El parche para DNS no resuelve el problema (guía ilustrada)

Era sabido que el parcheo de los servidores DNS frente a la vulnerabilidad presentada por Kaminsky representaba sólo un alivio temporal, pero nadie sospechó que durará tan poco.

Hoy mismo, Evgeniy Polyakov se ha encargado de demostrar (exploit incluido) cómo un servidor DNS corriendo BIND con la última versión perfectamente parcheada continúa siendo vulnerable al envenenamiento de la caché.

El propio Polyakov se encarga de desmentir que se trate de una vulnerabilidad exclusiva de BIND, sino que todo el sistema DNS, aún parcheado, continúa siendo vulnerable, sólo que ahora se requiere un poco más de tiempo... que quizás incluso pudiera acortarse mediante un ataque distribuido.

Para Polyakov tampoco DNSSEC supone ninguna solución definitiva, aunque sí otro alivio temporal más duradero. Sin embargo otros expertos (como Bernstein) opinan que su seguridad es sorprendentemente baja y su funcionamiento mucho más lento y pesado. Polyakov contraataca diciendo que el sistema DJBDNS, ideado por Berstein, también es vulnerable...

Mientras tanto se puede ver una guía ilustrada a la vulnerabilidad DNS de Kaminsky.

Fuentes:
Vuelta a empezar: el parche para DNS no resuelve el problema
Successfully poisoned the latest BIND with fully randomized ports!
Leaks in Patch for Web Security Hole
Seguimiento completo de la vulnerabilidad en DNS
Una guía ilustrada a la vulnerabilidad DNS de Kaminsky

Suscríbete a nuestro Boletín