DVB-Cube <<< Das deutsche PC und DVB-Forum >>>

Info Corner / Internet-via-Sat, Datendienste / IPTV / Videoportale / Internet TV & Radio => # WWW, Telefon, Provider & Co => Thema gestartet von: SiLæncer am 06 Februar, 2007, 19:10

Titel: Großangriff auf DNS-Rootserver
Beitrag von: SiLæncer am 06 Februar, 2007, 19:10

Praktisch unbemerkt von Nutzern in Deutschland wurden heute die zentralen Root Name Server und die Nameserversysteme mehrerer globaler sowie Länder-Domains im großen Stil angegriffen. Der von der Internet Corporation for Assigned Names and Numbers (ICANN) gemanagte Rootserver L und der unter Aufsicht des US-Verteidigungsministeriums stehende Rootserver G waren zeitweilig nicht mehr erreichbar. Nach Informationen von Experten wurden alle 13 Rootserver angegriffen, allerdings gab es bei der Mehrzahl nur leichte Einschränkungen. Das zeigt ein Blick auf den Monitoring Dienst des RIPE NCC in Amsterdam.

"Es handelt sich um Angriffe", bestätigte der der Chef der Technologiegruppe des RIPE NCC, Daniel Karrenberg. Der Root Name Service sei allerdings immer verfügbar gewesen. Warum es gerade die beiden Server getroffen hat, sei noch unklar. "Wir untersuchen noch", erklärte Karrenberg. Möglicherweise spielt eine Rolle, dass G und L nicht über weit verzweigte Anycast-Netze verfügen. Der F-Server der ISC, dessen Antwortzeiten ebenfalls leicht in die Höhe gingen, hat ein großes Netz von Anycast-Servern, die Anfragen an den Rootserver jeweils lokal beantworten.

Die französische Afnic war eine der ersten Registries, die die Angriffe bemerkten. Nach Darstellung von Afnic-Mitarbeiter Stéphane Bortzmeyer hat es einen ersten Testlauf für die Angriffe bereits um ein Uhr nachts mitteleuropäischer Zeit gegeben. Die Hauptangriffe seien dann zwischen 11 und 13 Uhr am heutigen Montagnachmittag gegen alle Rootserver und auch gegen eine Reihe von Servern gefahren worden, die von UltraDNS für verschiedene Top Level Domain Registries betrieben werden. Betroffen waren unter anderem die Domains .org, .info und .uk. Auch im Adressraum des Vatikan, (.va) wurde einer der Nameserver lahmgelegt. Bei der ICANN in Marina del Rey bei Los Angeles wird immer noch gekämpft. Dort waren auch die Website und weitere Dienste betroffen.

Die .de-Zone blieb demgegenüber verschont. Beim deutschen Austauschpunkt DE-CIX schüttelt Arnold Nipper den Kopf: Keine Beeinträchtigungen. Im übrigen zeige der Angriff wohl einmal mehr, dass das DNS ausreichend robust sei. Beim letzten großen Angriff im Jahr 2002 hatten die Betreiber der Root Name Server allerdings vor immer professionelleren Attacken gewarnt. Einen Witz erlaubte sich einer der Experten angesichts der Koinzidenz mit dem heutigen Safer Internet Day: es hätten wohl einige Leute den Tag des sicheren Internet auf ihre Weise begehen wollen.

Quelle : www.heise.de

Titel: Hintergünde der Attacken auf DNS-Rootserver noch unklar
Beitrag von: SiLæncer am 07 Februar, 2007, 20:26

Die Hintergründe der gestrigen Attacken auf die Rootserver des Domain Name Systems (DNS) sind weiter ungeklärt. Die Angriffe waren nach Einschätzung von Daniel Karrenberg aber "kein Ereignis", was den DNS Root Name Service angehe. "Der Service war jederzeit mehrfach redundant verfügbar", erklärte der Cheftechnologe des Amsterdamer RIPE NCC am Tag danach. Zwischen 11 und 13 Uhr deutscher Zeit am gestrigen Dienstag hatte eine Welle von Angriffen mindestens zwei der dreizehn Root Name Server nahezu komplett ausgeschaltet. Andere Root Server kamen offenbar besser mit der Attacke zu Recht und sorgten dafür, dass man auch beim RIPE NCC erst durch das hauseigene Monitoring wichtiger DNS-Server auf den Vorfall aufmerksam wurde.

"Alle Root Name Server Betreiber werden den Angriff genau analysieren", sagte Karrenberg, "und falls nötig operationelle Schlüsse daraus ziehen." Falls man dabei noch etwas Bemerkenswertes feststelle, werde RIPE NCC dies auch der Öffentlichkeit mitteilen. Keine Bestätigung gab es vorerst dafür, dass es sich um südkoreanische Hacker gehandelt haben soll, wie die Nachrichtenagentur AP berichtet hatte. Die Rückverfolgung großer Attacken gestaltet sich in der Regel schwierig, da sie zum Beispiel über weltweit verzweigte Bot-Netze gefahren werden. Die Herkunft der Anfragen, die die angegriffenen Server in die Knie zwingen, aus einer bestimmten Region sagt daher noch nichts darüber aus, wo der Angreifer sitzt.

Auch John Crain, Chief Technology Officer bei der Internet Corporation for Assigned Names and Numbers (ICANN), winkt beim Thema "koreanischer Hacker" ab. "Es ist noch zu früh für derartige Aussagen, wir werden noch eine ganze Weile brauchen, bis wir wissen, was genau passiert ist oder wer verantwortlich war." Ein Grund dafür, dass es den Root Server G und den von ICANN betriebenen L-Server stärker traf, könne aber die Nähe zu den offenbar doch stark involvierten asiatischen Netzen sein. Zudem bestätigte Crain, dass das Fehlen eines Anycast-Netzwerkes für die steil nach oben gehenden Antwortzeiten der beiden Server mit verantwortlich sei. Ein Anycast-Netz hätte die Last auf mehrere verzweigte identische Server verteilen können. "ICANN hat sich in der Tat entschieden, ein Anycast-Sytem für den L Root Server aufzubauen und arbeitet derzeit an der Implementierung. Wir haben gestern einige der eingeplanten neuen Server vorzeitig ans Netz gebracht, um die Last während des Angriffs abzufangen."

Unterdessen widersprach Neustar Ultra Services (ehemals UltraDNS) heute Berichten, nach denen ihre Serversysteme gezielt angegriffen worden seien. "UltraDNS war nicht das Ziel des Angriffs", teilte ein Sprecher des Unternehmens auf Anfrage von heise online mit. Allerdings blieb das Unternehmen weitere Erklärungen noch schuldig.

Quelle : www.heise.de

Titel: VeriSign will Gefahr von Cyberattacken verringern
Beitrag von: SiLæncer am 08 Februar, 2007, 19:38

Nur zwei Tage nach den jüngsten Attacken auf verschiedene Knotenpunkte des Domain Name System (DNS) kündigte der Betreiber von zwei der 13 Root Name Server, VeriSign, ein Upgrade seiner Systeme unter dem Namen "Titan" an. Der Ex-Monopolist, der auch die Registries für .com und .net sowie weiterer Top-Level-Domains (TLD) betreibt, will sich die Aufrüstung seiner Systeme bis 2010 insgesamt 100 Millionen Dollar kosten lassen. Das teilte VeriSigns CEO Stratton Sclavos auf der RSA Konferenz in San Francisco mit. Durch Titan soll VeriSigns Kernnetz fit gemacht werden für die nächste Generation des mobilen Internets, in dem Milliarden von Menschen zu jeder Zeit und von den verschiedensten Endgeräten aus kommunizieren, sagte Sclavos. Cyberattacken würden in den kommenden zwei Jahren nach VeriSigns Einschätzung jeweils um 50 Prozent in ihrer Zahl und ihrem Ausmaß zunehmen.

