אחרי 'הארטבליד', קבלו את בינד

צוות חוקרים מהטכניון בראשותו של ד"ר גבי נקיבלי מרפאל, גילו פרצה באחת מתוכנות ה-DNS הנפוצות ביותר בעולם . אם חשבתם שבאג ה-Heartbleed גרם לבהלה, חכו ל-BIND

אחרי 'הארטבליד', קבלו את בינד

רועי חי מציג את הפרויקט ביום המחקר בפקולטה למדעי המחשב בטכניון. צילום: דוברות הטכניון

אחרי באג ה-Heartbleed שחשף מאות אלפי אתרים ברשת האינטרנט להתקפות האקרים, הגיע תורם של חוקרים ישראלים. צוות חוקרים מהטכניון בראשותו של ד"ר גבי נקיבלי הכולל גם את החוקרים רועי חי ויונתן קלכשטיין, גילו פגם קריטי ביישום של פרוטוקול DNS. מדובר בפרוטוקול האחראי על הפצת שמות האתרים ברשת האינטרנט.

“הפתיע אותנו שמצאנו פירצה בפרוטוקול,” אמר קלכשטיין. “דיווחנו עליה לגוף האחראי על מימוש זה, הם השיבו שאכן לא היו מודעים לבעיה, והוסיפו שיחליפו את האלגוריתם בגרסה הבאה של התוכנה”. הפרויקט בוצע במעבדה לרשתות מחשבים בפקולטה למדעי המחשב בטכניון, וזכה בתחרות הפקולטית לפרויקט המצטיין ע”ש אמדוקס. בחודש אוגוסט פורסם הפרויקט בכנס האקדמי של קהילת אבטחת המידע Usenix Woot בארה”ב.

הפגיעות נמצאה בתאריך 8.5.2014 ב-BIND ISC 9.8.1-P1 והוגדרה כקריטית. BIND הוא ראשי תיבות של תוכנת Berkeley Internet Name Domain. מדובר בתוכנת קוד פתוח (כמו OpenSSL בהקשר של ה-Heartbleed) עמה מיישמים שרתי DNS. מתוך אתר החברה: "BIND היא ללא ספק תוכנת ה-DNS הנפוצה ביותר באינטרנט, המספקת פלטפורמה איתנה ויציבה עליה ארגונים יכולים לבנות מערכות מחשוב מבוזר בידיעה כי מערכות אלה הן תואמות באופן מלא את תקני ה-DNS שפורסמו".

הפגיעות מוגדרת כפגיעה בפונקציה לא ידועה באלגוריתם SRTT, אחד מהמנגנונים האחראים על חלון השליחה מחדש של פרוטוקול TCP [למידע נוסף אפשר לקרוא את rfc2988 כאן]. המניפולציה שהתגלתה על ידי צוות החוקרים הישראלי, מאפשרת באמצעות קלט לא ידוע לגרום לזיוף של תוצאת פרטוקול ה-DNS. במילים אחרות - spoofing vulnerability. ההתקפה מפחיתה את הזמן והמאמץ הדרושים לפגיעה בזכרון המטמון (cache) של תוכנת BIND. הפגיעה מאפשרת לתוקף בקלות לשלוט בשאילתה של השם הנבחר על ידי הפותר של BIND השרת.

הניצול של הפגיעות ידוע כקשה. ההתקפה עלולה להיות משוגרת מרחוק. שום צורה של אימות לא נדרשת לביצוע הניצול. נכון להיום אין פרטים טכניים או מקרים של ניצול הפגיעות הזו. כמו כן, אין מידע על אמצעי נגד אפשריים ידועים. אחת ההמלצות היא להחליף את השימוש ב-BIND במוצר אחר. הפגיעות גם מתועדת במסד נתוני הפגיעות SecurityTracker.

“במהלך ההמרה בין שם לכתובת מתקשרים שרתי ה-DNS בינם לבין עצמם כדי למצוא שרת המאחסן את הכתובת המתאימה,” הסביר ד”ר גבי נקיבלי. “החולשה שמצאו הסטודנטים מאפשרת לתוקף לגרום לשרת DNS לפנות לשרת מתחזה ולקבל ממנו כתובת של אתר לא נכון. סוג כזה של התקפה מקנה לתוקף יתרון, שכן הוא יכול לגרום למחשבים לדבר עם תחנות ברשת הנשלטות על ידו בלי יכולת לזהות את ההונאה”.

You might be interested also