In einer gemeinsamen Aktion haben mehrere Anbieter von DNS-Servern und Sicherheitsberatern über eine Schwachstelle im DNS-Protokoll berichtet.
Sie erlaubt es, Betreibern von Nameservern gefälschte Zuordnungen von IP-Namen zu Adressen unterzuschieben. Das volle Ausmaß der Schwachstelle ist gegenwärtig noch nicht vollständig absehbar.
Will ein Internet-Anwender die IP-Adresse seiner Bank erfahren, um dort mit seinem Browser Internet-Banking zu machen oder andere Informationen abzurufen, fragt er meist den Nameserver seines Providers oder seines Unternehmens. Diese Caching Resolver genannten Server leiten dann über das DNS-Protokoll auf verschiedenen Wegen die Anfrage an dezentral im Internet verteilte Nameserver weiter. Das aktuelle Problem liegt in den Antworten: Da das Protokoll keine besonderen Maßnahmen vorsieht, um die Echtheit der Antworten zu überprüfen, verlassen sich die gängigen Implementationen darauf, dass diese echt sind, wenn der UDP-Port der Antwort mit dem der Frage und eine Anfrage-ID, die DNS-ID, übereinstimmen. Der erste Wert hat ungefähr eine Entropie von 15 Bit, der zweite von 16 Bit. Beides galt bislang als gemeinhin hinreichend sicher, um so genannte Cache-Poisoning-Attacken effektiv zu verhindern, die seit Anfang des Jahrtausend theoretisch bekannt sind.
Amerikanische Sicherheitsexperten behaupten nun, ein Szenario gefunden zu haben, dass diesen Suchraum von etwa 31 Bit erheblich einschränkt. Wohl nicht zuletzt aus Werbegründen für die elitäre Black-Hat-Konferenz, die Mitte August in Las Vegas stattfindet, halten sich die vermeintlichen Entdecker mit Details zurück. Dort wollen sie das Angriffsszenario enthüllen. Für die Relevanz der Schwachstelle spricht, dass die meisten Anbieter von DNS-Software einheitlich in Advisories (CVE-2008-1447) die prinzipielle Angreifbarkeit bestätigen und Patches anbieten. Weite Verbreitung hat unter Linux der unter einer freien Lizenz stehende BIND-Nameserver von ISC, von dem sowohl die Versionen 8 und 9 betroffen sind. Die meisten Linux-Distributionen bieten daraufhin bereits aktualisierte Pakete über ihre Softwareverteilung an, darunter Debian oder Ubuntu. Die Patches sorgen vorübergehend für eine etwas höhere Zufälligkeit der genannten Parameter, können jedoch gerade bei stark frequentierten Servern Performanceeinbußen nach sich ziehen.
Hersteller und Distributoren erklären jedoch übereinstimmend, dass das Problem nicht von einer fehlerhaften Implementation herrühre, sondern seine Ursache im DNS-Protokoll (RFC 1034 und 1035) selbst habe. Insofern seien die aktuellen Patches nur Workarounds. Eine systematische Abhilfe biete etwa DNSSEC, das jedoch eine jahrelange Diskussion über Implementierungsdetails und Änderungen in der Protokollspezifikation hinter sich hat und das daher viele Systembetreiber argwöhnisch betrachten. Aus diesen Gründen erscheint ein schneller, flächendeckender Einsatz von DNSSEC aktuell eher unwahrscheinlich. Erst, wenn weitere Details der aktuellen Schwachstelle bekannt werden, wird sich abschätzen lassen, welche Auswirkungen sie tatsächlich auf die zentrale Internet-Infrastruktur haben.