Als Kernelemente der geplanten Aufrüstung nennt VeriSign den Aufbau zusätzlicher Server an 100 verschiedenen Orten weltweit. Damit sollen die Antwortzeiten für .com und .net-Anfragen auch durch die geographische Nähe verkürzt werden. Die Kapazität von derzeit 400 Milliarden Anfragen pro Tag soll durch das verteilte Serversystem auf vier Billionen erhöht werden, teilte VeriSign in einer ausführlichen Pressemitteilung mit. Die Bandbreite in den Serversystemen soll von 20 Gbit/s auf 200 Gbit/s wachsen. In den USA und Europa sollen neue Network Operations Center aufgebaut werden, wo genau die neuen NOCs stehen sollen, ist allerdings noch nicht bekannt. Weiterhin will das Unternehmen zehn mal soviel Registrierungs- und Nameserver wie derzeit installieren will. Schließlich sollen neueste Monitoring Dienste dabei helfen, den .com- und .net-Datenverkehr besser gegen Attacken zu schützen, wie es sie diese Woche gab. Oft ließen sich schon vor den Angriffen Anomalien beobachten. Neue DNS-Sicherheitsprotokolle, damit ist wohl DNSSec gemeint, sollen ebenfalls der Sicherheit dienen.

Im Prinzip befürchteten viele Experten große "Amplifier Attacks", sagte Hans-Peter Dittler, Geschäftsführer der Braintec Netzwerk Consulting, beim heute gestarteten Treffen der deutschsprachigen Registries (DomainPulse). Der Hackerangriff vom Dienstag sei allerdings vergleichsweise harmlos gewesen, auch wenn zwei Root Name Server unter der Last zusammenbrachen. Laut Dittler kann eine derart "schlichte" DDoS-Attacke den durch viele Anycast-Instanzen jetzt weit verzweigten Root Server System nicht mehr so viel anhaben wie das noch 2002 der Fall war. "Nur so mit Dreck zu werfen reicht nicht", erklärte Dittler. Beim F-Root-Server, einem der Vorreiter bei Anycast, zeigte sich klar, dass nur einzelne Anycast-Instanzen sehr betroffen waren, andere dagegen völlig ohne Probleme weitergearbeitet hätten.

Die Investitionen von VeriSign wurden beim Domainpulse in ersten Reaktionen kritisch begutachtet. Um sie wirklich einschätzen zu können, müssten Zeitplan und konkrete Einzelmaßnahmen betrachtet werden, sagte Elmar Knipp vom deutschen Registrar Knipp Medien und Kommunikation GmbH. Mehrere Jahre habe die Registrargemeide immer wieder nachgefragt, wo genau die von VeriSign vertraglich vereinbarten 200 Millionen Dollar investiert worden seien. VeriSign hatte sich, so Knipp, im Rahmen der Verhandlungen um eine Trennung vom hauseigenen Registrar Network Solutions zu dieser Investition verpflichtet.

Unklar bleibt unterdessen die Frage, warum der Neustar UltraService (früher UltraDNS) ein so zentrales Ziel der Attacken war. Das Unternehmen hüllt sich nach wie vor in Schweigen . Doch meldeten eine Reihe von ccTLDs, die Kunden von UltraServices sind, dass ihre Systeme betroffen gewesen seien.

Quelle : www.heise.de

Titel: DNS-Attacke: Korea verortet Angreifer in Coburg
Beitrag von: SiLæncer am 23 Februar, 2007, 16:01

Die jüngsten Attacke gegen zentrale Server des Domain Name Systems (DNS) wurde über Computer in Südkorea gefahren. Über zahlreiche Rechner massenhaft verschickte Datenpakete hatten zwei Root Server lahm gelegt und die Nameserver von Adressbereichen wie .org und .uk überlastet. Einem Bericht der Korea Times zufolge räumte das koreanische Ministerium für Information und Kommunikation ein, dass 61 Prozent der Datenpakete in der Tat von Rechnern aus Südkorea gekommen seien. Gleichzeitig wies die Behörde den Verdacht entschieden zurück, auch der Hauptschuldige für den Angriff sitze in Korea. Vielmehr gab das Ministerium einen Fingerzeig auf einen Server in Deutschland.

"Wir haben in Erfahrung gebracht, dass ein Host Server im deutschen Coburg eine Vielzahl koreanischer Rechner manipuliert hat, den DOS-Angriff auf die Root Server zu starten," sagte dem Zeiungsbericht zufolge Lee Doo-Won vom Ministerium für Information und Kommunikation. Die koreanischen Rechner hätten lediglich die Rolle von "Zombies" gespielt. Die Besitzer der PCs seien zumeist völlig ahnungslos von den Vorgängen. Das Bundeskriminalamt konnte die Darstellung der koreanischen Behörde gegenüber heise online nicht bestätigen und wollte aus "kriminaltaktischen Gründen" keine weiteren Angaben machen.

Aufgrund seiner hohen Breitbandpenetration ist Korea für Botnetzbetreiber besonders interessant. Rund 14 Millionen der 15,5 Millionen Haushalte hängen an einem breitbandigen, always-on Internetanschluss. Auf diese hohe Pentrationsrate – es ist die höchste weltweit – ist man zwar einerseits stolz. Andererseits bezeichnen Experten sie mit Blick auf Aktivitäten der Botnetz-Betreiber als "zweischneidiges Schwert". Mit der geplanten, weiteren Aufrüstung des Netzes von 2 Mbps auf 100 Mbps in den kommenden Jahren könnte Korea für Hacker und Online-Kriminelle noch attraktiver werden: Nie gab es für Botnetze so viel Bandbreite wie in Korea.

Das neue Hochgeschwindigkeitsnetz werde Hackern ein Maschinengewehr statt einer traditionellen Waffe in die Hand geben, warnte die Korean Information Security Agency (KISA) gegenüber der Korea Times. Ein echtes Problem sei dabei auch die Windows-Monokultur auf den superschnellen, aber wenig gesicherten Rechnern der Bürger. Dass der Angriff im Februar so glimpflich ausging, lag nach Ansicht von Experten daran, dass er nicht besonders raffiniert vorgetragen wurde. Sie warnten aber davor, dass ein vergleichbarer Angriff auf ein weniger redundantes System, etwa ein Firmennetz, durchaus erfolgversprechend sei. Für das Root-Server-System müssten dagegen größere Kaliber aufgefahren werden.

Die Erfolgsaussichten auf der Jagd nach den Botnetzbetreibern und den Angreifern, die sich dieser Netze bedienen, bleiben dabei offensichtlich miserabel. Der Angreifer, der für die letzte große Attacke auf das DNS im Jahr 2002 verantwortlich war, ist bis heute nicht gefunden, sagte kurz nach der Februar-Attacke der ehemalige Berater des US-Ministeriums für Heimatschutz (Department of Homeland Security), Howard Schmidt gegenüber US-Journalisten. Auch zum aktuellen Fall hat das FBI wieder Ermittlungen aufgenommen. In Japan trägt man sich in Regierungskreisen bereits mit dem Gedanken, die Internet-Provider bei der Bekämpfung von Botnetzen mit in die Verantwortung zu nehmen.

