DNS-Spoofing und Cache-Poisoning: Wie sie funktionieren und was sie stoppt
DNS-Spoofing erfordert kein Abfangen echten Verkehrs. Es erfordert richtiges Raten und Ankommen vor der echten Antwort — der Cache eines Resolvers akzeptiert, welche Antwort auch immer zuerst eintrifft.
Was DNS-Spoofing ist
DNS-Spoofing fälscht eine DNS-Antwort, sodass ein Resolver eine vom Angreifer gewählte IP-Adresse cacht und ausliefert statt der echten. Ist eine gefälschte Antwort erst einmal gecacht, erhält sie jeder Client, der diesen Resolver nutzt, bis die TTL abläuft — ohne dass der Angreifer weiter aktiv werden muss.
Das Off-Path-Problem
Ein Angreifer, der nicht auf dem Netzwerkpfad zwischen Resolver und echtem autoritativem Server sitzt, kann den echten Verkehr nicht einfach lesen oder bearbeiten. Stattdessen muss die gefälschte Antwort erraten und zugestellt werden, bevor die echte autoritative Antwort eintrifft — ein Wettlauf, keine Abfangaktion.
Was erraten werden muss
Ein Resolver erkennt eine gültige Antwort an einer 16-Bit-Transaktions-ID und dem UDP-Quellport, von dem die Anfrage gesendet wurde. Der Kaminsky-Angriff von 2008 zeigte, wie sich ein unwahrscheinlicher einzelner Treffer in einen praktikablen Angriff verwandeln lässt: Einen Resolver dazu zu bringen, viele verschiedene, nicht existierende Subdomains derselben Domain nachzuschlagen, gibt einem Angreifer viele unabhängige Wettläufe um denselben Cache-Slot, da jede erfolgreiche Fälschung die Einträge der übergeordneten Domain vergiftet.
Die Auswirkung einer erfolgreichen Vergiftung
Einmal vergiftet, leitet der Resolver jeden Client, der ihn abfragt, still um — zu einer Phishing-Seite, einem Werbe-Einschleusungspunkt, was auch immer der Angreifer wählte —, ohne auch nur eines der Systeme der Opfer zu berühren, solange die TTL des gefälschten Eintrags läuft.
Warum DNSSEC das stoppt
Ein validierender Resolver prüft eine kryptografische Signaturkette zurück bis zu einer vertrauenswürdigen Wurzel, bevor er eine Antwort akzeptiert. Ein Angreifer, der den Ratewettlauf erfolgreich gewinnt, besitzt trotzdem nicht den privaten Signierschlüssel der Zone, sodass die gefälschte Antwort keine gültige Signatur erzeugen kann — richtig geratene Transaktions-ID und Port werden irrelevant, sobald die Validierung selbst die Echtheit prüft.
DNSSEC für eine Domain prüfen
Sehen Sie die Theorie in der Praxis — führen Sie DNSSEC-Prüfung für Ihre eigene Domain aus.