Seit dem 5. Januar hat die Denic damit begonnen, die Sicherheitstechnologie DNSSEC in einem „Testbed“ einzuführen. Das „Testbed“ besteht aus den beiden Servern 81.91.161.228 und 87.233.175.25. Dabei handelt es sich um Kopien der TLD-Nameserver der .de-Domainhierarchie (Zone).
Eine Technologie wie DNSSEC ist notwendig, um sicherzustellen, dass die Antworten, die man von einem DNS-Server erhält, nicht von einem Angreifer auf dem Übertragungsweg modifiziert wurden. DNSSEC schützt jedoch nicht, wenn der Betreiber eines DNS-Servers absichtlich falsche Antworten liefert, etwa durch die Umsetzung des Internetzensurgesetzes, oder vor gefälschten Antworten der Provider, um Kunden Werbung unterzuschieben. DNSSEC schützt ausschließlich vor Angriffen, die nicht vom Betreiber kommen.
Ein solcher Angriff ist beispielsweise die Kaminsky-Attacke. Dan Kaminsky konnte im Jahre 2008 praktisch vorführen, dass es möglich ist, einem DNS-Server mittels gespooften IP-Adressen falsche Antworten unterzuschieben. Dazu brauchte Kaminsky nicht einmal fünf Minuten.
Wenn ein DNS-Server im Auftrag seines Clients eine DNS-Anfrage beantwortet, wendet er sich an weitere Server der verteilten Datenbank DNS. Dabei gibt er jeder Anfrage eine sogenannte Query-ID. Das ist eine 16-Bit-Zahl. Ein Angreifer kann also mit einer Wahrscheinlichkeit von eins zu 65.536 die Query-ID treffen und dem Server im richtigen Moment mit einer gespooften IP-Adresse eine Antwort unterschieben.
Dabei kann die Additional-Section dazu verwendet werden, dem DNS-Server eine Antwort auf eine Frage zu geben, die er gar nicht gestellt hat. So lässt sich etwa die Antwort www.google.de 86400 IN A 1.2.3.4 einschmuggeln. Wenn der Server die Antwort akzeptiert, wird er für 86400 Sekunden (24 Stunden) seinen Clients die Antwort geben, dass der Hostname www.google.de die IP-Adresse 1.2.3.4 besäße.
Insbesondere interessant ist das für Phisher, die auf diese Weise versuchen, Websites von Banken zu kapern. Bei einer klassischen Phishing-Attacke kann der Nutzer an der Adressleiste in seinem Browser erkennen, dass er gar nicht bei www.deutsche-bank.de, sondern bei einer Domain wie www.deutsche-bank.de.vu.cc gelandet ist. Zudem ist es bei einer solchen Attacke notwendig, dass der Phisher den Anwender auf seine Website lockt, beispielsweise mit einer Spam-Mail.
Wenn es einem Angreifer gelingt, den DNS-Servern eines großen Providers eine gefälschte Antwort unterzuschieben, werden alle Kunden dieses Providers trotz Eingabe einer korrekten URL auf die falsche Website geleitet, da der DNS-Server dem Nutzer „gutgläubig“ eine falsche IP-Adresse mitteilt.
Erstmals liegen Preise für Verbraucher vor. Sie zahlen weniger als Geschäftskunden. Dafür beschränkt Microsoft den…
Die Entwickler arbeiten noch an weiteren „Verfeinerungen“. Windows Insider erhalten nun wohl eine erste Vorschau…
Laut Bitkom-Umfrage werden in jedem dritten Unternehmen in Deutschland private KI-Zugänge genutzt. Tendenz steigend.
2023 erlitten neun von zehn Unternehmen in der DACH-Region Umsatzverluste und Kurseinbrüche in Folge von…
Der Report „Pacific Rim“ von Sophos beschreibt Katz-und-Maus-Spiel aus Angriffs- und Verteidigungsoperationen mit staatlich unterstützten…
NVIDIA DGX SuperPOD soll voraussichtlich Mitte 2025 in Betrieb genommen und für Forschungsberechnungen genutzt werden.