Unbeantwortet bleiben nach wie vor Fragen, warum sich die Angreifer abgesehen von den Root Servern vor allem auf TLD Server stürzten, die von Neustars Ultra Services (ehemals UltraDNS) betrieben werden. Neustar selbst verweigerte bislang einen Kommentar. Die gestern angekündigte Entscheidung der BIND-Schmiede ISC, für den F-Root Server ebenfalls auf Ultra Services, beziehungsweise Neustars "DNS Shield" System zu setzen, dürfte Neustar allerdings gerade recht kommen. Die Partnerschaft werde einen hochwirksamen Schutz für bedrohte kritische Infrastrukturen gegen Angriffe wie die jüngste DDoS-Attacke realisieren, schreiben die beiden Unternehmen. Neustar fungiert derzeit Backend-Provider für 20 Top Level TLDs.

Quelle : www.heise.de

Titel: ICANN veröffentlicht Bericht zu DNS-Attacken
Beitrag von: SiLæncer am 09 März, 2007, 19:28

Alle zentralen Rootname Server sollen Anfragen schon bald über ein System von Anycast-Servern beantworten. Damit lassen sich die Effekte von Angriffe wie die Distributed Denial of Service Attacke (DDoS) im Februar mindern. Diesen Schluss zieht die Internet Corporation for Assigned Names and Numbers (ICANN) in einem Bericht zu der jüngsten Attacke, bei der vom US-Verteidigungsministerium in Ohio (G) und der von ICANN selbst in Kalifornien betriebene Rootserver (L) zeitweilig ausgefallen waren.

Laut ICANN-Bericht gab es zwei Angriffswellen. Die erste startete nachts um 01:00 Uhr mitteleuropäischer Zeit, die zweite, die fünf Stunden angedauert habe, einige Stunden später. Obwohl Internetnutzer praktisch nichts von der Attacke gemerkt hätten, stellt der Bericht diese den Angriffen aus dem Jahr 2002 gleich. Damals waren 9 der 13 Rootserver zeitweilig ausgefallen. Die erhöhte Widerstandskraft des DNS beim aktuellen Angriff resultiert laut dem Bericht auch aus der Verbreitung des Anycast-Systems, das für eine Verteilung (load balancing) des Datenverkehrs sorge.

Damit wird auch erklärt, warum es gerade den ICANN-Server und den des US-Verteidigungsministeriums getroffen hat – beide arbeiten nach wie vor ohne Anycast. Nicht alle Rootserver-Betreiber hätten Anycast sofort eingeführt, so heißt es im Bericht weiter, da es zu Beginn Sicherheitsbedenken gegen die Verbreitung der Anycast-Instanzen gegeben habe. Nachdem sich Anycast aber inzwischen insgesamt als positiv erwiesen habe, würden auch die die Rootserver D, E, G, H und L diese Technik bald einführen.

Zur Identität und den Motiven der Angreifer gibt auch in diesem Bericht keine neuen Erkenntnisse. Der in koreanischen Medien berichtete Fingerzeig nach Deutschland hat die ICANN-Experten offenbar nicht weitergebracht. "Tatsächlich sind die Ingenieure ziemlich sicher, dass der Angriff aus dem Bereich Asien-Pazifik kam", heißt es im Bericht. "Aber selbst wenn das so ist, heißt es nicht, dass derjenige, der dahintersteckt, tatsächlich auch von dort stammt. Denn sie könnten die Angriffe von überall im Netz angestoßen haben, also auch von überall in der Welt". Das Motiv könne dabei eine "Werbekampagne" für die Kapazität des eigenen Botnetzes sein, so ICANN.

Dieses Szenario hält Hans-Peter Dittler, Geschäftsführer der Braintec-Consult und langjähriges Vorstandsmitglied der deutschen Internet Society (ISOC), für gar nicht so unrealistisch. Um echten Schaden anzurichten, sei der Angriff nämlich deutlich zu einfach gewesen. Dass man den Angreifer noch aufspüren kann, hält Dittler für unwahrscheinlich. "Politiker und Strafverfolger und alle anderen müssen begreifen, dass die Zurückverfolgung einer solchen Attacke im Nachhinein praktisch unmöglich ist", erklärte Dittler. Denn die Angreifer bedienen sich nicht nur der Botnetze, sondern verschleiern die Attacken hinter mehreren Ebenen dazwischen geschalteter, manipulierter Server. Die Spur zur eigentlichen Quelle werde dabei in der Regel verwischt, bevor die Verfolger dort angekommen seien so Dittlers Einschätzung. Auch die Vorratsdatenspeicherung hilft da nichts, nicht einmal wenn sie neben den Verkehrsdaten jede einzelne Datenbewegung im Netz aufzeichnen würde.

So bleiben den DNS-Betreibern im Ernstfall der Attacke vorerst vor allem zwei Möglichkeiten: Entweder müssen die Server alle ankommenden Pakete eben brav "aufsaugen" und sich dafür zusätzliche Kapazitäten sichern oder sie müssen die "schlechten" Datenpakete aussortieren. Bei der jüngsten Attacke wurden so alle Pakete, die größer als 512 Byte groß sind, einfach herausgefiltert.

Quelle : www.heise.de

Titel: DNS soll sicherer werden: DNSSEC-Testlauf startet
Beitrag von: SiLæncer am 13 Mai, 2009, 16:13

Eine neue Sicherheitserweiterung im Domain Name System (DNS) soll zukünftig verhindern, dass Angreifer einen Nutzer auf betrügerische Webseiten umleiten können.

Der Registrator für .de-Domains DENIC, der Provider-Branchenverband Eco und das Bundesamt für Sicherheit in der Informationstechnik (BSI) starten dazu eine gemeinsame Initiative. Innerhalb einer von der DENIC bereitgestellten Testumgebung werden in der nächsten Zeit operative und technische Erfahrungen mit DNSSEC, teilten die Partner mit.

"Das Verfahren birgt große Chancen, erfordert aber umfangreiche Veränderungen auf allen Ebenen des Domain Name Systems", sagte Harald A. Summa, Geschäftsführer des Eco. "Es ist daher wichtig zu wissen, ob es sicher und zuverlässig funktioniert, bevor man es großflächig einführt."

Durch den Test sollen mögliche Risiken im Betrieb von DNSSEC frühzeitig ausgeschlossen werden, ergänzte Sabine Dolderer, Chefin der DENIC. Die Sicherheitserweiterung wird hierzu in einer produktionsnahen Umgebung getestet, um Schwachstellen und Probleme zu identifizieren und Lösungen zu finden.

"Wir halten die Einführung von DNSSEC auch im internationalen Rahmen für einen unverzichtbaren Bestandteil zur Sicherheit des Internets. Daher wird bei einem positiven Abschluss der notwendigen Tests DNSSEC für Netze der öffentlichen Verwaltung in Deutschland eingeführt werden, kündigte Hartmut Isselhorst, zuständiger Abteilungsleiter des BSI, an.

Quelle : http://winfuture.de

Titel: DNSSEC: Experten warnen vor politischen Risiken und technischen Nebenwirkungen
Beitrag von: SiLæncer am 25 Juni, 2009, 13:20

Der Umzug einer Domain von einem Provider zu einem anderen könnte nach der Einführung des Sicherheitsprotokolls DNS Security Extension (DNSSEC) erhöhte Vorsicht erfordern. Da der mittels DNSSEC für eine Zone hinterlegte private Schlüssel nicht ohne weiteres umziehen kann, könnte der Abgleich von privatem und öffentlichem Schlüssel fehlschlagen. Im schlimmsten Fall käme es zum Black-out der Domain, warnten Experten beim Treffen der Internet Corporation for Assigned Names and Numbers (ICANN) in Sydney.

