Uudised, sündmused ja blogi

Ohuhinnang NXNSAttack haavatavusele DNSis

RIA analüüsi ja ennetusosakonna ja CERT-EE koostöös valmis ohuhinnang, mis puudutab mais avalikustatud haavatavust DNS süsteemis: https://www.ria.ee/sites/default/files/2020-05_dns_haavatavusest_nxnsattack_0.pdf

19. mail avalikustasid Iisraeli teadlased disainiveast tuleneva haavatavuse ülemaailmses domeeninimede lahendamise süsteemi (DNS) teenuses. Haavatavust ära kasutades on võimalik läbi viia ulatuslikke teenusetõkestusründeid (DDoS) ründaja valitud veebilehtede või siis DNS teenusepakkujate kogu kliendibaasi vastu. Ründemeetodit, mis seda haavatavust kasutavad, nimetatakse NXNSAttack ja suure võimendusefekti tõttu ei ole ründajal vaja suurt infrastruktuuri. Seni ei ole teateid, et NXNSAttack meetodiga ründeid oleks ellu viidud, ent informatsioon on ka üsna uus.

Rünnaku võimaliku efekti kirjeldamisel tuuakse paralleele 2016 sügisel toimunud ründega, kus internetifirma Dyn kliente DNS kaudu rünnates muutusid ligipääsmatuks mitmed globaalse tähtsusega lehed ja teenused nagu PayPal, Twitter, Visa, CNN, Airbnb, Amazon jne. Tookord kasutasid ründajad Mirai robotvõrgustikku tuhandete mõjutatud seadmetega. Teadlased hoiatavad, et nüüd leitud haavatavus võimaldab saavutada sama suure efekti kordades väiksema seadmete arvuga.

Haavatavus ise tuleneb DNS protokollist ja seda kõrvaldada ei ole võimalik, ent saab paremini tõrjuda tarkvarauuendustega. Enamik suuri internetiteenuste pakkujaid nagu Google, Microsoft, Cloudflare, Amazon, Dyn, Versign jõudsid seda teadlaste eelhoiatuse põhjal ka teha, enne kui informatsioon avalikuks tehti.

Domeeni omanikel on kõigil võimalus kaitsta oma domeen DNSSECiga. See küll ei lahenda päriselt seda probleemi siin, kuid aitab kaasa ründepinna vähendamisele. Küsi DNSSECi kohta oma registripidajalt ja palu see sisse lülitada.