Fejlen i hjertet af internettet

Dan Kaminsky var ukarakteristisk nok ikke på udkig efter fejl tidligere i år, da han stødte på en fejl i kernen af ​​internettet. Sikkerhedsforskeren brugte sin viden om internetinfrastruktur til at finde på en bedre måde at streame videoer til brugere på. Kaminskys ekspertise er i internettets domænenavnssystem (DNS), den protokol, der er ansvarlig for at matche websteders URL'er med de numeriske adresser på de servere, der hoster dem. Det samme indhold kan hostes af flere servere med flere adresser, og Kaminsky mente, at han havde et godt trick til at lede brugere til de servere, der bedst kan håndtere deres anmodninger på ethvert givet tidspunkt.

Ser problemer: Sikkerhedsforsker Dan Kaminsky opdagede første gang en grundlæggende sårbarhed på internettet sidste vinter.

Normalt er DNS pålidelig, men ikke smidig. Når en computer – for eksempel en server, der hjælper med at dirigere trafik på tværs af Comcasts netværk – anmoder om den numeriske adresse, der er knyttet til en given URL, gemmer den svaret i en periode kendt som time to live, som kan være alt fra sekunder til dage. Dette hjælper med at reducere antallet af forespørgsler, serveren foretager. Kaminskys idé var at omgå tiden til at leve, så serveren kunne få et nyt svar, hver gang den ville vide et websteds adresse. Følgelig ville trafik på Comcasts netværk blive sendt til den optimale adresse i hvert øjeblik, snarere end til den adresse, der allerede var blevet gemt. Kaminsky var sikker på, at strategien kunne fremskynde indholdsdistributionen markant.

Det var først senere, efter at have talt afslappet om ideen med en ven, at Kaminsky indså, at hans trick fuldstændigt kunne bryde sikkerheden for domænenavnesystemet og dermed internettet selv. Tiden til at leve, viser det sig, var kernen i DNS-sikkerhed; at kunne omgå det gav mulighed for en lang række angreb. Kaminsky skrev en lille kode for at sikre sig, at situationen var så slem, som han troede, den var. Da jeg så det virke, faldt min mave, siger han. Jeg tænkte: 'Hvad pokker skal jeg gøre ved det her? Det her påvirker alt.'

Kaminskys teknik kunne bruges til at dirigere websurfere til enhver webside, en angriber valgte. Den mest åbenlyse brug er at sende folk til phishing-websteder (websteder designet til at narre folk til at indtaste bankadgangskoder og andre personlige oplysninger, så en angriber kan stjæle deres identiteter) eller andre falske versioner af websider. Men faren er endnu værre: Protokoller som dem, der bruges til at levere e-mail eller til sikker kommunikation over internettet, er i sidste ende afhængig af DNS. En kreativ angriber kunne bruge Kaminskys teknik til at opsnappe følsomme e-mails eller til at skabe forfalskede versioner af certifikaterne, der sikrer sikre transaktioner mellem brugere og bankwebsteder. Hver dag finder jeg en anden domino, siger Kaminsky. En anden ting falder om, hvis DNS er dårligt. … Jeg mener, bogstaveligt talt, du ser dig omkring og ser alt, der bruger et netværk – alt, der bruger et netværk – og det bruger sandsynligvis DNS.

Multimedier

• Se en oversigt over et cache-forgiftningsangreb.

Kaminsky ringede til Paul Vixie, formand for Internet Systems Consortium, et nonprofit-selskab, der understøtter flere aspekter af internetinfrastrukturen, herunder den software, der oftest bruges i domænenavnesystemet. Normalt, hvis nogen vil rapportere et problem, forventer du, at det vil tage en del tid for dem at forklare det – måske en tavle, måske et Word-dokument eller to, siger Vixie. I dette tilfælde tog det 20 sekunder for ham at forklare problemet, og yderligere 20 sekunder for ham at besvare mine indvendinger. Derefter sagde jeg: 'Dan, jeg taler til dig over en usikker mobiltelefon. Sig venligst aldrig nogensinde til nogen, hvad du lige har sagt til mig over en usikker mobiltelefon igen.'

