Components

Internet Bug Fix Spawns Backlash van Hackers

The Hacker Group That Changed The Internet: LULZSEC

The Hacker Group That Changed The Internet: LULZSEC
Anonim

Hackers zijn een sceptisch stel, maar dat is niet de moeite van Dan Kaminsky, die veel opschudding kreeg van zijn collega's in de veiligheidsonderzoeksgemeenschap nadat hij beweerde een kritieke fout in de infrastructuur van het internet te hebben ontdekt. ​​Kaminsky haalde de krantenkoppen van dinsdag door praten over een grote fout in de DNS (Domain Name System), gebruikt om computers met elkaar te verbinden op het internet. Eind maart groepeerde hij 16 bedrijven die DNS-software maken - bedrijven zoals Microsoft, Cisco en Sun Microsystems - en praatte ze over het oplossen van het probleem en het gezamenlijk vrijgeven van patches.

Maar sommige collega's van Kaminsky waren niet onder de indruk. Dat komt omdat hij een van de belangrijkste regels voor openbaarmaking heeft geschonden: een fout melden zonder de technische details te verstrekken om zijn bevindingen te verifiëren. Op woensdag ging hij een stap verder op zijn blog en vroeg hij hackers om het probleem tot de volgende maand te onderzoeken, wanneer hij van plan is meer informatie hierover vrij te geven op de Black Hat-beveiligingsconferentie.

[Lees meer: ​​De beste NAS-boxen voor mediastreaming en back-up]

De fout lijkt een serieuze fout te zijn die kan worden uitgebuit in een zogenaamde 'cache poison'-aanval. Deze aanvallen hacken het DNS-systeem en gebruiken het om slachtoffers zonder hun medeweten naar kwaadwillende websites te leiden. Ze zijn al jaren bekend, maar het kan moeilijk zijn om eraan te komen. Maar Kaminsky beweert een zeer effectieve manier te hebben gevonden om een ​​dergelijke aanval te lanceren, dankzij een kwetsbaarheid in het ontwerp van het DNS-protocol zelf. Maar dinsdag weerhield Kaminsky zich ervan de technische details van zijn bevindingen openbaar te maken.

Hij zei dat hij de kwestie openbaar wilde maken om druk uit te oefenen op IT-personeel en internetserviceproviders om hun DNS-software bij te werken en tegelijkertijd de slechteriken in het duister te houden over de precieze aard van het probleem. Een volledige openbare onthulling van de technische details zou het internet onveilig maken, zei hij in een interview op woensdag. "Op dit moment moet geen van deze dingen publiekelijk bekend worden." Hij kreeg snel een sceptische reactie van Matasano Security-onderzoeker Thomas Ptacek, die op de blog schreef dat Kaminsky's cache-vergiftigingsaanval slechts een van de vele onthullingen is die hetzelfde bekende probleem onderstrepen met DNS - dat het niet goed genoeg werk doet in het maken van willekeurige getallen om unieke "session ID" -strings te maken bij communicatie met andere computers op het internet.

"De fout in DNS is dat deze een 16-bit heeft sessie-ID, "zei hij woensdag via een e-mail. "U kunt geen nieuwe web-app implementeren met minder dan 128-bits sessie-ID's. Sinds de jaren '90 kennen wij dat fundamentele probleem."

"Hier komt de aanval van interviews en media-explosie voor een andere overgetitelde bug door Dan Kaminsky, "schreef een afgematte (en anonieme) poster aan het Matasano-blog. <> Op het SANS Internet Storm Center, een zeer gerespecteerde beveiligingsblog, speculeerde één blogger dat de bug van Kaminsky drie jaar eerder al was onthuld.

Kaminsky, directeur van penetratietesten bij beveiligingsleverancier IOActive, zei dat hij "vaag verrast" was door een deel van de negatieve reactie, maar dat dit soort scepticisme van vitaal belang was voor de hackergemeenschap. "Ik overtreed de regels," gaf hij toe. "Er is onvoldoende informatie in het advies om de aanval te achterhalen en ik ben erover aan het opscheppen." Volgens DNS-expert Paul Vixie, een van de weinige mensen die een gedetailleerde briefing hebben ontvangen over Kaminsky's bevindingen, is het anders dan het probleem dat drie jaar geleden door SANS werd gemeld. Hoewel de fout van Kaminsky zich in hetzelfde gebied bevindt, "is dit een ander probleem", zei Vixie, president van het Internet Systems Consortium, de maker van de meest gebruikte DNS-serversoftware op internet.

Het probleem is urgent en moet onmiddellijk worden gepatcht, zei David Dagon, een DNS-onderzoeker bij Georgia Tech, die ook werd geïnformeerd over de bug. "Met weinig details hebben enkelen zich afgevraagd of Dan Kaminsky oudere werken had herverpakt in DNS-aanvallen," zei hij in een e-mailinterview. "Het is niet haalbaar om te denken dat de DNS-leveranciers van de wereld zonder reden zouden zijn gepatcht en unisono aangekondigd."

Aan het eind van de dag had Kaminsky zelfs zijn meest vocale criticus gedraaid, Matasano's Ptacek, die een terugtrekking uitbracht op deze blog nadat Kaminsky de details van zijn onderzoek via de telefoon had uitgelegd. 'Hij heeft de goederen', zei Ptacek daarna. Hoewel de aanval voortbouwt op eerder DNS-onderzoek, is het maken van cache-vergiftigingsaanvallen buitengewoon gemakkelijk om uit te voeren. "Hij heeft het zo goed begrepen dat hij er niet in is geslaagd."

Kaminsky's overgebleven critici zullen tot zijn presentatie op 7 augustus in Black Hat moeten wachten om het zeker te weten.

De veiligheidsonderzoeker zei dat hij hoopt dat ze komen opdagen voor zijn lezing. "Als ik de exploit niet heb," zei hij. "Ik verdien elk deel van woede en wantrouwen."