URL: https://www.opennet.ru/cgi-bin/openforum/vsluhboard.cgi
Форум: vsluhforumID3
Нить номер: 120696
[ Назад ]
Исходное сообщение
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено opennews , 21-Май-20 12:53 
Группа исследователей из Тель-Авивского университета и Междисциплинарного центра в Герцлии (Израиль) разработала новый метод атаки NXNSAttack (PDF), позволяющий использовать любые DNS-резолверы в качестве усилителей трафика, обеспечивающих степень усиления до 1621 раз по числу пакетов (на каждый отправленный к резолверу запрос, можно добиться отправки на сервер жертвы 1621 запрос) и до 163 раз по трафику...

Подробнее: https://www.opennet.ru/opennews/art.shtml?num=52995

Содержание
Сообщения в этом обсуждении
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено ryoken , 21-Май-20 12:53 
Хм.. это чтобы по всему глобусу котиков не посмотреть было? :D
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено InuYasha , 21-Май-20 13:06 
Во что вырос DNS! А так всё просто начиналось... )
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Жека Воробьев , 21-Май-20 13:37 
да в it вагон и маленькая тележка окаменелых технологий: dns, smtp, http, ipv4/6
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Fracta1L , 21-Май-20 13:38 
Весь интернет-стек, начиная с tcp/ip, пора выбрасывать на свалку и пилить что-то с нуля. Про разжиревший веб даже говорить нечего.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено qwe , 21-Май-20 14:56 
> Весь интернет-стек, начиная с tcp/ip, пора выбрасывать на свалку и пилить что-то с нуля.

ты вероятно имел ввиду всё что выше tcp-ip. Это правда, всё что поверх http работает надо выкинуть)

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 16:20 
TCP тоже устарел. Как только не пытаются его раскочегарить, да всё бестолку. Жаль, что SCTP не прижился - была бы отличная замена. А так - теперь все протоколы будут постепенно переползать на UDP (если не уже), и каждый будет изобретать колесо заново.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 16:55 
В сетях с потерями 70% пакетов (и 2/3 из оставшегося приходят в произвольном порядке) tcp и сегодня обеспечивает наилучшие показатели. Это спутниковый/мобильный интернет, adsl. Естественно, в оптоволоконных сетях что-нибудь поверх udp может быть лучше, с идеальным соединением куча всего сразу не таким критичным становится.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено topin89 , 21-Май-20 21:55 
А разве этот новый протокол не был сделан из-за постоянных проблем с tcp в сотовых сетях?
Честное любопытство, я нихера в сетях не разбираюсь.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 22:49 
Который из? А то они всё решают проблемы, решают, да решить не могут. Какие проблемы у вэба из-за tcp? Практически я вижу, что все эти новые протоколы поверх tcp жёстко проседают на нестабильных сетях.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено topin89 , 22-Май-20 17:14 
> Который из?

QUIC

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Lex , 23-Май-20 07:34 
Да кто ж спорит, что у tcp т.н «стабильность» выше.
Другое дело, когда речь об активном обмене данными между клиентом и сервером и потребностях в минимальном лаге.
TCP, к сожалению, весьма тормозной - вот нередко и пилят какие-то свои поделия в т.ч на более шустром, но не гарантирующем ничего udp
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 22-Май-20 02:20 
Проблема, правда, в алгоритмах congestion control, а не в самом tcp. Надо дефолты менять, а не протокол
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено t28 , 22-Май-20 10:16 
> В сетях с потерями 70% пакетов (и 2/3 из оставшегося приходят в произвольном порядке)
> tcp и сегодня обеспечивает наилучшие показатели.

В сетях с потерей 14% (и более) пакетов TCP не работает от слова "совсем".
При потерях до 3,5% еще кое-как живет, а начиная, приблизительно, с 4% доступ
к современным сервисам начинает напоминать dial-up.

Для доставки инфы в сетях с потерями рекомндую использовать старый проверенный X.25
(но ни в коем случае не поддаваться на разводку под названием XOT).

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 22-Май-20 10:38 
Может, и диалап (задержки действительно были), но вполне работало (и даже очень хорошо), в отличие от альтернативы, которая не позволяла нормально скачивать вообще ничего. А насчёт задержек, сегодня такие сайты, что ответ может идти 5 секунд независимо от качества соединения.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено JL2001 , 22-Май-20 12:36 
> Может, и диалап (задержки действительно были), но вполне работало (и даже очень
> хорошо), в отличие от альтернативы, которая не позволяла нормально скачивать вообще
> ничего.

