Fallo crítico en DNS pone en jaque a todo internet

[AlvaroG]

A ver, por lo que he entendido después de buscar mucho, la cosa es así:

No es un "fallo", sino una debilidad en el protocolo DNS.
Para hacerlo lo más rápido y eficiente posible no usa TCP, que es un protocolo que requiere una conexión entre servidores, sino UDP, que es un protocolo en el que no hay conexión sino simplemente paquetes enviados entre 2 puntos.

¿Cómo funciona el DNS?
Es bastante sencillo, el navegador hace una petición a un servidor DNS (servidor1) para conocer la IP de cierto dominio.
Dado el funcionamiento del protocolo DNS, si servidor1 no conoce al dominio por el que el cliente le pregunta, tendrá que conectarse con un servidor de jerarquía igual o superior (servidor2) para obtener la información (servidor1 conoce a servidor2 de antes).
Ahora, como no existe una conexión, servidor1 simplemente envía un paquete UDP hacia la IP de servidor2, y espera la respuesta.

Y aquí está la debilidad del protocolo: el primer paquete que llege a servidor1 proveniente de la IP de servidor2 y al puerto de servidor1 desde el que salió la petición original, será considerado como válido.

Los ataques de este tipo consisten en hacer eso: sustituir a servidor2 y enviar un paquete de respuesta falso. Esta debilidad es conocida desde hace mucho tiempo ya.

Los factores mitigantes de riesgo son:
- El uso de un puerto aleatorio por parte del servidor para enviar sus peticiones
- El tiempo de respuesta: se considera 1 segundo como tiempo máximo de vida de la petición
- El uso de otro campo, un identificador entero de 16 bits (entre 0 y ~65000) que es enviado por el servidor1 en la petición original y que debe ser devuelto por servidor2 para que la respuesta se considere válida.


Hasta aquí, nada nuevo. Se sobreentiende que el ataque funciona por "bombardeo", el atacante envía muchas respuestas falsas a un servidor esperando atinar el número de puerto y el identificador de 16 bits.

Lo que ha sucedido es que muchos servidores DNS no utilizan un número de puerto aleatorio o tienen un rango pequeño de puertos entre los que elegir. Ese es uno de los problemas que se han parcheado en la última ola de histeria que parece haber provocado este anuncio.

El investigador mencionado por la nota dice haber descubierto una forma de hacer estos ataques mucho más peligrosos y sencillos. Pero es importante notar que aún no ha dado detalles (aparentemente se los dio a las empresas para que crearan sus parches) por lo que, por ahora, no hay nada nuevo con respecto a esta debilidad y no hay nada de qué preocuparse (aunque instalar los parches no está de más).

A ver si alguien conoce algo más del tema y puede explicar algún detalle que se me escape.


Saludos.