นักวิจัยพบช่องทางหวนกับมาทำ DNS Cache Poisoning ‘SAD DNS’

นักวิจัยจาก University of California ได้ค้นพบหนทางที่ช่วยทำ DNS Cache Poisoning ได้อีกครั้ง โดยตั้งชื่อวิธีการใหม่นี้ว่า ‘SAD DNS’

credit : Bluecat

ทุกคนทราบดีอยู่แล้วว่า DNS ได้ช่วยแมประหว่างชื่อกับไอพี ซึ่งกระบวนการภายในมักมี Cache เพื่อเก็บการร้องขอ เอาไว้ใช้ซ้ำจะได้ไม่ต้องเสียเวลาไปทำ Query ใหม่ โดยในปี 2008 มีนักวิจัยท่านหนึ่งที่ชื่อ DAM Kaminsky ได้ค้นพบการโจมตีที่ชื่อว่า ‘DNS cache poisoning‘ (ตามภาพประกอบ) ก็คือการที่แฮ็กเกอร์ไปแทรกแซงส่วน Cache และตอบกลับ DNS Query ด้วย IP ปลายของตนที่ต้องการเพื่อปฏิบัติการอันตรายต่อไป

ในเวลาต่อมาด้านการป้องกันก็มีการคิดค้นเรื่องสุ่ม Query ID และ Source Port ของ DNS Request ขึ้น ซึ่งช่วยป้องกัน DNS cache poisoning ได้อย่างมีประสิทธิภาพจนการโจมตีได้รับความนิยมน้อยลงไปมาก แม้ว่า Query ID และ Source Port จะมีข้อจำกัดของแต่ละตัวเพียง 65,536 แต่ก็เพียงพอที่จะสร้างความซับซ้อนได้มาก

อย่างไรก็ดีล่าสุด ‘SAD DNS’ จากทีมนักวิจัยคือการพบช่องโหว่ที่เรียกว่าเป็น Side Channel ได้ที่อนุมานหา DNS Request Source Port ได้ เพราะเซิร์ฟเวอร์มักอยู่บนระบบปฏิบัติการลีนุกซ์ที่เปิด ICMP เอาไว้ที่ 1,000 ครั้งต่อวินาที และหากถูกถามจะตอบพอร์ตที่ไม่ใช้ว่าเป็น Unreachable ประกอบกับในส่วนของ Query ID นั้นถูกสุ่มได้อยู่แล้ว ด้วยเหตุนี้เองจึงเรียกได้ว่าเป็นการกลับมาของ DNS Cache Poisoning ได้

วิธีการป้องกัน

  • ทีมงาน Linux เพิ่มมีการเพิ่มกระบวนการ ICMP Rate Limit เมื่อกลางเดือนก่อน ดังนั้นกว่าจะได้รับการอัปเดตคงอีกพักใหญ่ ด้วยเหตุนี้ผู้ใช้งานสามารถสคิร์ปต์แก้ไขด้วยตัวเองก่อนได้
  • บล็อก ICMP แต่แน่นอนว่าจะไม่สามารถ Troubleshoot รวมถึงส่งผลกระทบกับ IPv6 Fragmentation หรือทำให้ Zone Transfer พังได้
  • ใช้ DNSSEC
  • ใช้ DNS Cookie ตาม RFC 7873 
  • ปรับค่า Timeout ของ DNS Query ให้สั้นขึ้นแต่อาจส่งผลให้เกิด Retransmit ที่ทำให้ประสิทธิภาพแย่ลง

ทั้งนี้การแก้ไขเป็นเรื่องจำเป็นเพราะ SAD DNS ส่งผลกับ DNS Resolver จำนวนมากแม้แต่ 1.1.1.1 หรือ 8.8.8.8 ดังนั้นในส่วนขององค์กรเองก็ควรหาอะไรแก้ไขไปก่อน ติดตามเพิ้มเติมได้จากเว็บไซต์ของนักวิจัยที่นี่ 

ที่มา : https://www.zdnet.com/article/dns-cache-poisoning-poised-for-a-comeback-sad-dns และ https://www.bleepingcomputer.com/news/security/dns-cache-poisoning-attacks-return-due-to-linux-weakness/

from:https://www.techtalkthai.com/dns-cache-poisoning-came-back-with-sad-dns/