Уязвимость в системе DNS была, есть и будет?

Выпущены патчи для устранения уязвимости под названием DNS Cache Poisoning, о которой уже второй день активно пишут отечественные и западные интернет-СМИ.

Как сообщает CNet, суть проблемы в том, что 13 корневых DNS-серверов обмениваются с рядовыми серверами запросами с уникальным идентификатором. Он генерируется случайно, но только в диапазоне от 0 до 65535 (16 бит). Когда формируется запрос о том, какому IP-адресу соответствует данный домен, злоумышленник может подобрать идентификатор этого запроса и подставить для вполне легитимного сайта поддельный IP-адрес. В результате открывается простор для фишинга - можно имитировать сайты банков или интернет-магазинов, и пользователь ничего не заметит.

В RU-CENTER журналистов успокоили, что эта проблема уже давно известна техническим специалистам, но на протяжении последних нескольких лет никак не давала о себе знать. По сути, особенность протокола (которую называют ошибкой) не исправлена, да и не может быть исправлена. Речь идет лишь об усложнении возможной реализации атаки, построенной на использовании особенности протокола.

После установки патча DNS-сервер обменивается с корневым сервером (или, наоборот, с рядовым пользователем самого DNS-сервера) запросами с более сложным (32 бита) идентификатором. Кроме того, процедура генерации чисел становится более близкой к случайной.

Вообще, стоит отметить, что система DNS имеет и много других уязвимых мест. Для повышения надежности и безопасности работы системы корпорация ICANN предлагает начать использование DNSSEC. Этому вопросу было уделено довольно много внимания на прошедшей в прошлом месяце конференции ICANN в Париже. Собственно, ажиотаж в обсуждении этой темы аналитики рынка связывают именно с этими инициативами.