Skip to content

Drucksache: Entwickler Magazin 3.16 - Angriffsziel DNS

Geschrieben von Carsten Eilers am um 12:35

Im Entwickler Magazin 3.16 ist ein Artikel über Angriffe auf das Domain Name System DNS erschienen.

Das Domain Name System (DNS) ist quasi das Telefonbuch des Internets. Niemand merkt sich IP-Adressen, stattdessen werden Domain-Namen verwendet. Die dann vom Computer in die IP-Adressen der zugehörigen Server umgewandelt werden. Indem beim zuständigen Nameserver nachgefragt wird, welche Adresse denn zu einem bestimmten Namen gehört.

Wenn der Nameserver auf diese Anfrage eine falsche Antwort zurück liefert, landen Sie auf einen Server, auf den sie nie wollten. Den sie aber für den richtigen halten, wenn die Fälschung gut genug gemacht ist. Was heutzutage ja nun wirklich kein größeres Problem mehr ist. Das einzige, was Sie dann noch vor einem Irrtum schützt, ist SSL/TLS. Theoretisch, denn wie Sie sicher wissen, gibt es immer wieder Möglichkeiten, den Schutz auszuhebeln.

Darüber hinaus gibt es noch weitere Angriffe auf und über das DNS, und 2015 gab es dabei das volle Programm: Schwachstellen in Client und Nameserver, Remote Code Execution und DoS, alles war vertreten. Zum Glück aber nur in mehr oder weniger homöopathischen Dosen, und Angriffe gab es außer den DoS-Angriffen auf BIND-Server gar nicht. Was im Endeffekt doch sehr erfreulich ist.

Auch bei den cyberkriminellen DNS-Einträgen gab es keine herausragenden Vorfälle, dafür haben die Sicherheitsforscher das DNS für ihre Zwecke genutzt. Was man ja eigentlich nur begrüßen kann.

Soweit sieht es rund ums DNS also zur Zeit recht gut aus, ganz im Gegensatz zur Situation bei SSL/TLS [22] und BGP [23]. Aber am Horizont zeichnet sich eine neue Gefahr für das DNS ab: Die inzwischen 5 Jahre alten DNSSEC-Schlüssel der Rootzone müssen erneuert werden. Und das wurde zum einen niemals zuvor gemacht, zum anderen ist der für die Verteilung der neuen öffentlichen Schlüssel zuständige RFC 5011 nicht nur ungetestet, sondern auch lückenhaft. Das könnte spannend werden. Um es mal neutral zu formulieren. Denn wenn dabei etwas schief geht, schlägt danach die Prüfung der DNSSEC-geschützten DNS-Einträge für einen mehr oder weniger großen Teil aller Internet-Nutzer fehl.

Und hier noch die Links und Literaturverweise aus dem Artikel:

Carsten Eilers

Trackbacks

Keine Trackbacks