Fallo DNS: Ya parcheamos, realmente estamos seguros ahora?

La historia del famoso bug del DNS ya se convirtió en una novela que está cansando a muchos, pero aún así es tan relevante para la seguridad de todo lo que se haga por Internet que se vuelve una obligación estar al tanto.

Ahora que Dan Kaminsky dijo todo lo que tenía para decir (presentación realizada en la conferencia Black Hat en formato ppt)  y en teoría no hay más secretos guardados, podemos adentrarnos más en los detalles técnicos del problema. Una excelente guía al respecto es la de Steve Friedl, quien explica con una claridad muy didáctica cómo funcionan los exploits que ponen en jaque a todo el sistema DNS, brindando en el camino un básico pero excelente curso sobre algunos pormenores de las peticiones DNS. También nos estamos enterando que los sitios protegidos bajo cifrado SSL no son del todo invulnerables, si hipotéticamente se consigue, mediante este mismo exploit y asociado tal vez con otros, comprometer los servidores DNS de la entidad emisora de certificados en cuestión para redirigir su correo y poder adulterar certificados vía email, algo que muchas entidades admiten; y aún sin entrar en tanta complejidad, hay que ver cuántos usuarios le prestarían atención al aviso que muestra su navegador al acceder a un sitio cuyo certificado no concuerdo o no está emitido por una entidad de confianza.

Pero todo no termina acá. Ahora apareció un ruso llamado Evgeniy Polyakov, el cual afirma haber comprometido un servidor BIND completamente parcheado, e incluso sube la apuesta afirmando que no existe ninguna solución que no sea vulnerable, incluso DJBDNS, el servidor DNS creado por el matemático D. J. Bernstein que desde el principio fue reconocido como uno de los pocos que vino haciendo las cosas bien desde el principio con respecto a la seguridad. Ahora claro, si nos ponemos a ver qué fue lo que realmente logró Polyakov, vemos que tampoco es el fin del mundo precisamente: Para poder comprometer ese servidor BIND tuvo que utilizar dos máquinas muy rápidas bajo una conexión Ethernet de 1 Gbps, consiguiendo el resultado recién al cabo de unas 10 horas aproximadamente. No significa que habiendo parcheado aún toda la Internet continúa en peligro, sino que, como afirman muchos especialistas, sólo se "compró algo de tiempo" para hacer el ataque a escala global menos eficaz, y mientras tanto muchos deberían estar pensando ahora mismo en cómo encontrar una solución más definitiva para cuando ese tiempo se acabe. Mientras tanto, aquellas empresas cuyas redes locales funcionan a 1 Gbps o más tienen un motivo más del cual preocuparse…

Compártelo

Entradas Relacionadas

Drobo: Storage Inteligente

Ubuntu hackeado en su propia cara

El pegamento con muñequito y otras yerbas

Cómo verificar si se es vulnerable al bug del DNS

Dmitry Grinberg lanzaría un SO móvil propio