Nachdem die US-Regierung inzwischen auf eine Signierung der Rootzone noch in diesem Jahr drängt und immer mehr Top Level Domains DNSSEC-Tests starten, sei ein Standard zur Abwicklung solcher Umzüge notwendig. DNSSEC soll durch eine ins DNS eingebaute PKI-Architektur die Authentifizierung von Domains verbessern.

Schwierig wird es laut dem Cisco-Ingenieur Patrik Fältström für den Domaininhaber, wenn der Umzug mit einem Wechsel des DNS-Providers verbunden ist. Der DNS-Provider kann dabei der Domainregistrar sein, aber auch der Hosting- oder der Internet-Provider. In Schweden, dessen Länderzone .se bereits seit einigen Jahren signiert ist und wo manche Provider ihren Kunden die Signierung ihrer Domains anbieten, sollten Provider, die kein DNSSEC anbieten, bei umgezogenen Domains etwaige DNSSEC-Einträge löschen. Allerdings passiert das laut Fältström häufig nicht. Daher hofft er darauf, dass die Internet Engineering Task Force (IETF) möglichst schnell ein Standardverhalten empfiehlt.

Grundsätzlich müsse genau durchgespielt werden, wie der Wechsel von Registraren, Domaininhabern und DNS-Betreibern auf die Validierung der DNSSEC-Signaturen durchschlage. Beim anstehenden deutschen Test sollen die verschiedenen Szenarien angeschaut werden, sagt das DeNIC, das am 2. Juli zu einem Workshop lädt.

Während die Diskussionen zur Implementierung und den technischen Nebenwirkungen von DNSSEC an Fahrt gewinnt, werden die politischen Risiken weiterhin hinter vorgehaltener Hand diskutiert. So richtig zufrieden ist niemand mit der von der US-Verwaltung ausersehenen Architektur zur Signierung der Rootzone. VeriSign übernimmt laut einer Präsentation von Ashley Heineman von der National Telecommunications and Information Administration (NTIA) in Sydney nicht nur die Signierung der Rootzone. Der Marktführer bei Domainregistrierungen, Betreiber der Rootzone fürs DNS und auch fürs Object Naming System (ONS), hat laut dem von Heineman vorgestellten Architekturplan auch bei der Signierung des Rootschlüssels (ZSK), beim "Key signing key" (KSK), seine Finger mit im Spiel.

Allerdings wird über die Festlegung der Datenflüsse zwischen VeriSign und der von der ICANN betriebenen Internet Assigned Numbers Authority (IANA) offenbar noch diskutiert. Experten pochen darauf, dass bei der Übertragung der zunächst unsignierten und später signierten Zonendaten zwischen IANA und VeriSign für absolute Manipulationssicherheit gesorgt wird. ICANN und zahlreiche Experten hatten sich zunächst die Signierung in einer Hand gewünscht und dies möglichst nahe an der Stelle, wo die Zonendaten generiert werden. Das Hin und Her zwischen verschiedenen Providern gilt als möglicher Angriffspunkt.

Andererseits gibt es offenbar jetzt auch Hinweise darauf, dass die NTIA die Forderung nach einer Aufteilung von ZSK und KSK nun auch umsetzen solle. Wird die Rolle der IANA/ICANN weiter beschnitten und weitere Aufgaben innerhalb der DNSSEC-Architektur an VeriSign vergeben, könnte die internationale Debatte um die Root-Signierung nochmals aufflammen. Bislang hat die Komplexität von DNSSEC der NTIA gestattet, nach eigenem Gutdünken zu verfahren.

Quelle : www.heise.de (http://www.heise.de)

Titel: DNSSEC-Test soll Probleme lösen helfen
Beitrag von: SiLæncer am 02 Juli, 2009, 19:45

Rund 50 Registrare und Netzwerkprovider wollen DNS Security Extensions (DNSSEC) testweise implementieren. Das ergab eine kleine Umfrage unter Interessenten des ersten DNSSEC-Tests, den die deutsche Registry DENIC, das Bundesamt für Sicherheit in der Informationstechnik (BSI) und der eco Verband am heutigen Donnerstag in Frankfurt gestartetet haben. Teilnehmer der Auftaktveranstaltung zeigten sich interessiert, aber auch skeptisch.

Experten versprechen sich von der durch Schlüsselabgleich realisierten Sicherheitserweiterung ein wirksames Mittel gegen Manipulation des Domain Name Systems (DNS), der zentralen Namensverwaltung des Internets. Ein Allheilmittel für Sicherheitsprobleme sei DNSSEC aber nicht. Zudem warnen Experten davor, dass die Komplexität der DNSSEC-Verfahren die Verfügbarkeit des DNS beeinträchtigen könnte. Vollständig marktreif sei das System noch nicht, sagte DENIC-Geschäftsführerin Sabine Dolderer.

Noch fehle es an guten Automatisierungstools für Signierung oder Re-Signierung, räumt Ralf Weber von Colt Telecom ein. Der Betrieb eines Validierungsservers könne daher für Provider ein einfacher Einstieg sein. Als harte Nuss betrachten die Experten auch den Umzug von signierten Domains von einem Provider zum anderen. Schließlich macht auch die Hardware, etwa die DSL-Box beim Endkunden, noch Scherereien. Von Tests in Großbritannien und Schweden, wo DNSSEC bereits eingeführt ist, weiß man, dass viele Heimrouter DNSSEC noch nicht beherrschen. Auch Windows Vista unterstützt DNSSEC noch nicht.

"Daher machen wir das Testbed, damit wir das hin bekommen", sagte Thorsten Dietrich vom BSI. Als eigenen Beitrag zum DNSSEC-Test will das BSI in den kommenden Monaten Router der deutschen Zugangsprovider auf ihre DNSSEC-Tauglichkeit und die Ipv6-Unterstützung prüfen. Das "DNSSEC Testbed für Deutschland" will mit allen Interessierten in einem "produktionsnahen Umfeld" den Betrieb eines per DNSSEC abgesicherten paralellen DNS testen. Dabei sollen Erfahrungen gesammelt werden, die Auskunft über die Auswirkungen dieser Umstellung auf die Sicherheit und die Zuverlässigkeit des Internets geben.

Mehrfach angesprochen wurde in Frankfurt auch die Wechselwirkung von DNSSEC mit DNS-Umleitungen, etwa die von Familienministerin Ursula von der Leyen (CDU) durchgedrückten Internetsperren. Technisch seien DNS-Umleitungen kein echtes Problem, insbesondere blieben die gesperrten Seiten unzugänglich. Die vom BSI positiv bewertete Integration von DNS-Resolvern in Engeräte auf Nutzerseite hätte zur Folge, dass diese dann die Stopp-Antworten als Manipulation erkennen und verwerfen würden.

