[es] - DNS, BIND, rupe, rupice, rupetine ...

DNS, BIND, rupe, rupice, rupetine ...

^{15.08.2008. u 12:04 - pre 191 meseci}

Mnogi nacionalni registri su u par poslednjih nedelja upozorili svoje klijente na bezbednosne propuste u BIND-u (i jos nekoliko drugih softverskih verzija). Nesto o tome je bilo i na ES:

http://www.elitesecurity.org/t...S-software-update-cross-vendor

Zanimljivo je da RNIDS nije objavio nista na tu temu, a kao nacionalni registar ipak ima - ako ne zakonsku ili ugovornu - onda barem moralnu obavezu da Internet zajednicu obavestava o ovakvim stvarima. Ali dobro, ostavimo sada to po strani ...

Prica je pocela pre nekih mesec dana, kada je CERT objavio preporuku pod naslovom Multiple DNS implementations vulnerable to cache poisoning. Na prvi pogled, sve je izgledalo kao "yet another bug story". Nista novo u svetu softvera, pa valjda smo i do sada navikli na bug, patch, upgrade, update, service pack ...

Ovog puta, medjutim, nije rec samo o softveru, vec i o nedostaku u samoj specifikaciji DNS protokola. Kompletnu pricu o tome, izvrsno objasnjenu i ilustrovanu, mozete da procitate ovde:

http://www.unixwiz.net/techtips/iguide-kaminsky-dns-vuln.html

Prica se, medjutim, tu ne zavrsava. Mada su proizvodjaci DNS softvera (ukljucujuci ISC/BIND) vec objavili patch-eve, na jednoj IETF mailing listi pre par dana je osvanuo jedan zanimljiv egzaktan matematicki proracun (inace prava retkost u danasnjem ICT svetu, u kome se vecina stvari radi rutinski, a cesto i stihijski i povrsno), koji pokazuje da cak i sa najnovijim patch-evima problem jos uvek nije resen do kraja i da su na duzi rok neophodan masovan prelazak na DNSSEC ili totalni redizajn DNS protokola. Kompletan tekst o tome je arhiviran ovde:

http://www.ops.ietf.org/lists/...amedroppers.2008/msg01194.html

U medjuvremenu su se pojavili i exploits, tako da ako jos uvek niste azurirali svoj DNS, ucinite to sto pre ...

Odgovor na temu

twiddle

Član broj: 1074
Poruke: 870
*.cri.co.yu.

+82 Profil

Re: DNS, BIND, rupe, rupice, rupetine ...

^{15.08.2008. u 14:24 - pre 191 meseci}

RNIDS tj. Sloba - vaša "devojka za sve" ;-) jeste obavestio ovlašćene registre na mailing listi o svemu tome. Što se tiče obaveštavanja šire Internet javnosti, to je ipak posao koji prevazilazi trenutne mogućnosti "devojke za sve" :-)

Što se tiče DNSSEC, o tome se već duže vreme priča u okviru ICANN i kapiram da će ovaj exploit usijati diskusiju o bržem uvođenju DNSSEC na sledeća dva sastanka ICANN.

Što se tiče exploita, evo jedne zanimljive animacije na tu temu:

Background za animaciju: http://www.circleid.com/posts/88670_kaminsky_dns_bug_disclosure/

Pozdrav,
Sloba

Odgovor na temu