Det mest skræmmende var måske, at fordi sårbarheden ikke var placeret i nogen bestemt hardware eller software, men i designet af selve DNS-protokollen, var det ikke klart, hvordan man fikser det. I hemmelighed samlede Kaminsky og Vixie nogle af de bedste DNS-eksperter i verden: folk fra den amerikanske regering og højtstående ingeniører fra de store producenter af DNS-software og hardware-virksomheder, som omfatter Cisco og Microsoft. De arrangerede et møde i marts på Microsofts campus i Redmond, WA. Arrangementerne var så hemmelige og forhastede, siger Kaminsky, at der var folk på jetfly til Microsoft, som ikke engang vidste, hvad fejlen var.

En gang i Redmond forsøgte gruppen at fastslå omfanget af fejlen og finde ud af en mulig løsning. De besluttede sig for en foranstaltning, der løste de fleste problemer, ville være relativt nem at implementere og ville maskere den nøjagtige karakter af fejlen. Fordi angribere almindeligvis identificerer sikkerhedshuller ved hjælp af reverse-engineering patches, der var beregnet til at rette dem, besluttede gruppen, at alle dens medlemmer skulle frigive patchen samtidigt (udgivelsesdatoen ville vise sig at være den 8. juli). Kaminsky bad også sikkerhedsforskere om ikke at spekulere offentligt i detaljerne om fejlen i 30 dage efter udgivelsen af ​​patchen, i et forsøg på at give virksomheder nok tid til at sikre deres servere.

Den 6. august, på Black Hat-konferencen, den årlige samling af verdens internetsikkerhedseksperter, ville Kaminsky offentligt afsløre, hvad fejlen var, og hvordan den kunne udnyttes.

Beder om problemer
Kaminsky har ikke rigtig opdaget et nyt angreb. I stedet har han fundet en genial måde at puste liv i en meget gammel. Faktisk er den grundlæggende fejl, som hans angreb var rettet mod, før internettet selv.