Quelle : www.heise.de (http://www.heise.de)

Titel: DNSSEC: Größte Veränderung in der Geschichte des DNS
Beitrag von: SiLæncer am 29 Juli, 2009, 15:08

Ende 2010 will der zuständige Registrar VeriSign die .net-Zone, mit DNSSEC-Signaturen versehen und damit sicherer machen gegen Man-in-the-Middle-Attacken. Anfang 2011 soll dann die größte Zone signiert werden: .com. VeriSign-Ingenieur Matt Larson bezeichnete beim IETF-Meeting in Stockholm die Einführung von DNSSEC als größte Veränderung in der Geschichte des DNS. Das Internet werde nach der Signierung nicht mehr das gleiche Internet sein, meinte auch Olaf Kolkmann, der beim Internet Society Roundtable aus der Perspektive der Entwickler sprach. DNSSEC erlaubt die Überprüfung der Authentizität einer DNS-Antwort durch den Abgleich eines kryptographisch gesicherten Schlüsselpaares.

Eine ganze Reihe von Ankündigungen kam bei dem Round-Table auf den Tisch: Frisch signiert ist etwa die Internet Domain der Internet Engineering Task Force (IETF), www.ietf.org (http://www.ietf.org). Das berichtete Jim Galvin von Afilias, Backendbetreiber für die von der Public Interest Registry betriebene .org-Domain. Diese ist seit dem 2. Juni signiert und hat bereits das erste Update ihres Zonenschlüsselpaares hinter sich. Den so genannten Key Signing Key (KSK), also den Masterschlüssel, der den Zonenschlüssel sichert, werde man ebenfalls demnächst austauschen. Allerdings, so meinte Galvin im Gespräch mit heise online, erwarte man wenig Überraschungen dabei. Noch sind lediglich eine ausgesuchte Zahl von Domains in .org signiert, und zwar insbesondere solche, deren Betreiber das Geschäft und die technischen Anforderungen genau kennen.

Was passiert, wenn in der Zukunft die zentrale Rootzone des DNS solche Schlüsselupdates fahren muss, wisse man wirklich erst, wenn man es zum ersten Mal mache, meinte Galvin. Die politisch nicht unumstrittene Signierung der Rootzone ist laut Larson und Rick Lamb, DNSSEC Projektmanager bei ICANN, nach wie vor für Ende 2009 geplant.

Die US-Regierung hatte [ticker: 137429 handstreichartig] VeriSign zum Manager des Schlüssels für die Rootzone und ICANN zum Hüter des Masterschlüssels ernannt. Seit Anfang Juli kursiert unter Experten ein Dokument von ICANN, NTIA und VeriSign zu den Anforderungen. Die genauen Verfahren werden aktuell noch zwischen ICANN und VeriSign ausgehandelt. Mit bedacht werden muss dabei unter anderem, dass beim Transfer der Schlüssel zwischen ICANN und VeriSign keine Angriffsstellen entstehen. Alles machbar, versicherten Lamb und Larson.

Die Hauptarbeit kommt wohl insbesondere auf Registries und Registrare zu. Einfach jede Systemkomponente bei der Registrierung von Domains muss nachgerüstet werden, vom Registry-Registrar-Protokoll EPP bis zu den Geschäftsbedingungen oder eigens für die Signierung vorgesehenen Servern. Zudem werden die zusätzlich mit kryptographischen Schlüssel gefüllten Zonen unhandlicher. "Alles wird eben einfach größer" sagte Larson. Die neunzig Millionen Domains enthaltenden .com- und .net-Zonen werden werden auf das Drei- bis Vierfache aufgeblasen. Galvin berichtete von einem Ansteigen des TCP-Verkehrs auf den .org-Servern auf das Doppelte bis Dreifache. Mit verantwortlich sei wohl, dass die größeren Datenpakete auf dem Weg zum Empfänger verworfen werden.

Trotz solcher Schwierigkeiten jubelte Lamb, eine signierte Rootzone könne auch der Ausgangspunkt eines globalen PKI-Systems sein. Bislang seien Bemühungen um eine globale PKI-Architektur daran gescheitert, dass sich Regierungen, aber auch der Markt niemals auf eine vertrauenswürdige globale Zertifizierungsstelle hätten einigen können. Das DNS sei aber als verteilte Architektur schon vorhanden. Auf die Frage, warum Regierungen oder der Markt einem von einer von den US-Behörden beaufsichtigten Organisation und einem privaten, kommerziellen Unternehmen wie VeriSign mehr vertrauen sollten, sagte Lamb: "Weil es kein von oben verordnetes, sondern von der Gemeinschaft von unten aufgebautes System ist." So ganz stimmt das nicht, denn wie das System organisatorisch funktioniert, wird sehr wesentlich von den US-Behörden bestimmt.

Quelle : www.heise.de (http://www.heise.de)

Titel: Erster Rootserver liefert ab 1. Dezember DNSSEC-signierte Zone
Beitrag von: SiLæncer am 07 Oktober, 2009, 11:19

Ab dem 1. Dezember wird die zentrale Rootzone des Domain Name System (DNS) signiert und damit das seit Jahren diskutierte Protokoll DNS Security Extensions (DNSSEC) in die Praxis umgesetzt. Das haben Joe Abley von ICANN und VeriSign Manager Matt Larson nun auf dem 59.Treffen des "Réseaux IP Européens" RIPE in Lissabon angekündigt. Allerdings wird die signierte Rootzone erst nach und nach an die insgesamt 13 Rootserver verteilt, der öffentliche Schlüsselteil soll erst ab dem 1. Juli 2010 verbreitet werden. Erst dann können die Antworten tatsächlich validert werden. DNSSEC soll dafür sorgen, dass Antworten auf DNS-Anfragen nur noch vom dafür autorisierten Server kommen kann.

Seitdem der Sicherheitsexperte Dan Kaminsky gezeigt hat, wie leicht sich solche Antworten fälschen und anfragende Nutzer damit in die Irre führen lassen, haben Experten unter Hochdruck an der Einführung von DNSSEC gearbeitet. Den Zeitpunkt der beschleunigten Einführung hat das US-Handelsministerium verfügt, das auch entschied, dass VeriSign und die ICANN gemeinsam die Signierung der Rootzone übernehmen sollen.

Auf dem RIPE wurde begrüßt, dass DNSSEC in die Praxis umgesetzt wird. Die langsame Herangehensweise bezeichnete Olaf Kolkman von Nlnet Labs als "klug". Abley erklärte, man wolle schrittweise vorgehen, um zu verhindern, dass das DNS wegen der erwarteten größeren Antworten auf die Anfragen an die Rootserver in die Knie geht. Wenn erst ein Rootserver die signierte Zone liefert, sei zu beobachten, wie viele Server im Netz die signierten Antworten "umrouten" und sich bei den unsignierten Varianten bedienen.

Eine weitere Design-Entscheidung ist möglicherweise dem ambitionierten Zeitplan geschuldet. Der Schlüssel für die Rootzone soll ein RSA 1024-bit-Schlüssel werden und kein längerer 2048-bit-Schlüssel. Die Zone soll mit NSEC und nicht mit dem Nachfolgestandard NSEC3 signiert werden. Da der Schlüssel nur für vier Monate gültig sei, reiche das aus, trotz der von den US-Behörden bereits ausgegebenen Direktiven zu längeren Schlüsseln zu migrieren. Für den Masterschlüssel dagegen wird die längere Schlüsselvariante (2048-bit RSA) benutzt. Diese wird nur alle zwei bis fünf Jahre ausgetauscht.

