d'autres DNS pour passer outre les restrictions bienveillantes des autorités, même si ça n'empêcherait toujours pas de passer par Tor et de demander à l'exit-node de faire la résolution de nom lui-même...
# Bah oui...
Posté par Aefron . En réponse au journal BIND, 2ème édition. Évalué à 10.
Le problème est déjà inhérent à l'utilisation, pour quelque chose d'aussi crucial que la résolution de noms, d'un truc comme UDP, qui ne va garantir en rien que c'est bien la bonne personne qui nous répond ; surtout si les vilain-méchants sont en train de faire un DDOS sur le serveur qui a autorité à nous répondre, sur internet (typiquement, le serveur DNS du FAI) et le mettent à genoux...
Bon, on a quand même des contre-mesures... comme le TXID, qui va donner un numéro à la demande d'un nom à un serveur, et n'accepter que la réponse contenant ce numéro... sauf que 16 bits de contre-mesure, ça devient un peu léger, vu les vitesses des connexion actuelles, ainsi que l'ardeur et l'astuce que prennent les attaques...
... alors, pour donner du mou, tout le monde est plus ou moins passé aux ports sources aléatoires : en gros, on va changer le port par lequel on fait une demande à chacune d'elles, et de manière crytpologiquement aléatoire, ie, pas une simple incrémentation ou toujours le même port. Il devient alors plus difficile de deviner comment envoyer une fausse-bonne réponse à notre résolveur. Et zou, 16 bits en plus pour deviner comment créer une réponse plausible.
En gros, on essaye de ne pas écouter n'importe quoi, n'importe comment, mais sans authentification, et sur UDP : une technique de renard, certes, mais de renard galeux...
Maintenant, c'est un problème d'échelle : pour avoir une bonne contre-mesure, il faut avoir assez d'entropie pour rendre moins prédictible le forgeage d'une réponse, qu'il soit déraisonnable d'espérer empoisonner le cache... bon, maintenant, tout le monde essaye de faire sur 32 bits... youpi. Mais forcément, avec une connexion énorme sur laquelle écouter les réponses de tout et n'importe quoi, les 32 bits, ils deviennent faiblards... rien de bien neuf sous le soleil.
Après, surtout si on a une grosse connexion comme ça, on commence peut-être par filtrer les adresses auxquelles le resolver-cache est autorisé à poser des questions et recevoir des réponses, plutôt que d'autoriser n'importe qui à lui répondre n'importe quoi.
... et un jour, on pourra peut-être espérer avoir un accès authentifiant aux DNS externes auxquels on donne autorité... m'enfin, d'ici à ce que DNSSEC se généralise partout, vu qu'il semble qu'il faille déjà saluer l'ensemble de l'industrie pour avoir quand même mis 6 mois après de nouvelles méthodes bien plus dangereuses d'empoisonnement de cache, avant de rajouter 16 bits d'entropie à un truc bancal qui menaçait de plus en plus de se casser la gueule, on a le temps de voir passer quelques gros orages... Gare à toi, Tata Jeanine...
Ou alors, ils vont nous faire un truc du genre de ce qu'ils font avec les serveurs SMTP : on ne pourra contacter que les serveurs DNS de nos FAI... au passage, ça permettrait de faire un petit low-kick-balayette aux crypto-communistes qui se servent d'autres DNS pour passer outre les restrictions bienveillantes des autorités, même si ça n'empêcherait toujours pas de passer par Tor et de demander à l'exit-node de faire la résolution de nom lui-même...