Grundlaget for DNS blev lagt i 1983 af Paul Mockapetris, dengang ved University of Southern California, i tiden for ARPAnet, det amerikanske forsvarsministeriums forskningsprojekt, der sammenkædede computere på et lille antal universiteter og forskningsinstitutioner og i sidste ende førte til internettet . Systemet er designet til at fungere som et telefonselskabs 411-tjeneste: givet et navn, slår det de numre op, der vil føre til bæreren af ​​dette navn. DNS blev nødvendigt, da ARPAnet voksede ud over en persons evne til at holde styr på de numeriske adresser i netværket. Mockapetris, som nu er formand og chefforsker for Nominum, en udbyder af infrastruktursoftware baseret i Redwood, Californien, designede DNS som et hierarki. Når nogen indtaster URL'en til en webside i en browser eller klikker på et hyperlink, går en anmodning til en navneserver, der vedligeholdes af brugerens internetudbyder (ISP). ISP'ens server gemmer de numeriske adresser på URL'er, den håndterer ofte - i det mindste indtil deres tid til at leve udløber. Men hvis den ikke kan finde en adresse, forespørger den en af ​​de 13 DNS-rodservere, som sender anmodningen til en navneserver, der er ansvarlig for et af topdomænerne, såsom .com eller .edu. Denne server videresender anmodningen til en server, der er specifik for et enkelt domænenavn, såsom google.com eller mit.edu. Videresendelsen fortsætter gennem servere med stadig mere specifikke ansvarsområder – mail.google.com eller libraries.mit.edu – indtil anmodningen når en server, der enten kan give den anmodede numeriske adresse eller svare, at der ikke findes en sådan adresse. Efterhånden som internettet modnes, blev det klart, at DNS ikke var sikkert nok. Processen med at videregive en forespørgsel fra den ene server til den næste giver angribere mange muligheder for at gribe ind med falske svar, og systemet havde ingen garantier for at sikre, at den navneserver, der besvarede en forespørgsel, var troværdig. Så tidligt som i 1989, siger Mockapetris, var der tilfælde af cache-forgiftning, hvor en navneserver blev narret til at gemme falske oplysninger om den numeriske adresse, der er knyttet til et websted.
I 1990'erne var giftmandens arbejde relativt let. Navneservere på lavere niveau vedligeholdes generelt af private enheder: Amazon kontrollerer for eksempel adresserne leveret af amazon.com-navneserveren. Hvis en navneserver på lavt niveau ikke kan finde en anmodet adresse, vil den enten henvise anmoderen til en anden navneserver eller fortælle anmoderen, at siden ikke eksisterer. Men i 90'erne kunne lav-niveau-serveren også forsyne rekvirenten med top-niveau-serverens adresse. For at forgifte en cache var en angriber simpelthen nødt til at forfalske denne information. Hvis en angriber narre f.eks. en internetudbyders navneserver til at gemme den forkerte adresse til .com-serveren, kunne den kapre det meste af den trafik, der rejser over internetudbyderens netværk. Mockapetris siger, at flere funktioner efterfølgende blev tilføjet til DNS for at beskytte systemet. Anmodende servere holdt op med at acceptere numeriske adresser på højere niveau fra navneservere på lavere niveau. Men angriberne fandt en vej uden om den begrænsning. Som før ville de henvise en anmoder tilbage til f.eks. .com-serveren. Men nu skulle rekvirenten selv slå .com-serverens adresse op. Den ville anmode om adressen, og angriberen ville race for at svare med et forfalsket svar, før det rigtige svar ankom. Ad hoc sikkerhedsforanstaltninger blev også tilføjet for at beskytte mod denne strategi. Nu bærer hver anmodning til en DNS-server et tilfældigt genereret transaktions-id, et af 65.000 mulige numre, som svaret også skal indeholde. En angriber, der ræser for at slå et legitimt svar, skal også gætte det korrekte transaktions-id. Desværre kan en computer generere så mange falske svar så hurtigt, at hvis den har nok chancer, er den bundet til at finde det korrekte ID. Så tiden til at leve, som oprindeligt var beregnet til at forhindre navneservere i at blive overbebyrdet af for mange anmodninger, blev endnu en sikkerhedsfunktion. Fordi den anmodende server vil gemme et svar i et stykke tid, får angriberen kun få chancer for at forsøge en forfalskning. Det meste af tiden, når serveren har brug for en .com-adresse, konsulterer den sin cache i stedet for at tjekke med .com-serveren. Kaminsky fandt en måde at omgå disse ad hoc-sikkerhedsfunktioner – det vigtigste er tiden til at leve. Det gjorde systemet lige så sårbart, som det var, da cacheforgiftning først blev opdaget. Ved at bruge Kaminskys teknik får en angriber et næsten uendeligt antal chancer for at levere en forfalskning. Lad os sige, at en hacker ønsker at kapre al den e-mail, som et socialt netværkswebsted som Facebook eller MySpace sender til Gmail-konti. Han tilmelder sig en konto hos det sociale netværk, og når han bliver bedt om en e-mail-adresse, giver han en, der peger på et domæne, han kontrollerer. Han begynder at logge på det sociale netværk, men hævder at have glemt sin adgangskode. Når systemet forsøger at sende en ny adgangskode, foretager det et DNS-opslag, der fører til angriberens domæne. Men angriberens server hævder, at den anmodede adresse er ugyldig. På dette tidspunkt kunne angriberen henvise anmoderen til google.com-navneserverne og race for at levere et forfalsket svar. Men så ville han kun få en chance for at knække transaktions-id'et. Så i stedet henviser han anmoderen til de ikke-eksisterende domæner 1.google.com, derefter 2.google.com, derefter 3.google.com, og så videre, og sender en strøm af falske svar for hver. Hver gang vil den anmodende server konsultere Googles navneservere i stedet for dens cache, da den ikke vil have gemte adresser til nogen af ​​de falske URL'er. Angrebet omgår fuldstændigt de grænser, der er sat af tiden at leve. En af angriberens forfalskninger er nødt til at komme igennem. Så er det en simpel sag at dirigere alt, hvad den anmodende server har til hensigt for Google, til angriberens egne servere, da angriberen ser ud til at have autoritet til URL'er, der ender på google.com. Kaminsky siger, at han var i stand til at udføre testangreb på så lidt som 10 sekunder.

