Qual è l'effetto su un dominio quando il server dei nomi secondario è compromesso?

1

Ho sentito di un caso in cui il nome di dominio del server dei nomi secondario era scaduto e gratuito per la registrazione.

Diciamo che example.com ha due nameserver registrati:

  1. example-ns1.com (primario)
  2. example-ns2.com (secondario)

Il dominio example-ns2.com è scaduto e gratuito per la registrazione. Se un "utente malintenzionato" rivendica il nome di dominio del secondo server dei nomi.

  1. Questo influirà solo su example.com quando il server dei nomi con dominio example-ns1.com non è in linea?
  2. L'"attacco" funzionerà solo se DNSSEC non è stato implementato (correttamente) prima che example-ns2.com sia scaduto?
posta Bob Ortiz 16.03.2017 - 22:01
fonte

1 risposta

3

I risolutori DNS scelgono il server dei nomi per ottenere la risposta in modo casuale. Da questo punto di vista non c'è differenza tra i server NS primari e secondari.

Se hai 2 server NS e uno è compromesso in alcun modo, c'è una probabilità del 50% circa che il server DNS di caching richieda un server NS compromesso. Quando lo fa e ottiene una risposta falsificata (probabilmente indicando una destinazione malevola), ricorderà tale risposta e la restituirà a tutte le query successive per lo stesso nome DNS fino alla scadenza del TTL della risposta (che può essere davvero lunga, come diversi giorni , se l'attaccante è abbastanza intelligente).

Se il visitatore di tale sito utilizza un resolver ricorsivo (cache server DNS) correttamente configurato, DNSSEC e il dominio example.com è firmato con DNSSEC, è abbastanza sicuro.

Il resolver DNS verifica la risposta dal server dei nomi autorevole rispetto ai record DS dalla zona padre (in questo caso la zona .com). Se la risposta è falsificata, il resolver restituisce ed errore (e non memorizza nella cache la risposta sbagliata). Solo se la crittografia utilizzata per firmare la zona DNS in questione (o una qualsiasi delle zone parent) è interrotta o se le chiavi segrete sono note all'attaccante, solo allora potrebbe falsificare tale risposta DNS.

    
risposta data 16.03.2017 - 23:41
fonte

Leggi altre domande sui tag