что именно у вас работало? http over tcp ?
про какие альтернативы речь?

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 22-Май-20 14:00 
Http over tcp (включая модем), socket over tcp (приложуха). Были ещё варианты использовать различные костыли поверх udp и я остался не впечатлён результатами.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Michael Shigorin , 21-Май-20 21:04 
> Жаль, что SCTP не прижился - была бы отличная замена.

Что ж Вы в нём весь тот вагон дырок сразу не фиксили?..

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Нолекс , 22-Май-20 02:49 
Так он певец ртом, а не головой...
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено vsg , 21-Май-20 17:16 
Уже делается и проходит тестирование.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Fracta1L , 21-Май-20 18:29 
По какому запросу искать?


"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 22-Май-20 02:13 
Что, опять гениев-передельщиков подвезли? Или оттаяли по весне просто?
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Tifereth , 24-Май-20 06:29 
Так и вижу: "сегодня мы отключаем весь Интернет - подождите лет двадцать, может, что эффективнее напишем".
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено AntonAlekseevich , 25-Май-20 19:31 
> Весь интернет-стек, начиная с tcp/ip, пора выбрасывать на свалку и пилить что-то с нуля.

Согласен, DNS и udp/ip должны жить.

А если честно, попробуйте изобрести и затем продемонстрировать новый стек протоколов, так чтобы он был понятен как и***у с первого раза, так и человеку вашего уровня.

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено qwe , 21-Май-20 14:53 
Какой жирный. Ща придут неокаменевшие девелоперы и запилят нам правильные протоколы на основе обмена json-ами :)
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 16:22 
С эталонной реализицией на Node.js
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено crypt , 21-Май-20 13:35 
> Comodo Secure (8.26.56.26) - 435 раз и Norton ConnectSafe (199.85.126.10) - 569 раз.

не удивлен

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Fracta1L , 21-Май-20 13:37 
Очень секурно, очень сейфно
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено ryoken , 21-Май-20 14:19 
Выкапывайте\допиливайте уже NetBEUI :D.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено КО , 21-Май-20 14:37 
Ежели днс от провайдера, мне, ламеру, секурно?
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 14:59 
пока провайдера либо твой (ламера) любимый сайтик не задудосили - то да. У тебя же нет своего (ламерского) ресолвера на арендованом у этого провайдера реальном айпи, так ведь? Если есть - от трёх до пяти, насчёт конфискации не уверен.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 14:50 
Это не баг, а фича. ИМХО, единственный нормальный способ защиты это DPI, для самых бедных -- fail2ban или что-то в этом духе. Предложенные защиты почему-то нацелены на то, что атакующий сервер является контролируемым и его надо делать защищенным. Однако, имеется достаточно большие ботнеты, где поднять любые сервера не проблема.

Решение на DNSSEC-Validated Cache является самодостаточным и походу всех рано или поздно заставят переходить на DNSSEC-сервера.

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Онаним , 21-Май-20 15:20 
Про любовь к DNSSEC могу сказать только одно:
https://ianix.com/pub/dnssec-outages.html
Любитесь с ним сами.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Michael Shigorin , 21-Май-20 21:10 
> http://ianix.com/pub/dnssec-outages.html

Спасибо, вот этого не слышал:

DNSSEC is not encrypted, which is responsible for many of its failures. Rather than doing per-message/packet encryption like other secure protocols, DNSSEC was made compatable with censorship and surveillance. To enable censorship and surveillance, an extremely complex and thus fragile protocol was required, thereby resulting in outages, semi-outages, and sometimes just plain bizarre situations.

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Онаним , 21-Май-20 21:55 
Да не за что.
Как сталкивающийся в силу характера деятельности - подтверждаю, DNSSEC - это просто подпись.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено suffix , 25-Май-20 14:28 
Да, но полезная - таже валидация tlsa dane, sshfp
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Онаним , 25-Май-20 18:46 
> Да, но полезная - таже валидация tlsa dane, sshfp

Первое не работает почти нигде, от слова "совсем", а учитывая, что тот же виндорезолвер валидации DNSSEC не имеет, в винде не заработает ещё дольше. Второе, ну, вы поняли. Слишком узко-специфичное, можно бы было и другими способами реализовать.

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено suffix , 25-Май-20 18:49 

> Первое не работает почти нигде, от слова "совсем".