Immer mehr ccTLD-Manager haben in den vergangenen Monaten angekündigt, dass sie ihre Zonen ebenfalls mit DNSSEC signieren wollen. Zuletzt gab die Schweizer .ch- und .li-Registry Switch den DNSSEC-Start bekannt. Auf dem RIPE-Treffen in Lissabon sagte Sara Monteiro von der .pt-Registry FCCN, sie sei von der Signierung lediglich Monate entfernt. Das DeNIC startete kürzlich einen allerdings auf zwei Jahre angelegten Testbetrieb. Je dichter die DNSSEC-Kette geschlossen ist, desto sicherer wird das DNS. Allerdings erwarten Experten auch Beeinträchtigungen, insbesondere immer wieder den Ausfall von Domains, weil nicht rechtzeitig neu signiert wird.

Quelle : www.heise.de

Titel: DNS: Sieben Schlüsselbewahrer für die Rootzone
Beitrag von: SiLæncer am 11 November, 2009, 14:10

Die Vorbereitungen für die Absicherung der Rootzone des Domain Name Systems (DNS) mit dem Protokoll DNS Security Extensions (DNSSEC) gehen in die heiße Phase. Beim 76. Treffen der Internet Engineering Task Force (IETF) in Hiroshima präsentierte das Design-Team von VeriSign, der Internet-Verwaltung ICANN und der US-Behörde NTIA  die scharfen Sicherheitsbestimmungen, unter denen die verschiedenen notwendigen Schlüssel erzeugt, aufbewahrt und erneuert werden. Sorge bereitete den Entwicklern bei der IETF, dass noch Kanäle dafür fehlen, mögliche Effekte des DNSSEC-Roll-Out ab Januar den Internet Service Providern zu erklären, beziehungsweise deren Beobachtungen zu Problemen abzufragen.

Im Oktober überraschten ICANN und VeriSign mit dem Zeitplan für die DNSSEC-Signierung der Rootzone. Bereits am ersten Dezember wird intern signiert, ab Januar publiziert der erste Rootserver die Zone nach außen. Mittels der kryptographisch abgesicherten DNSSEC-Signaturen soll verhindert werden, dass DNS-Informationen auf dem Weg vom Absender zum Empfänger verändert werden. Der Abgleich von privatem und öffentlichem Schlüssel offenbart, wenn Antworten nicht von der richtigen Domain kommen.

Die Signierung der Rootzone ist notwendig, um die Vertrauenskette innerhalb des Domain Name System zur Umsetzung von Domain- und Host-Namen auf IP-Adressen durchgängig zu machen; erste Top Level Domains wie .se und .org haben ihrer Zonen bereits signiert. Da der Eingriff ins DNS erheblich ist und bei Fehlern ganze Zonen vom Netz verschwinden können, soll der Roll-Out in kleinen Schritten erfolgen. Nacheinander werden ab Januar die Rootserver L, J, M, I,  D, K und so weiter signierte Antworten ausgeben. Voraussichtlich im Mai wird A als letzter Server hinzukommen. A erst ganz zum Schluss einzubeziehen, sei eine schlechte Idee, warnten die IETF-Entwickler, es befördere den längst überholten Mythos, dass A etwas besonders sei.

Jakob Schlyter vom Beratungsunternehmen Kirei sagte gegenüber heise online, es sei heute nicht mehr so, dass DNS-Resolver bei Priming-Anfragen, also bei einem ersten Abruf der Rootzone, immer zuerst auf A zurückgriffen. Die Wahl, A ans Ende zu setzen, sei reine Vorsicht. Einen möglichen Stopp des gesamten Roll-Outs für den schlimmsten Fall hält man sich ebenfalls offen: Bis Juli wird ein nicht validierbarer Schlüssel präsentiert. Damit lasse sich jederzeit die signierte Zone zurückziehen, ohne dass diejenigen, die bereits validierten, keine DNS-Zonen und -Auflösung mehr sähen.

Die enormen Vorsichtsmaßnahmen spiegeln sich schließlich auch beim Schlüsselmanagement, das in hoch gesicherten Rechenzentren und mit Gruppen von "Schlüsselbewahrern" stattfinden wird. Die Internet-Verwaltung ICANN hält dabei den Masterschlüssel (Key Signing Key) über das ganze System einschließlich des Schlüssels für die Rootzone; die ICANN sucht dafür derzeit sieben Personen, von denen jeweils mindestens fünf anwesend sein müssen, um einen neuen Masterschlüssel zu erzeugen, und mindestens drei für neue Signaturen.

Der Aufwand, der betrieben wird, ist beachtlich. Die eigentlichen Tokens, die die zur Signatur- und Schlüsselgenerierung vorgesehene Hardware freischalten, liegen in verschlossenen Boxen bei der ICANN.  Die Schlüssel zu diesen Boxen bringen die Schlüsselbewahrer, die aus der ganzen Welt kommen sollen,  zu den Schlüsselzeremonien mit. Alle zwei bis fünf Jahre soll ein neuer Masterschlüssel erzeugt werden; bei Notfällen  kann dies auch in kürzeren Zeiträumen passieren. Weil man für die sieben Schlüsselbewahrer aus dem Umfeld der ICANN und der IP-Adressverwaltungsstellen jeweils zwei Stellvertreter sucht, benötigt man 21 vertrauenswürdige Personen.

Ähnliche Verfahren gibt es bei VeriSign für das Management des Rootzonen-Schlüssels (Zone Signing Key, ZSK). Anders als der Key Signing Key wird dieser viermal im Jahr ausgetauscht. Während der Übergangsphase liegen alter und neuer Schlüssel bereit. Damit nicht jeder neue ZSK vom Masterschlüssel signiert werden muss, bekommt VeriSign von der ICANN zudem einen Satz von KSK-Signaturen. Ob deren Verlust nicht zu einer Unsicherheit führe, wollte Joao Damas, Entwickler der BIND-Schmiede ISC wissen. Das Signaturen-Bündel und der Rootzonenschlüssel seien "tief im Hause VeriSign" verborgen, entgegnete Matt Larson, Vizepräsident und DNSSEC-Verantwortlicher bei VeriSign.

Während die Entwicklergemeinde über die Sicherheitsmaßnahmen insgesamt beruhigt war, hagelte es Nachfragen zur als dringend notwendig erachteten Informationskampagne. Mit der Lieferung der längeren DNSSEC-Antworten nimmt die Last auf die DNS-Server zu. Alte DNS-Resolver haben Schwierigkeiten mit den langen Antworten,  stellen neue Anfragen über das schwergewichtigere TCP, was erneut die Last erhöht. Die Nutzer sollten vorerst nichts von alledem sehen, versichern die Experten vollmundig. Höhere Latenzzeiten könnten aber schon zu Anrufen von Nutzern führen, warnte ein Experte. Provider müssten wissen, wohin sie ihre Beobachtungen melden sollten.  Der volle Spaß, wenn wirklich validiert werden kann, beginnt im kommenden Juli – wenn alles gutgeht.

Quelle : www.heise.de

Titel: Tests zur Sicherung der DNS-Zonen gestartet
Beitrag von: SiLæncer am 17 Dezember, 2009, 16:30

Die Internet Corporation for Assigned Names and Numbers (ICANN) und das US-Unternehmen VeriSign informieren nun auf einer eigenen Webseite über den Start der Signierung der Rootzone. Die den Signaturen zugrunde liegende Architektur "Domain Name System Security Extensions" (DNSSEC) soll dafür sorgen, dass Antworten auf DNS-Anfragen nur vom richtigen Server kommen können. Seit dem ersten Dezember ist die oberste Zone im DNS, die Rootzone, signiert, allerdings vorerst nur intern. In der Woche ab dem 11. Januar 2010 soll der L-Server als erster der 13 Rootserver die signierte Zone liefern.

