URL: https://linuxfr.org/users/bortzmeyer/journaux/ddos-contre-les-serveurs-dns Title: dDoS contre les serveurs DNS Authors: Stéphane Bortzmeyer Date: 2015年12月15日T21:14:52+01:00 License: CC By-SA Tags: icann, dns, sécurité et ddos Score: 58 Il y a des tas d'articles sur LinuxFr qui parlent de dDoS, puisqu'elles sont une des plaies de l'Internet d'aujourd'hui, et que tout le monde a eu à gérer une « attaque par déni de service répartie » au moins une fois. Ce court journal parle de deux attaques récentes visant des serveurs DNS. En effet, si on veut planter un service Internet (Web, IRC, etc), attaquer ses serveurs DNS est souvent plus simple et plus efficace que d'attaquer le service lui-même. Peu connu, et donc peu financé, le DNS est souvent le maillon faible dans la sécurité. En outre, un TLD (domaine de tête) national étant un des symboles d'un pays, attaquer ce TLD peut être tentant si on a un désaccord avec ce pays, comme dans l'un des exemples ci-dessous. Attention, je parle bien d'attaques **contre** les serveurs DNS, pas des attaques **utilisant** les serveurs DNS, comme le sont les attaques par réflexion. La première attaque est celle qui a visé les serveurs de la racine du DNS les 30 novembre et 1er décembre. Par ses effets (plusieurs serveurs ont cessé de répondre), c'est la plus grosse attaque contre la racine depuis 2002. Elle a même stoppé des serveurs anycastés (répartis sur plusieurs sites physiques). À noter qu'on ignore l'identité de l'attaquant, ou ses motivations. Attention, pas mal de gens (comme d'habitude) ont raconté n'importe quoi sur cette attaque, donc prudence. * Le communiqué (presque vide de contenu) des opérateurs des serveurs racine http://root-servers.org/news/events-of-20151130.txt * Complétant celui-ci, le communiqué d'un des opérateurs, celui du serveur L https://www.icann.org/news/blog/root-server-operators-diversity-is-the-key * Les deux moments de l'attaque, vu par l'excellent service public DNSmon https://atlas.ripe.net/dnsmon/?dnsmon.session.color_range_pls=0-29-29-99-100&dnsmon.session.exclude-errors=true&dnsmon.type=zone-servers&dnsmon.zone=root&dnsmon.startTime=1448860200&dnsmon.endTime=1448959800&dnsmon.ipVersion=both * Le moins mauvais article dans les médias http://arstechnica.com/security/2015/12/attack-flooded-internet-root-servers-with-5-million-queries-a-second/ Au plus fort de l'attaque, le 30 novembre, vers 08200 UTC. Trois des serveurs ne répondent pas : ``` % check-soa -4 -i . a.root-servers.net. 198.41.0.4: OK: 2015113000 (23 ms) b.root-servers.net. 192.228.79.201: ERROR: Timeout c.root-servers.net. 192.33.4.12: OK: 2015113000 (23 ms) d.root-servers.net. 199.7.91.13: OK: 2015113000 (9 ms) e.root-servers.net. 192.203.230.10: OK: 2015113000 (23 ms) f.root-servers.net. 192.5.5.241: OK: 2015113000 (4 ms) g.root-servers.net. 192.112.36.4: ERROR: Timeout h.root-servers.net. 128.63.2.53: ERROR: Timeout i.root-servers.net. 192.36.148.17: OK: 2015113000 (18 ms) j.root-servers.net. 192.58.128.30: OK: 2015113000 (15 ms) k.root-servers.net. 193.0.14.129: OK: 2015113000 (348 ms) l.root-servers.net. 199.7.83.42: OK: 2015113000 (10 ms) m.root-servers.net. 202.12.27.33: OK: 2015113000 (2 ms) ``` La seconde est celle qui a stoppé le TLD turc, .tr, le 14 décembre. Il est rare qu'une attaque mène à l'interruption de service d'un TLD entier. Là non plus, l'attaquant n'a pas laissé sa carte de visite, mais, vue la situation géopolitique, et l'utilisation de dDoS par un certain pays contre ses voisins, difficile de ne pas penser à un pays qui vient de perdre un avion, descendu par l'armée turque. * Un bon article d'analyse (oui, en turc, mais il y a des graphiques, du code, et un résumé en anglais à la fin) http://daghan.net/tr-alan-adlari-problemi.dgn * Le communiqué du RIPE, dont un des serveurs servait le TLD en question https://www.ripe.net/ripe/mail/archives/dns-wg/2015-December/003184.html