La faille des DNS est bien pire qu’on ne pourrait l’imaginer
Envoyer à un ami
Partager sur ViadeoInternet, Réseaux, Sécurité, Web 2.0
Par : Cyril Fussy - Vendredi 8 août 2008 à 10:57
Durant la conférence Black Hat de Las Vegas, le chercheur Dan Kaminsky s’est exprimé mercredi sur la vulnérabilité des DNS Internet (Domain Name System) découverte il y a peu et apparemment bien plus dangereuse qu’on pourrait le croire.
“Chaque réseau comporte un risque”, a dit D. Kaminsky à la foule présente lors de sa présentation. “C’est ce que cette faille a montré.” Il a ajouté que le peu qu’il en a révélé, puis les détails qui ont fui, n’étaient que la pointe d’un iceberg pour ce qui est du plus gros risque d’insécurité rencontré sur Internet depuis 1997.
Le danger initial était que des pirates pouvaient exploiter un empoisonnement du cache des DNS, vulnérabilité découverte par Dan Kaminsky permettant de prendre en otage les navigateurs Web et dérouter les utilisateurs vers des sites de phishing ou remplis de malwares.
Cependant, puisque le problème réside dans la structure même d’Internet, ce danger n’est que le plus évident dont les spécialistes ont exposé les risques.
A part la prise en otage de navigateurs Web, les pirates peuvent s’en prendre aux applications, aux protocoles et aux services, dont les services email et les filtres anti-spams, le File Transfer Protocol (FTP) et autres protocoles de transmission comme Rsync et BitTorrent, ou les services à distance Telnet et Secure Shell (SSH), ainsi que la couche Secure Socket Layer (SSL) supposée rendre les transactions bancaires, ainsi que les ventes en ligne ou les ventes aux enchères, sécurisées, soit presque toutes les transactions financières.
Les services automatiques de mises à jour qu’utilisent Microsoft et Apple peuvent aussi être compromis, offrant aux pirates le potentiel d’installer des malwares alors que l’utilisateur incrédule pense que c’est une mise à jour légitime.
“Il y a des tonnes de chemins différents pouvant mener à la ruine”, a dit D. Kaminsky, apprenant aux auditeurs qu’il connaissait au moins 15 façons différentes d’exploiter la faille des DNS.
Et selon lui, plus il y a aura de recherches effectuées dans le domaine, et plus il y aura de risques que la faille soit exploitée. Kaminsky dit même qu’il ne s’agira plus de savoir quels systèmes peuvent ête exploités mais lesquels ne peuvent pas l’être.
Durant une conférence de presse ayant suivi sa présentation, Kaminsky a précisé que la possibilité d’exploiter des services DNS avait un effet dominos. “Je n’ai eu le temps de ne voir que quatre ou cinq dominos”, a-t-il dit. “Ca ne peut aller qu’en empirant.”
Sa présentation d’une heure à la conférence Black Hat fourmille de détails mais vous avez certainement une idée générale maintenant. Kaminksy a publié des dias de sa présentation sur son site, DoxPara.
Traduction et adaptation d’un article d’Egan Orion pour INQ.
Apple annule sa participation à la conférence Black Hat sur la sécurité
Apple rebouche enfin des failles
Les codes d’attaque par exploitation de la vulnérabilité des DNS ont été publiés
Dangereuse fuite sur la nature de la vulnérabilité des DNS
Un trou béant dans les DNS a été bouché, pour l’instant
Envoyer à un ami
Commentaires
Ouais, ok, donc c’est comme le bug de l’an 2000 : c’est l’apocalypse et on va tous mourir… bin voyons…
Non, c’est bien pire. Le bug 2k était une broutille à côté de ce problème. À noter que le bug 2k était réel, et que les logiciels qui n’étaient pas prêts à gérer le changement de centaine allaient planter. Bref, ça a été globalement corrigé, et il y a des idiots pour dire qu’on a crié au loup, alors que le loup a été abattu avant qu’il ne puisse attaquer. C’est aussi comme prétendre que la vaccination est inutile…
Bref, le problème ici est beaucoup plus grave. Il est possible de faire croire à un navigateur Web qu’il consulte un site sécurisé, avec un clé SSL valide (en spoofant à la fois l’adresse du site bancaire, et l’adresse du tiers de confiance). Et bien sûr, on peut imaginer des applications aux couriels, etc.
Et dans le climat de morosité économique actuel, ce n’est vraiment pas le bon moment de flinguer l’économie numérique.
Poster un nouveau commentaire