Většina DNS zřejmě napadnutelná

Measurement Factory a Infoblox zveřejnily výsledky průzkumu více než 1.3 miliónů internetových DNS serverů. Výsledky potvrzují obavy z nízké úrovně zabezpečení.

25.10.2005 07:38 | Pavel 'lingeek' Szalbot | Upozornění

Komentáře

[DJB]

Ale gdo dneska používá BIND, že? Flameee ...

[lubo]

no, podla prieskumu len nejakych ubohych 77%

[Zdenek]

Flameee.... Podle te zpravy mam muzu rict, ze BIND pouziva 77% nameserveru z tech 1.3 mio. Tak bud radsi ticho ty 13%-ni a zeptej se na cem bezi vetsina root-serveru a zkus jim doporucit to tve DJB

[trancelius]

... BIND pouziva 77% nameserveru z tech 1.3 mio. Tak bud radsi ticho ty 13%-ni ...

<rejp>77 + 13 = 90 ... nesedí ti kontrolní součet :))</rejp>

[lubo]

naucit sa vsakovake paradne tagy nestaci, treba vediat citat a pocitat. ak si kliknes na linku, kt. uvadza sprava a spocitas cisla v druhom stlpci tablulky nasledovne 57 + 20 + 6.5 + 3.5 + 13 = 100, zistis, ze kontrolny sucet sedi.

[David Jež]

Ale notak, rozlišujte mezi root servery, primáry pro minidoménu, sekundáry, případně cache servery pro firmu, apod. To, že se na root-serverech z nějakých důvodů používá bind ještě neznamená, že bind by měl nutně být vrchol světa a to nejlepší super tuper a djb dns úplně naprd, ne? Každý systém je vhodný na něco jiného. Třeba mně osobně je bližší djb-dns, jak stylem konfigurace tak spravováním, ale dovedu si představit použití čistě pro bind. Jenže on je hlavní problém v tom, že si někdy někdo třeba z vypětím sil nainstaloval a zkonfiguroval takový rh 5.2 nebo 6 s tomu odpovídající verzí bindu a od té doby na stroj nešáhnul. A kolik se tam od té doby najde chyb si můžeš domyslet. Na takové použití prostě vhodný není, lepší by bylo mít tam neděravé djbdns.

Jistěže bind má spoustu vlastností od VKS apod. záznamů (samozřejmě že vím, že se dají provozovat i v djbdns, ale jde o princip) po negativní cache, bez kterých se někde neobejdeš, ale ve většině případů je to kanón na vrabce. Pak je lepší volit něco jiného. Je to stejné jako s poštovními servery, také se někde neobejdeš bez sendmailu. Ale ve většině případů stejně sáhneš třeba po qmailu nebo postfixu.

On se spíš bind a sendmail používají trošku ,,jako nutné zlo'' právě kvůli svým vlastnostem které potřebuješ. Ale předpokládá se, že víš proč ho potřebuješ a že ho také budeš udržovat v nějaké aktuální zatím bezpečné verzi. Pokud to většina lidí nedodrží tak se následkům nediv.

PS: Nevíte někdo, kolik procent z toho jsou nějaké bastl widle krámy od klikošů ,,tzv. ajtýček'' bez elementárních znalostí? To by mě dost zajímalo.
-djz

[petr_p]

Docela by mne zajimalo, jak rozpoznavali jednotlive implementace serveru. Pochybuji, ze bind vraci v odpovedi cislo sve verze.

Navic rozdelit bind na 8.X a 9.Y radu je z hlediska bezpecnosti nesmyslne. ISC tvrdi, ze posledni "bezpecne" verze jsou 9.3.1, 9.2.5 a 8.4.6.

[Michal Kubeček]

Jenže on je hlavní problém v tom, že si někdy někdo třeba z vypětím sil nainstaloval a zkonfiguroval takový rh 5.2 nebo 6 s tomu odpovídající verzí bindu a od té doby na stroj nešáhnul. A kolik se tam od té doby najde chyb si můžeš domyslet. Na takové použití prostě vhodný není, lepší by bylo mít tam neděravé djbdns.

To není problém BINDu ale systémáka a v takovém případě nepomůže žádný nameserver. Tady pomůže jen odpojit ten počítač od sítě, nejlépe i elektrické…

Osobně je mi milejší BIND, který se ve skutečnosti co do (ne)bezpečnosti v současné době nijak nevymyká z průměru srovnatelných programů, než program, který porušuje všemožná myslitelná i nemyslitelná RFC, protože jeho autor dává přednost vlastním představám, jak by DNS mělo fungovat, před specifikacemi… Většina lidí si ale bohužel pod označením BIND představí hrůzostrašné zkazky z dob verze 4 a neuvědomí si, že dnes jsme ve vývoji trochu dál a že tehdy navíc ani žádný slavný djbdns neexistoval, takže srovnávání dnešního djbdns s tehdejším bindem (které FUDaři s oblibou produkují) je bezpředmětné. Prakticky totéž platí i o podobně proslulém sendmailu…

[DJB]

Ok. Fajn. Chytli jste se. Končím tuto flame.

[peter]

Mňa by skôr zaujímalo, ako zistím, že môj DNS server je v poriadku nakonfigurovaný a bezpečný. Predpoklad je, že je všetko OK, ale predsa len nemôžem vedieť všetko.

[mrzout]

Only 60% of the name server records delegating each zone matched the intrazone name server records . Mis-matched records may decrease the number of servers available for resolution, reduce redundancy, increase load, and leave a zone susceptible to denial of service attacks.

Co presne tohle znamena?