Et cache-forgiftningsangreb
Cacheforgiftning får en anmodende server til at gemme falske oplysninger om den numeriske adresse, der er knyttet til et websted. En grundlæggende version af angrebet - uden nogle af de mere sofistikerede teknikker Kaminsky anvender - er skitseret nedenfor. 1. Til at begynde med lokker angriberen offerets server til at kontakte et domæne, som angriberen kontrollerer. Angriberen kunne for eksempel hævde at have glemt en adgangskode, hvilket fik offeret til at svare via e-mail.
2. Offeret udfører et DNS-opslag for at finde ud af, hvor e-mailen skal sendes. Men angriberens navneserver henviser offeret til en anden server, såsom eksempel.com. Da angriberen ved, at offeret nu vil starte et DNS-opslag for den pågældende server, har han eller hun mulighed for at forsøge at forgifte dens cache. 3. Angriberen forsøger at levere et falsk svar, før den legitime server kan levere den rigtige. Hvis angriberen gætter det rigtige ID-nummer, accepterer offeret gættesvaret, hvilket forgifter cachen.
I mørket
Den 8. juli holdt Kaminsky den lovede pressekonference, hvor han annoncerede frigivelsen af ​​plasteret og bad andre forskere om ikke at spekulere i fejlen. Hardware- og softwareleverandørerne havde sat sig på en patch, der tvinger en angriber til at gætte et længere transaktions-id. Kaminsky siger, at angriberen før patchen var nødt til at gøre titusindvis af forsøg på at forgifte en cache. Efter lappen skulle den tjene milliarder. Nyheder om fejlen dukkede op i New York Times, på BBCs hjemmeside og i næsten alle tekniske publikationer. Systemadministratorer forsøgte at få patchen indarbejdet i deres systemer, før de kunne blive angrebet. Men fordi Kaminsky undlod at give detaljer om fejlen, var nogle medlemmer af sikkerhedssamfundet skeptiske. Thomas Ptacek, en forsker ved Matasano Security, skrev på Twitter: Sig det her først: tvivler på, at der virkelig er noget kød til denne DNS-sikkerhedsmeddelelse. Dino Dai Zovi, en sikkerhedsforsker, der er bedst kendt for at finde måder at levere malware til en fuldt patchet Macbook Pro, siger, at jeg bestemt var skeptisk over for sårbarhedens natur, især på grund af mængden af ​​hype og opmærksomhed versus den lave mængde detaljer . Hver gang jeg ser sådan noget, tager jeg med det samme min skeptikerhat på, fordi det ligner en med en særlig interesse snarere end en, der forsøger at få noget ordnet. Dai Zovi og andre bemærkede, at timingen var perfekt til at promovere Kaminskys Black Hat-optræden, og de strittede på anmodningen om at afstå fra spekulationer. Manglen på information var især kontroversiel, fordi systemadministratorer ofte er ansvarlige for at evaluere patches og beslutte, om de skal anvendes, og veje faren for sikkerhedsfejlen mod den forstyrrelse, som patchen vil forårsage. Fordi DNS er centralt for driften af ​​enhver internetafhængig organisation, er det ikke let at ændre det. For at gøre tingene værre, fungerede denne patch ikke korrekt med visse typer virksomhedsfirewalls. Mange it-professionelle udtrykte frustration over manglen på detaljer og sagde, at de ikke var i stand til at evaluere opdateringen korrekt, da så meget forblev skjult. Bekymret over skepsis over hans påstande holdt Kaminsky et telefonmøde med Ptacek og Dai Zovi i håb om at få dem til at se, hvor farlig fejlen var. Begge kom ud af opkaldet konverteret. Men selvom Dai Zovi bemærker, at meget har ændret sig siden dengang, hvor hardware- og softwareproducenter håndterede fejl ved blot at afvise, at sikkerhedsforskere havde identificeret reelle problemer, siger han også: Vi ved ikke, hvad vi skal gøre, når sårbarhederne er store. systemer som DNS. Forskere står over for et dilemma, siger han: de er nødt til at forklare fejl for at overbevise andre om deres alvor, men en sårbarhed som den, Kaminsky fandt, er så alvorlig, at afsløring af dens detaljer kan bringe offentligheden i