Jeffrey Cross
Jeffrey Cross

ДЈБДНС, ДНС екплоитс, Бернстеин, Сцхнеиер и сигурност по дизајну

Ако нисте живели под каменом, вероватно сте чули за ДНС рањивост коју је Дан Камински најавио пре око пола године. План је био да Камински ради са добављачима ДНС сервера како би обезбедио закрпу, дајући довољно времена администраторима да се надограде пре него што су детаљи о експлоатацији објављени касније ове године. Нажалост, експлоатација је преурањено процурила, што је изазвало општи начин наказа код људи који администрирају ДНС системе.

Када сам прочитао чланак на Сласхдот-у, „сви сервери имена би требало да се скрпе што је пре могуће“ и цитат је пао на мене. Шта је са мојим малим ДНС сервером? Замислио сам да проведем вечер радећи кроз дуготрајан процес крпања и реконфигурације ствари које нисам морао да дотакнем годинама. На моје пријатно изненађење, дјбднс, ДНС сервер Д. Ј. Бернстеина, није био рањив. Моја одлука да користим дјбднс пре неколико година била је првенствено због његове вокалне филозофије инжењерске сигурности по дизајну, а не одговора.

Бруце Сцхнеиер-ова анализа ствари је уобичајена. То је солидна студија случаја за хигијенске праксе софтверског инжењеринга и дизајн сигурних система.

Права лекција је да патцх треадмилл не ради, а то није годинама. Овај циклус проналажења сигурносних рупа и журба да их закрпи пре него што лоши момци искористе те рањивости је скуп, неефикасан и непотпун. Морамо дизајнирати сигурност у наше системе од самог почетка. Треба нам сигурност. Потребни су нам инжењери сигурности који су укључени у дизајн система. Овај процес неће спријечити сваку рањивост, али је много сигурнији - и јефтинији - од патцх треадмилл-а на којем смо сви сада.

Оно што сигурносни инжењер доводи до проблема је посебан начин размишљања. Он мисли о системима из безбедносне перспективе. Није да он открива све могуће нападе пре него што лоши момци ураде; више је да он предвиђа потенцијалне врсте напада, и брани се од њих чак и ако не зна њихове детаље. Ово све време видим у добром криптографском дизајну. То је претјерано инжењерство засновано на интуицији, али ако инжењер сигурности има добру интуицију, то опћенито функционира.

Каминскијева рањивост је савршен пример за то. Прије много година, криптограф Даниел Ј. Бернстеин је погледао ДНС сигурност и одлучио да је Соурце Порт Рандомизатион паметан избор дизајна. То је управо оно што се сада одвија након Каминскијевог открића.Бернстеин није открио напад Каминског; уместо тога, видео је општу класу напада и схватио да ово побољшање може да заштити од њих. Према томе, ДНС програм који је написао 2000. године, дјбднс, не треба да се закрпи; то је већ имун на напад Каминског.

Дјбднс сервер није био унапред инсталиран на Линук дистро-у. ДЈБ-ов пакет деамонтоолс, који управља покретањем и затварањем сервиса, био је неугодан за рјешавање када свака друга апликација користи само нормалну инит рц скрипту. Конфигурација и подешавање ДНС сервера ми такође нису биле познате, пошто сам претходно радио само са БИНД зонама.

Постоји још једна ствар која је заиста другачија у односу на било који други ДНС сервер који сам икада администрирао: Никада нисам морао да га закрпајем. Имао сам само једно друго искуство у софтверу, са системом за пренос поште кмаил. Кмаил је такође дизајнирао Бернстеин. Хмм.

Ако ионако надограђујете свој ДНС сервер, можда је сада тренутак да почнете размишљати о алтернативама.

Даниел Ј. Бернстеин'с дјбднс сервер Сцхнеиер - ДНС рањивост ДЈБ на ДНС кривотворење Сласхдот - Камински је ДНС напад откривен, затим извучен

Удео

Оставите Коментар