Názory k článku
DNS cache poisoning útoky
-
Ne, nepomohlo. Podstata útoku je, že spoofujete UDP odpovědi rychleji než cílové servery. A díky omezenému množství kombinací (jeden port a 2 byte Transaction ID) to ani není moc dat. Nic vám pak nebrání spoofovat více serverů naráz. Pokud jste v lokální síti (tím myslím i síť providera), tak pravděpodobně budete vždycky rychlejší. -
Alois Vytlemek (neregistrovaný)No ono kdyby to byl jeden 16bit port a jedno 16bit transaction id, tak by to bylo _dost_ kombinaci. Problem je v tom -- a to je taky duvod, proc se o tom v posledni dobe tak mluvi -- ze 1) nektere DNS servery se neobtezuji randomizovat port 2) jak si mam pocit vsimnul Dan Kaminsky, nektere implementace maskarad zdrojove porty zpatky serializuji. Teprve potom to zacne byt nebezpecne.
-
Pavel F. (neregistrovaný)Útočník pravděpodobně nikdy nezíská webový certifikát od uznávané certifikační autority, které jsou standardně v systému, takže základní pravidlo by mělo stačit - při přihlašování na citlivé servery (ať už banky či své systémy) zkontrolovat, zda server má v liště "zámeček". Pokud útočník použije certifikát s jiným Common Name, tak browser obvykle zařve.
-
nevim jak by utocnici vygenerovali SMS, kterou posila prvni nase banka (uz 10 let) komunikujici prostrednictvim Internetu. Do te doby se utocnik nedozvi nic krome cislicka ktere neslouzi jako heslo. Takze pouzivejme "bezpecne" komunikacni kanaly a nechodme do bank, ktere je nechteji vytvorit. Nic neni uplne bezpecne ale neminimalizovat riziko je veci kazdeho uzivatele. Kdo jde za cenou a ne za bezpecnosti zrejme nema co ztratit. Je to svobodne rozhodnuti kazdeho obcana. -
Karl von ... (neregistrovaný)ano, ale clovek pred vami nemluvil o parodii na banku jmenem Ceska Siditelna... nybrz o te jedine a nej bance, ktera ma takove a mnohe lepsi vychytavky jiz 10let ;)
takze male "surprise" pro vas:
- sms prijde a je pouzitelna jednou jedinkrat (pro prihlaseni/transakci), takze se utocnik prihlasi a vidi vas zustatek - OK souhlasim
- utocnik si chce zridit prikaz - posle si dalsi SMS a kam ji zadate? - pokud si chcete zalozit transakci vy, a utocnik vam podstrci jinou sumu nebo ucet, tak to v SMS vidite...
(jeste podotykam, ze pokud zde chcete spekulovat o tom, ze vlastne utocnik je schopen poslat jine udaje vam a jine udaje sobe, tak to bohuzel nejde, jiste chapete - prisly by vam 2 sms) ;)
takze se ptam: ktery dobrodruh je ochoten pouzivat tu zasr. parodii na banku jmenem Ceska Siditelna?? :-D -
anonymníCeska Siditelna, to je ta nechutně drahá banka, jak teď zrovna všechny její klienty pěkně napálili, když banku zlikvidovali a ony klienty přehráli pod die flugel úplně jiné?
Snad jen pro informaci, popsaným způsobem fungují autorizace transakcí také u jiných bank, neznalost reálné situace nijak nezavdává k oprávnění prohlášení, že tomu tak není.
No a konečně, člověk, kterého nezastaví informace webového prohlížeče o fujtajbl certifikátu, nezastaví ani nějaká nesmyslná čísla v sms, kterou nutně potřebuje pro zaplacení účtu za telefon, nájmu, nebo čehokoli jiného...
Nezbývá než doufat, že drtivá většina lidí se řadí do skupiny, jež si čte dialogy dříve než stiskne tlačítko "Ok", "Yes", "Ano", "Sere pes"... Takovou naději ovšem trochu kazí skutečnost, že i někteří IT profesionálové mají mnohdy problémy pochopit, že podle názvu, IP adresy, MAC či čehokoli podobného není možné jednoznačně a bezpečně identifikovat zařízení v síti. ;-) -
duri (neregistrovaný)V tomto pripade sa jedna o nedostatocne zabespecenie DNS protokolu. Kazdy dns request obsahuje cookie ktore by malo suhlasit s cokie v reply. Problem je v tom ze to cookie je len 16bitove. Druhym problemom je ze bind (a asi aj mnoho inych DNS serverov) pouziva pre dns request stale ten isty port, nahodne vybrany pri starte servera. Tzn utocnik ma vysoku sancu ze dokaze podstrcit reply ktore bude obsahot rovnaky cookie ako bol v request.
Jednym z rieseni problemu je nahodna volba zdrojoveho portu requestu, a udrziavanie stavovej informacie o cookie a zdrojovom porte requestu a porovnavanie tychto informacii pri pri spracovani reply. Aj napriek tomuto vsak zabespecenie nieje 100%, pretoze nahodnost vyberu sa zvysi len na 32bitov ... Tymto sposobom tento problem "opravuju" napr. vsetky aktualne verzie bindu.
Skutocnym 100% riesenim problemu je vsak nasadenie dnssec protokolu. -
duri (neregistrovaný)tento test je lepsi ako ten uvedeny v clanku: http://member.dnsstuff.com/tools/vu800113.php
ČLÁNKY DO MAILU