fare. Halvar Flake, en tysk sikkerhedsforsker, var en iagttager, der mente, at det at tie var det mere skadelige alternativ. Offentlig spekulation er lige det, der er nødvendigt, siger han, for at hjælpe folk med at forstå, hvad der kunne ramme dem. Flake læste et par grundlæggende materialer, herunder det tyske Wikipedia-indlæg om DNS, og skrev et blogindlæg om, hvad han troede, Kaminsky kunne have fundet. Da han erklærede, at hans gæt sandsynligvis var forkert, inviterede han andre forskere til at rette ham. På en eller anden måde, midt i den tumult, hans indlæg forårsagede i sikkerhedssamfundet, dukkede en detaljeret forklaring af fejlen op på et websted, der var hostet af Ptaceks arbejdsgiver, Matasano Security. Forklaringen blev hurtigt taget ned, men ikke før den havde spredt sig over internettet. Kaos opstod. Kaminsky skrev på Twitter, DNS-fejl er offentlig. Du skal lappe eller skifte til [webbaseret] OpenDNS, LIGE NU. Inden for få dage frigav Metasploit, et computersikkerhedsprojekt, der designer prøveangreb til at hjælpe med testning, to moduler, der udnytter Kaminskys fejl. Kort efter blev et af de første angreb baseret på DNS-fejlen set i naturen. Det overtog nogle af AT&T's servere for at præsentere en falsk Google-hjemmeside, fyldt med angriberens egne annoncer. Uden for cookies
Tredive minutter før Kaminsky indtog scenen på Black Hat for at afsløre detaljerne om fejlen til sidst, begyndte folk at oversvømme balsalen i Caesar's Palace i Las Vegas. Taleren foran Kaminsky skyndte sig at afslutte tingene. Sæderne løb tør, og folk sad med overskrævsede ben på hver kvadratcentimeter tæppe. Kaminskys bedstemor, som sad på forreste række, havde bagt 250 småkager til arrangementet. Der var ikke nær nok. Kaminsky gik op til podiet. Der er mange mennesker derude, sagde han. Hellige lort. Kaminsky er høj, og hans fagter er lidt akavet. I begyndelsen af ​​august sagde han, at mere end 120 millioner bredbåndskunder var blevet beskyttet, da internetudbydere anvendte patches. Halvfjerds procent af Fortune 500-virksomhederne havde patchet deres systemer, og yderligere 15 procent arbejdede på det. Han tilføjede dog, at 30 til 40 procent af navneserverne på internettet stadig var upatchede og sårbare over for hans 10-sekunders cache-forgiftningsangreb. På scenen bladrede han mellem glad beskrivelse af sin opdagelses mørke muligheder og forsøg på at mønstre den seriøsitet, der passer til deres tyngdekraft. Han talte i 75 minutter og blev synligt lettere, da han aflastede syv måneders hemmeligheder. Da han afsluttede sin tale, fejede mængden tæt på ham, og han blev pisket væk af journalist efter reporter. Selv de sikkerhedseksperter, der var enige om, at sårbarheden var alvorlig, blev overrasket over Kaminskys ivrige omfavnelse af medieopmærksomheden og hans ubarmhjertige indsats for at offentliggøre fejlen. Senere samme dag modtog Kaminsky Pwnie-prisen for mest overhypede fejl fra en gruppe sikkerhedsforskere. (Ordet pwn, som rimer på egen, er internetslang for at dominere fuldstændigt. Kaminskys pris har undertitlen The Pwnie for pwning the media.) Dai Zovi, der overrakte prisen, forsøgte at liste de publikationer, der havde båret Kaminskys historie. Han gav op og sagde: Hvad var du ikke med? GQ! råbte nogen fra publikum. Kaminsky indtog scenen og spyttede to sætninger ud: Nogle mennesker finder fejl; nogle mennesker får rettet fejl. Jeg er glad for at være i den anden kategori. Han svingede prisen – en gylden legetøjspony – i sit lyse lyserøde hår og løb ned ad den lange gang i balsalen og ud af døren. Hvem bestemmer?
