Lo standard proposto per i cookie DNS specifica che il cookie del server deve essere calcolato come segue:
The Server Cookie SHOULD consist of or include a 64-bit or larger pseudo-random function of the request source IP address, the request Client Cookie, and a secret quantity known only to the server.
Il ragionamento fornito per l'inclusione del cookie client è il seguente:
However, NAT devices sometimes also map ports. This can cause multiple DNS requests and responses from multiple internal hosts to be mapped to a smaller number of external IP addresses, such as one address. Thus there could be many clients behind a NAT box that appear to come from the same source IP address to a server outside that NAT box. If one of these were an attacker (think Zombie or Botnet), that behind-NAT attacker could get the Server Cookie for some server for the outgoing IP address by just making some random request to that server. It could then include that Server Cookie in the COOKIE OPT of requests to the server with the forged local IP address of some other host and/or client behind the NAT box. (Attacker possession of this Server Cookie will not help in forging responses to cause cache poisoning as such responses are protected by the required Client Cookie.)
To fix this potential defect, it is necessary to distinguish different clients behind a NAT box from the point of view of the server. It is for this reason that the Server Cookie is specified as a pseudo-random function of both the request source IP address and the Client Cookie. From this inclusion of the Client Cookie in the calculation of the Server Cookie, it follows that a stable Client Cookie, for any particular server, is needed. If, for example, the request ID was included in the calculation of the Client Cookie, it would normally change with each request to a particular server. This would mean that each request would have to be sent twice: first to learn the new Server Cookie based on this new Client Cookie based on the new ID and then again using this new Client Cookie to actually get an answer. Thus the input to the Client Cookie computation must be limited to the server IP address and one or more things that change slowly such as the client secret.
Qual è l'attacco che dovrebbe proteggere da questo? E come ottiene la protezione?
I tre attacchi menzionati nel documento sono:
- Attacchi di amplificazione DNS
- Denial-of-Service del server DNS
- Avvelenamento da cache e risposta agli attacchi di contraffazione
Ma per quanto posso dire che l'inclusione del cookie client nel calcolo del cookie del server non può essere affrontata da nessuno di questi.
Gli attacchi di amplificazione DNS in cui attaccante e vittima sono dietro lo stesso NAT saranno ancora possibili. Quando l'utente malintenzionato ha ricevuto il cookie del server, può semplicemente iniziare a spoofing dell'IP della vittima mentre utilizza cookie client e cookie server scambiati con il server in precedenza. Poiché il client e la vittima sono dietro lo stesso NAT, la modifica dell'indirizzo IP del client sarà invisibile al server. Pertanto, il cookie client esegue ancora lo stesso cookie del server e l'attacco avrà esito positivo.
Nel caso del server DNS DoS, lo scopo dei cookie è solo quello di garantire che il server conosca l'indirizzo IP corretto di chiunque stia eseguendo l'attacco. Quando l'attaccante si trova dietro un NAT, il server vedrà l'indirizzo IP di quel NAT indipendentemente da quale spoofing esegue l'attaccante dietro il NAT. E i cookie non cambiano quello.
Nel caso di risposte false, la protezione è fornita dal cookie client della vittima che rimane sconosciuto all'attaccante. Quindi, indipendentemente da come viene calcolato il cookie del server, questo attacco fallirebbe. Inoltre le risposte forgiate sono per definizione non generate dal server, quindi non ci sarà comunque alcuna convalida del cookie del server.
Quindi, se l'inclusione del cookie client nel calcolo dei cookie del server non viene eseguita per uno di questi tre motivi, qual è lo scopo?