Los ataques de denegación de servicio DNSSEC demuestran la fragilidad de la tecnología

Dos ataques descubiertos por investigadores este año pusieron de relieve la fragilidad del Sistema de Nombres de Dominio (DNS) y las extensiones de seguridad (DNSSEC) introducidas para proteger la infraestructura de Internet mundial.

Durante el año pasado, las empresas de infraestructura de Internet y los proveedores de software trabajaron para parchear los servidores DNS para detectar una serie de vulnerabilidades críticas en DNSSEC. El llamado ataque de denegación de servicio (DoS) KeyTrap fue descubierto originalmente hace más de un año por cuatro investigadores de la Universidad Goethe de Frankfurt y la Universidad Técnica de Darmstadt y podría engañar a los servidores DNS para que pasaran horas tratando de encontrar firmas específicas para validar las creadas. Paquetes DNSSEC en consecuencia su presentación en la conferencia Black Hat Europe 2024 a principios de este mes.

Los investigadores alertaron a los principales proveedores de Internet sobre los problemas a fines del año pasado y trabajaron con ellos para crear parches a principios de este año, pero las fallas en DNSSEC son sistemáticas, dice Haya Schulmann, profesora de informática en la Universidad Goethe de Frankfurt y una de las investigadoras involucradas en la obra.

«No diría que se ha resuelto el núcleo del problema», afirma. «Hay parches que alivian los problemas más graves, pero el problema central aún debe resolverse».

Las vulnerabilidades de KeyTrap no fueron los únicos ataques de DNS que surgieron en 2024. En mayo, un equipo de investigadores chinos reveló que habían descubierto tres vulnerabilidades lógicas en el DNS que permitían tres tipos de ataques: envenenamiento de la caché del DNS, DoS y consumo de recursos. Según los investigadores, el ataque, conocido como TuDoor, afectó a unas 24 bases de códigos de software DNS diferentes. presentado en un resumen de su trabajo.

Relacionado:Millones de pruebas de penetración muestran que la postura de seguridad de las empresas se está deteriorando

El descubrimiento de las dos clases de vulnerabilidades DNS y DNSSEC pone de relieve que la seguridad y la disponibilidad a menudo están en desacuerdo y que Internet en su conjunto todavía tiene vulnerabilidades.

“Internet fue un proyecto de investigación experimental que se desarrolló gradualmente. «Comenzó con muy pocas redes y evolucionó gradualmente para soportar esta enorme plataforma comercial; por supuesto, es frágil», dice Schulmann. «Es un milagro que funcione».

“Aceptar liberalmente, enviar conservadoramente” ya no es aplicable

La filosofía de diseño de gran parte de Internet se reduce a un principio del científico informático Jonathan Postel, que los investigadores alemanes describieron como: «Sé liberal en lo que aceptas y conservador en lo que envías. El principio tiene como objetivo: mejorar la solidez al exigir». que el software “se escriba para hacer frente a todos los errores imaginables, por improbables que sean; Tarde o temprano llegará un paquete con esa combinación particular de errores y atributos, y si el software no está preparado, “puede sobrevenir el caos”, dicen. RFC 1122, «Requisitos del host de Internet: capas de comunicación».

Relacionado:Es hora de ser estricto con DMARC

Sin embargo, otros críticos han descubierto que tolerar lo inesperado a menudo tiene consecuencias perjudiciales. Los estándares rigurosos pueden decaer lentamente y conducir a una expansión de funciones si el software es demasiado tolerante, especialmente si los protocolos no se mantienen adecuadamente. argumentan los desarrolladores de software Martin Thomson y David Schninazi en RFC 9413.

«Las implementaciones descuidadas, las interpretaciones laxas de las especificaciones y la extrapolación descoordinada de requisitos para cerrar las brechas en las especificaciones pueden generar problemas de seguridad», escribieron. «Ocultar las consecuencias de las variaciones del protocolo fomenta la ocultación de problemas, lo que puede hacer que los errores queden ocultos y sean difíciles de encontrar».

Los investigadores de la universidad alemana aprovechó la expansión de la aceptación de varios algoritmos criptográficos por parte de DNSSEC para desarrollar un vector de ataque que les permitiera crear un ataque fuera de ruta; en otras palabras, no tenían que controlar un enrutador o servidor DNS que estuviera procesando una transacción DNSSEC. Al enviar paquetes DNSEC que contenían cientos de firmas y claves criptográficas, obligaron a los servidores DNS a intentar validar todas las combinaciones, todo porque los servidores admitían una variedad de métodos criptográficos.

«Cuando se tiene criptografía, existen desafíos y complejidades que comienzan cuando hay que utilizar múltiples algoritmos», dice Schulmann. «Hay que firmar con todos estos algoritmos, y cada resolutor tiene que validar los algoritmos e identificar cuáles fueron enviados… y validar la firma, y ​​ese es el problema».

DNSSEC está llegando a sus límites

Para solucionar la debilidad de DNSSEC se requirió el equivalente digital de chicle y alambre para embalar. Por ejemplo, Cloudflare ha limitado la cantidad máxima de claves que sus servidores aceptan cuando las solicitudes cruzan zonas, como cuando .com delega una respuesta a cloudflare.com, dijo la compañía.

Sin embargo, como no existe una solución fácil, las empresas de infraestructura de Internet también tuvieron que ser flexibles.

«Aunque esta limitación ya existe y se han desarrollado otras protecciones para nuestra plataforma, nos dimos cuenta de que aún sería intensivo desde el punto de vista computacional procesar una respuesta DNS maliciosa de un servidor DNS autorizado», dijo Cloudflare. dice su memorando de análisis y respuesta sobre el tema. «Hemos agregado métricas que nos permiten detectar ataques que intentan explotar esta vulnerabilidad». La compañía también impuso límites adicionales a las solicitudes.

Actualmente existe más de 30 RFC relacionados con DNSSECEsto resalta la necesidad de que los defensores actualicen repetidamente el estándar para adaptarlo a las tácticas de los atacantes. Los desarrolladores deben trabajar en estrecha colaboración con los administradores de infraestructura y los investigadores de la comunidad para garantizar que desarrollen su software con los más altos estándares.

«En nuestra investigación, descubrimos que cuantas más funciones tenga, más características agregue, más errores y más problemas habrá, y todo eso puede explotarse para ataques», afirma. «Redes de enrutamiento, DNS y otros sistemas: esto no es diferente».