Auch beim DeNIC ging ein DNSSEC-Test am 1. Dezember in eine Vorphase, in der Provider zwei eigens aufgesetzte Testserver in Frankfurt und Amsterdam ansprechen können – vorerst allerdings noch ohne DNSSEC-Signaturen. Getestet wird in unterschiedlichen Konfigurationen auf einem Server mit Bind-Software, auf dem anderen mit Unbound. Genau wie bei der Rootzone geht es im Januar in die nächste Runde. Schon in der ersten Januarwoche liefern die beiden Testserver eine signierte de-Zone. Ende Januar soll bei einem Treffen eine erste Bilanz gezogen werden.

Während der .de-Test durch die zwei eigens aufgesetzten Server vollständig vom tatsächlichen Betrieb der Zone getrennt läuft, sollen die Signaturen in der Rootzone "weich" gestartet werden: Bis Ende Juni werden die 13 Rootserver Schlüssel ausgeben, die nicht validiert werden können, auch wenn ein Provider aus Versehen bereits versucht zu validieren. Dadurch soll ein Stopp der Signierung möglich sein, falls es zu größeren Problemen bei Providern oder deren Endkunden käme. Solche Probleme könnten etwa durch längere, weil mit Signaturen versehene, DNS-Antworten entstehen.

Das DeNIC will sich zur Sicherheit lieber noch etwas mehr Zeit nehmen. Der Test soll bis Anfang 2011 dauern. Erst dann wird über den Wirkbetrieb entschieden.

Quelle : www.heise.de

Titel: InternetX: Viele Websites wegen DNS-Problemen offline
Beitrag von: SiLæncer am 06 Januar, 2010, 18:33

Angeblich DDoS-Angriff auf United-Internet-Tochter

Ein Ausfall der DNS-Server von InternetX sorgt seit heute Mittag dafür, das zahlreiche Webseite nicht erreichbar sind. Eine Stellungnahme von InternetX steht bislang aus.
Seit etwa 13 Uhr sind die DNS-Server von InternetX kaum oder gar nicht zu erreichen. Dadurch ist der Zugriff auf viele Websites, die ihre DNS-Einträge dort hosten, nicht mehr möglich, sofern sich nicht noch Einträge im Cache befinden.

Über InternetX wickelt United Internet sein deutsches Resellinggeschäft ab. Rund 19.500 Reseller nutzen die Dienste von InternetX, wo mehr als 2,9 Millionen Domains liegen.

Die Hotline von InternetX ist kaum zu erreichen, zumal in Bayern, wo das Unternehmen seinen Sitz hat, heute Feiertag ist. In einer E-Mail an seine Reseller hat InternetX die Störung bestätigt. Demnach findet aktuell ein massiver DDoS-Angriff (Distributed Denial of Servcice Angriff) auf die Infrastruktur von InternetX statt. Dieser gilt insbesondere dem Nameserverpool. Auch Golem.de ist von der Störung betroffen.

Im November 2008 hatte es bereits ähnliche Probleme gegeben. Damals fand ein aggressiver DDoS-Angriff auf die Server von InternetX statt.

Quelle : www.golem.de

Titel: BSI-Studie: Viele Heimrouter beherrschen kein DNSsec
Beitrag von: SiLæncer am 27 Januar, 2010, 16:31

Nur neun von 38 DNS-Proxies in gängigen Heimroutern unterstützen die neue Sicherheitserweiterung DNS Security Extensions (DNSsec). Das geht aus einer Studie hervor, die Thorsten Dietrich vom Bundesamt für Sicherheit in der Informationstechnik (BSI) beim zweiten DNSsec-Workshop  des DeNIC in Frankfurt vorgestellt hat. Die Studie soll im nächsten Monat veröffentlicht werden. Zu den untersuchten Routern gehören 13 freiverkäufliche Modelle und 25 Geräte, die im Rahmen von DSL-Verträgen an Endnutzern verkauft werden.

Die DNS-Erweiterung DNSsec authentifiziert mittels kryptographischer Signaturen die Antworten auf DNS-Anfragen, sodass sie sich nicht mehr durch die von Dan Kaminski beschriebenen Sicherheitslücken des DNS-Protokolls fälschen lassen. Seit Anfang Januar bietet das DeNIC zu Testzwecken eine signierte Version der de-Zone an. Probleme wie die mangelnde DNSsec-Kompatibilität von Endgeräten beschäftigt jetzt, da immer mehr Registries für den Einsatz werben, allerdings die Gemeinde von DNS-Betreibern, Registraren und Herstellern (siehe Domain Name System absichern mit DNSsec auf heise Netze).

Der Test der marktüblichen Heimrouter fiel besonders in Hinsicht auf die Unterstützung von EDNS0 und TCP schlecht aus. EDNS0 erweitert DNS um neue Funktionen und umgeht mit einem eigenen Format die starre, auf 512 Byte festgelegte Länge des DNS-UDP-Pakets. Nur vier Geräte beherrschen das heute als Standard vorgesehene EDNS0-Protokoll. Bei DNS-Antworten über UDP sei EDNS0 essentiell für DNSsec, das wegen der dabei erzeugten kryptographischen Signaturen spielend die alte 512-Byte-Marke überspringt, sagte Dietrich.

Bei 31 Routern funktionierte auch der Fallback-Mechanismus von UDP auf TCP nicht richtig. DNS kann das Transportprotokoll TCP nutzen, wenn die Größe der DNS-Antwort 512 Byte übersteigt. Kein einziges Gerät aus dem Testfeld unterstützte sowohl EDNS0 als auch TCP, stellten die Tester beim BSI fest. Dietrich glaubt angesichts der Testergebnisse nicht, dass die beteiligten Provider oder Routerhersteller dem BSI eigens geschönte Geräte zur Verfügung gestellt hätten.

Gleichzeitig spendete Dietrich immerhin ein wenig Trost für die noch kleine, deutsche DNSsec-Gemeinde. Sofern ein Provider die DNSsec-Validierung im eigenen Caching-Server erledigt und dem Nutzer nur validierte Ergebnisse beziehungsweise eine Servfail-Nachricht für fehlgeschlagene Validierungen von Schlüsselpaaren zurückgebe, müsste im Regelfall beim Nutzer alles gut gehen. Ausnahmen von der Regel gebe es allerdings auch.

Eines der Geräte zeigte nämlich einen bereits in einer schwedischen Studie vor knapp zwei Jahren beschriebenen fatalen Fehler: es antwortete mit einem "Connection Timeout", wenn der Provider ein AD-Bit (also eine erfolgreiche Validierung) oder auch nur ein CD-Bit (also den Hinweis, auf eine Validierung zu verzichten) signalisierte. Insgesamt kamen die Heimrouter laut dem BSI-Test mit den Flags aber besser zurecht als mit den großen DNS-Paketen.

Die Namen der Hersteller beziehungsweise der Internetprovider, die die getesteten Geräte einsetzen, dürfe das BSI "aus wettbewerbsrechtlichen Gründen" nicht nennen, unterstrich Dietrich. Sämtliche Hersteller und Provider seien mit den Ergebnissen konfrontiert worden, es gebe auch auch erste Rückmeldungen sich die Hersteller um das Problem kümmern wollen. Erstaunlich fanden die BSI-Experten, dass die Ergebnisse nur wenig besser ausgefallen sind als die Ergebnisse der Kollegen in Schweden und Großbritannien 2008. Offenbar bewegt sich der Markt hier nur langsam.