Afhængigt af dit perspektiv var den måde, Kaminsky håndterede DNS-fejlen og dens patch på, enten farlig tribune, der unødvendigt henledte offentlighedens opmærksomhed på internetsårbarheden eller – som Kaminsky ser det – et mediehack, der er nødvendigt for at træne et spotlys på fejlens farer. Uanset hvad, peger historien på det bekymrende fravær af enhver proces til at identificere og rette kritiske fejl på internettet. Fordi internettet er så decentraliseret, er der simpelthen ikke en bestemt person eller organisation, der har ansvaret for at løse dets problemer.Og selvom Kaminskys fejl er særlig alvorlig, siger eksperter, at det nok ikke er den eneste i internettets infrastruktur. Mange internetprotokoller var ikke designet til de anvendelser, de bruges i dag; mange af dens sikkerhedsfunktioner blev grebet ind og adresserer ikke underliggende sårbarheder. Langsigtet, arkitektonisk, må vi stoppe med at antage, at netværket er så venligt, som det er, siger Kaminsky. Vi er bare afhængige af at flytte følsomme oplysninger på tværs af internettet på en usikker måde. Vi kan gøre det bedre. På en anden sikkerhedskonference kun få dage efter Kaminskys præsentation på Black Hat holdt et team af forskere en tale, der illustrerede alvorlige fejl i internettets routing-grænsegateway-protokol. Ligesom Kaminsky havde forskerne fundet problemer med det grundlæggende design af en internetprotokol. Ligesom DNS-fejlen kunne problemet give en angriber mulighed for at få bred adgang til følsom trafik sendt over internettet.
Mange eksperter siger, at det, der skete med DNS-fejlen, repræsenterer det bedste scenario. Mischel Kwon, direktør for US-CERT, en afdeling af Department of Homeland Security, der hjalp med at få kendskab til DNS-fejlen, håber, at netværket af organisationer, der arbejdede sammen i denne sag, vil gøre det samme, hvis andre fejl dukker op. Selvom der ikke er noget autoritetshierarki i den private sektor, siger Kwon, er der stærke forbindelser mellem virksomheder og organisationer med magten til at implementere patches. Hun siger, at hun er overbevist om, at forældede protokoller vil blive ajourført i betragtning af de penge og den indsats, der bliver brugt på at forbedre sikkerheden på internettet. Men den tillid er ikke funderet i en velovervejet strategi. Hvad hvis Kaminsky ikke havde haft omfattende forbindelser inden for sikkerhedssamfundet eller, værre, ikke havde været forpligtet til at rette fejlen i første omgang? Hvad hvis han havde været en ægte sort hat, der var indstillet på at udnytte den sårbarhed, han havde opdaget? Hvad hvis hans tilsyneladende dygtige manipulation af medierne havde givet bagslag, og detaljerne om fejlen var blevet kendt, før lappen var på plads? Hvad mere er, selv givet de gode hensigter fra forskere som Kaminsky, er det ikke let at rette grundlæggende fejl på internettet. Eksperter er enige om, at DNS-problemet ikke er nogen undtagelse. Der er flere forslag på bordet til at løse det på en mere pålidelig måde end en patch, for det meste ved at reducere den tillid, en anmodende server giver en navneserver. Forslagene spænder fra relativt simple rettelser, såsom at inkludere endnu mere tilfældig information i anmodningerne til navneservere, til at flytte hele systemet over til et sæt protokoller, der ville lade navneservere signere deres svar kryptografisk. I mellemtiden siger både Kaminsky og Vixie, at angribere er begyndt at gøre brug af DNS-fejlen, og de forventer, at der kommer flere problemer. Kaminsky bemærker, at fejlen bliver særlig farlig, når den udnyttes sammen med andre sårbarheder. En sådan kombination, siger han, ville give en angriber mulighed for at overtage de automatiske opdateringer, som en softwareleverandør sender sine kunder, og erstatte dem med malware. Kaminsky siger, at han har brugt de sidste mange måneder på telefonen til virksomheder, der ville være attraktive mål for den slags angreb, såsom certifikatmyndigheder, sociale netværk og internetudbydere, for at forsøge at overbevise dem om at patch så hurtigt som muligt. Det skræmmende, siger Dai Zovi, er, hvor skrøbeligt [internettet] er. … Og hvad skal vi gøre ved det? Erica Naone er assistentredaktør på Teknologigennemgang.

skjule