В exim работает а это уже хорошо !

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Ivan_83 , 22-Май-20 00:08 
Всё гораздо проще - рейтлимиты, и по меньше выставлять резолверы наружу.

В современном мире вообще не понятно зачем они сдались пользователям: встроить рекурсивный резолвер можно во что угодно, ресурсов он не жрёт.
Поскольку 99% это хомяки то у них будет просто всё работать.
Корпораты могут просто днс запросы на шлюзе заворачивать в свой днс сервер, который знает локальные зоны и умеет рекурсию в инет и кеш.

Никакие DNSSEC, DoT, DoH - не нужны.

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено JL2001 , 22-Май-20 12:32 
> Корпораты могут просто днс запросы на шлюзе заворачивать в свой днс сервер,
> который знает локальные зоны и умеет рекурсию в инет и кеш.
> Никакие DNSSEC, DoT, DoH - не нужны.

всё с вами понятно, любитель переадресовать на свой айпишник

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 15:16 
Хех, а ведь бывают домашние роутеры, светящие во внешний мир 53м портом (таких много среди асусов, например).
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Alen , 21-Май-20 19:20 
Они кэширующие и к теме не относятся
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено YetAnotherOnanym , 21-Май-20 15:18 
> атакующий может выдать в ответе огромный список не повторяющихся NS-серверов с несуществующими фиктивными именами поддоменов жертвы (fake-1.victim.com, fake-2.victim.com,... fake-1000.victim.com). Резолвер попытается отправить запрос DNS-серверу жертвы, но получит ответ, что домен не найден, после чего попытается определить следующий NS-сервер в списке и так до тех пор пока не переберёт все перечисленные атакующим NS-записи

Гениально, чо...

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено псевдонимус , 21-Май-20 16:59 
Хорошая уязвимость. Полезная.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено nathoo , 21-Май-20 17:51 
Дело за малым: зарегистрировать валидный DNS на краденый паспорт...
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Ward , 21-Май-20 20:53 
И как вовремя-то. DoH-сервера-то не подвержены.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 22:00 
С хрена ли не подвержены если все эти DoH DoT это только прокси к обычному ресолверу?.. не все ли равзно как на тот ресолвер прилетит запрос на ресолв DNS имени атакуещего.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Онаним , 21-Май-20 22:57 
> И как вовремя-то. DoH-сервера-то не подвержены.

С ДоХ другая проблема, их надо ДоХ чтобы справиться с нагрузкой, либо акселераторы, потому что очень уж монструозно.

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Ivan_83 , 22-Май-20 00:09 
Они и не нужны вовсе.
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 22-Май-20 02:17 
Это ты сам придумал. DoH это транспорт до клиента, к самому резолверу он никак относится
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Аноним , 21-Май-20 22:38 
Bind по производительности всех уделал
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Нолекс , 22-Май-20 02:55 
двачую...
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено sn , 22-Май-20 02:56 
А если иметь запись, например
*.victim.com. A ns.victim.com.

Как думаете поможет?

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено sn , 22-Май-20 02:58 
вернее CNAME
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено antonimous , 24-Май-20 20:49 
Легаси, ёп. Чемодан без ручки.
Причем, везде.
arpanet, BIOS, x86 и прочее говно мамонта ибо "бизнес" и "обратная совместимость". XXI век. Деградация технологий ака екстенсивное "развитие".
"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено Michael Shigorin , 24-Май-20 20:54 
> Легаси, ёп. Чемодан без ручки.

Вы бы знали, каким "легаси" являетесь сами...

PS: кто-то подметил, что ссылки на век, год и подобные ахи-охи характерны для секты свидетелей линейного прогресса -- модное западное течение последних нескольких десятилетий и веков (в разную силу), сводящее всё развитие мира к убогому вектору, да ещё и путающее его направленность по знаку (хотя некоторые и там замечают, в итоге появляются словосочетания вроде "highway to hell").

PPS: штаты, кстати, "здесь и сейчас" (tm) подкидывают таким вот лопоухим новые задачки -- например, как одновременно верить в "рынок" и... легитимность мер по принудительному ограничению международной конкуренции.  Ну там, make competition run slower, а то и прям бряк -- impede progress.

"Атака NXNSAttack, затрагивающая все DNS-резолверы"
Отправлено все такойже ононим как и всегда , 25-Май-20 14:17 
самое весёлое, что в основном легаси то и работает, а смузи решения не очень.