El Centro Nacional de Investigación en Ciberseguridad Aplicada ATHENE de Alemania ha descubierto una falla crítica en el diseño de DNSSEC (las extensiones de seguridad de DNS). 

DNS es uno de los componentes fundamentales (más antiguos y vetustos) de Internet. La falla de diseño tiene consecuencias devastadoras para esencialmente todas las implementaciones de DNS que validan DNSSEC y los proveedores de DNS públicos, como Google, Cloudflare y Bind9.

El DNS evolucionó hasta convertirse en un sistema fundamental en Internet que sustenta una amplia gama de aplicaciones y facilita tecnologías nuevas y emergentes. Mediciones recientes muestran que en diciembre de 2023, el 31,47% de los clientes web en todo el mundo utilizaban solucionadores de DNS con validación DNSSEC. 

DNS Sec

KeyTrap es probablemente “el peor ataque al DNS descubierto nunca”. Una denegación de servicio en servidores DNSSec (hoy se usa en un 31% de las resoluciones) y precisamente por procesar claves criptográficas. Si gestionase un dominio relevante o se atacasen varios, partes enteras de internet desaparecerían o tendrían problemas de conectividad.

Descubierto por universidades alemanas y la German National Research Center for Applied Cybersecurity, el paper todavía no es público el paper: "The KeyTrap Denial-of-Service Algorithmic Complexity Attacks on DNS". En él se describe cómo se preguntaría a un servidor DNSSec vulnerable cómo resolver un dominio malicioso, que a su vez derivaría a un servidor malicioso, que le devolvería una respuesta que le llevaría a realizar cálculos tan complejos que agotaría la CPU.

En la respuesta RRSet especialmente manipulada, según la propia especificación DNSSec, debería ir todo el material criptográfico necesario para validar con éxito la integridad de la resolución.

Se ha coordinado la creación de parches entre los principales fabricantes y BIND, el software libre por excelencia. Están ya a disposición de todos. Esto mitiga el problema por cómo se valida el material, pero no el fallo de diseño que supone.

El fallo se introdujo en 1999 en la RFC 2535, ya obsoleta, y se reprodujo en la RFC 6781 y RFC 6840. En BIND está implementado desde el 2000.

El equipo de ATHENE, dirigido por la Prof. Dra. Haya Schulmann de la Universidad Goethe de Frankfurt, desarrolló "KeyTrap" [PDF], una nueva clase de ataque: con un solo paquete DNS, los atacantes podrían detener todas las implementaciones de DNS más utilizadas y los proveedores de DNS públicos.

Al preguntar a un servidor DNSSec vulnerable cómo resolver un dominio malicioso, le deriva a su vez a a un servidor malicioso, que le devolvería una respuesta que le obliga a realizar cálculos tan complejos (con "colliding keys") que agotaría la CPU

La explotación de este ataque tendría graves consecuencias para cualquier aplicación que utilice Internet, incluida la falta de disponibilidad de tecnologías como la navegación web, el correo electrónico y la mensajería instantánea.

Con KeyTrap, un atacante podría desactivar por completo gran parte de Internet en todo el mundo. Los investigadores trabajaron con todos los proveedores relevantes y los principales proveedores de DNS públicos durante varios meses, lo que dio como resultado una serie de parches específicos para cada proveedor, los últimos publicados el martes 13 de febrero. Se recomienda encarecidamente que todos los proveedores de servicios DNS apliquen estos parches inmediatamente para mitigar esta vulnerabilidad crítica.

El equipo formado de investigadores de la Universidad Técnica de Darmstadt y Fraunhofer SIT desarrolló una nueva clase de la llamada Complejidad Algorítmica. Ataques, a los que denominaron "KeyTrap". Demostraron que con un solo paquete DNS el ataque puede agotar la CPU y detener todas las implementaciones de DNS ampliamente utilizadas y los proveedores de DNS públicos, como Google Public DNS y Cloudflare.

De hecho, la popular implementación de DNS Bind9 puede permanecer detenida hasta por 16 horas. Este efecto devastador llevó a los principales proveedores de DNS a referirse a KeyTrap como "el peor ataque al DNS jamás descubierto". El impacto de los ataques KeyTrap es de gran alcance. Al explotar KeyTrap, los atacantes pueden desactivar eficazmente el acceso a Internet en cualquier sistema que utilice un solucionador de DNS con validación DNSSEC.

Los ataques KeyTrap afectan no sólo al DNS sino también a cualquier aplicación que lo utilice. La falta de disponibilidad de DNS no solo puede impedir el acceso al contenido, sino que también corre el riesgo de deshabilitar mecanismos de seguridad, como defensas antispam, infraestructuras de clave pública (PKI) o incluso seguridad de enrutamiento entre dominios como RPKI (infraestructura de clave pública de recursos).

Los defectos no son recientes. Los requisitos de vulnerabilidad ya estaban presentes en el obsoleto estándar de Internet RFC 2535 de 1999. Luego, en 2012 se abrió paso en los requisitos de implementación para la validación DNSSEC, los estándares RFC 6781 y RFC 6840.

Las vulnerabilidades han estado activas desde al menos agosto de 2000 en DNS Bind9 y se introdujeron en el código de DNS Unbound en agosto de 2007. Aunque las vulnerabilidades han existido en el estándar durante aproximadamente 25 años y en la naturaleza durante 24 años, la comunidad no las ha notado.

Esto no es sorprendente, ya que la complejidad de los requisitos de validación de DNSSEC dificultaba la identificación de las fallas. El exploit requiere una combinación de una serie de requisitos, lo que hizo que ni siquiera los expertos en DNS lo notaran.

La comunidad de seguridad tuvo experiencias similares con vulnerabilidades mucho más simples, como Heartbleed o Log4j, que estaban ahí pero nadie podía verlas y tardaron años en detectarlas y solucionarlas. DNS también ha sufrido varios problemas de diseño anteriores, como el fallo de Kaminsky, descubierto en 2008 y que permitía redirigir a un usuario a otra IP asociada a un dominio.

Desafortunadamente, a diferencia de estas vulnerabilidades, los fallos que identificó el equipo de ATHENE no son fáciles de resolver, ya que están fundamentalmente arraigadas en la filosofía de diseño de DNSSEC y no son simples errores de implementación de software.

Desde la divulgación inicial de las vulnerabilidades, el equipo ha estado trabajando con los principales proveedores para mitigar los problemas en sus implementaciones, pero parece que prevenir completamente los ataques requiere reconsiderar fundamentalmente la filosofía de diseño subyacente de DNSSEC, es decir, revisar DNSSEC. estándares.

Los vectores de ataque explotados en KeyTrap están registrados de forma general como CVE-2023-50387.

Fuente: Prleap 

https://twitter.com/ssantosv/status/1758197160321941765

https://t.me/cybersecuritypulse/500

Vía:

https://blog.segu-info.com.ar/2024/02/keytrap-el-peor-ataque-al-dns-jamas.html