Quelle : www.heise.de

Titel: DNSsec könnte de-Zone lahmlegen
Beitrag von: SiLæncer am 27 Januar, 2010, 17:44

Das DNSsec-Protokoll an sich läuft stabil, im Betrieb allerdings rechnen Beobachter mit kurzzeitigen Ausfällen. Marcus Schäfer, ehrenamtliches Denic-Vorstandsmitglied und Geschäftsführer der Hostserver GmbH, sagte am Rande des zweiten Arbeitstreffens des DNSsec-Tests der Denic in Frankfurt am vergangenen Dienstag, dass er sehr wohl damit rechne, dass die de-Zone schon mal für fünf Minuten komplett verschwunden sein könnte. Schäfer begrüßte dennoch den gerade laufenden Test der Denic, dessen Status und nächste Schritte die Denic-Experten gestern ausführlich vorstellten.

Wie leicht es zu Ausfällen bei einzelnen Registraren oder bei der Registry selbst kommen kann, zeigen Berichte aus der Schweiz und Schweden. Die .se-Zone war wegen eines DNSsec-Fehlers bereits einmal eine Stunde komplett unerreichbar und in der Schweiz wurde die Swisscom bereits Opfer von Teilausfällen durch DNSsec.

In Deutschland können experimentierfreudige DNS-Betreiber seit dem Anfang Januar 2010 mit einer signierten Version der de-Zone arbeiten. Diese bietet die Denic über eine dedizierte Infrastruktur mit Servern in Frankfurt, Amsterdam und bald auch in Hongkong an. Den zusätzlichen Server in Hongkong habe man gewählt, um DNSsec auch über längere Übertragungswege testen zu können, berichtete Denic-Mitarbeiter Peter Koch.

Laut Koch gibt es inzwischen auch eine IPv6-Variante der DNSsec-signierten Zone und ab 2. März 2010 können Denic-Mitglieder selbst Schlüsselmaterial für signierte Domains bei der Denic einspeisen. Denic-Chefin Sabine Dolderer hofft, dass möglichst viele DNS-Betreiber und Registrare die Testinfrastruktur nutzten.

Bislang halte sich der Verkehr auf der Testinfrastruktur mit insgesamt 10 Abfragen pro Sekunde noch sehr in Grenzen, berichtete er weiter. Viele große Registrare scheuen ganz offenbar den Aufwand, den das komplexe Protokoll mit all seinen Krypto-Feinheiten, kontinuierlichen Erneuerungen von Schlüsseln und erwartbaren Anfragen von unbedarften Nutzern in der Implementierung mit sich bringen wird. In Schweden, das die .se-Zone seit 2005 signiert, gibt es nach fast fünf Jahren gerade mal 12 Registrare, die ihren Kunden anbieten, Domains zu signieren.

Ähnlich vorsichtig tasten sich Nutzer der Schweizer Länder-Registry SWITCH an DNSsec heran, die seit 21. September 2009 eine signierte Zone betreibt. Samuel Benz von der SWITCH berichtete, dass entgegen den Erwartungen besonders die Validierung ausgetestet werde. Dagegen würden nur selten eigene Zonen signiert. Benz Einschätzung: "Anscheinend ist das Signieren doch recht politisch, um das einfach mal zu testen." Innerhalb der Unternehmen, etwa im Bankensektor, würden so Fragen virulent, wo die Schlüssel aufbewahrt werden und wer die "Macht über die Schlüssel" habe.

Ob sich die Denic nach Abschluss des Tests tatsächlich für eine rasche Einführung von DNSsec entscheidet, ließ Dolderer offen. Gegenüber heise online räumte sie ein, dass der internationale Trend ein "Nein" im Laufe des Jahres zumindest erschweren könne. Dennoch wolle man die Testergebnisse abwarten und für die Mitglieder die Kosten einer Einführung kalkulieren.

Quelle : www.heise.de

Titel: DNSSEC auf allen Rootservern
Beitrag von: SiLæncer am 06 Mai, 2010, 11:30

Am gestrigen Mittwoch stellte der letzte der 13 autoritativen Rootserver für das Domain Name System auf das Sicherheitsprotokoll DNS Security Extensions (DNSSEC) um. Alle 13 Server liefern nun eine signierte Variante der Rootzone. Validiert werden kann die Signatur vorerst allerdings noch nicht, da der öffentliche Teil des Schlüsselpaares verborgen ist. Mit dieser Vorsichtsmaßnahme soll eine Rückkehr zur unsignierten Rootzone vorerst noch möglich bleiben. DNSSEC soll in der Zukunft DNS-Manipulationen wie Cache Poisening verhindern.

Unmittelbar nachdem die von Prag aus sichtbare Instanz des J-Rootserver von VeriSign die DNSSEC-Signatur  auslieferte, gab es noch keine Meldungen zu irgendwelchen Problemen. Experten beim 60. RIPE-Treffen in Prag hatten praktisch übereinstimmend gesagt, es sei nicht mit Schwierigkeiten zu rechnen, nachdem der sukzessive Start auf den übrigen 12 Rootservern im Lauf der letzten Monate problemlos über die Bühne gegangen war. Ein wenig Endzeitstimmung verbreitete lediglich ein Countdown, mit dem auf das bevorstehende Ende der unsignierten Rootzone hingewiesen wurde.

Sterben musste mit der gestrigen Umstellung allerdings die .root-Zone. Der Betreiber des Masterservers für die Rootzone Verisign hatte über Jahre ein einzelnen Eintrag unter .root genutzt, der zur Prüfung der Übertragung der sperrigen Root-Zone diente. Dr Auslöser für die Schaffung des .root-Eintrages war ein Komplettausfall der .com-Zone nach einem Übertragungsfehler gewesen, sagte Jaap Akkerhuis, DNS-Experte von nl.netLabs. Die rigiden Prozeduren des DNSSEC-Betriebs machen diesen Kniff für den Rootserverbetrieb durch VeriSign und der Internet Corporation for Assigned Names and Numbers (ICANN) obsolet.

Dazu gehört auch eine für Juni geplante Schlüssel-Zeremonie (PDF Dokument), an der 21 so künftige ehrenamtliche "Crypto-Officers" (PDF Dokument) und Notfall-Schlüsselwächter ("Recovery Key Share Holder") teilnehmen sollen. Ein Teil der insgesamt 14 Crypto-Officer muss jeweils anreisen, um die Generierung neuer Zone Signing Keys für den Betrieb durch VeriSign mit dem ICANN-Masterschlüssels freizuschalten. ICANN-Mitarbeiter Rick Lamb berichtete von 61 Bewerbungen für diese Posten, die zwar ehrenvoll aber auch kostspielig sind: die Reisekosten und den Arbeitsausfall müssen die Schlüsselhüter selbst tragen. Die angespannte Lage beim ICANN-Budget könnte ein Grund dafür sein, diese Kosten abzuwälzen.

Aus Afrika und Lateinamerika haben sich folglich nur vier beziehungsweise fünf Kandidaten gemeldet, aus Asien immerhin zehn. Europäische und US-amerikanische Unternehmen und Organisationen schicken dagegen jeweils 20 Kandidaten ins Rennen. Bei ICANN werde nun darüber nachgedacht, ob weniger US- und mehr Beteiligung  aus anderen Ländern den Umstand kompensieren, dass alle Schlüssel ausschließlich an den beiden US-Standorten generiert werden sollen, erläutert Lamb. Nach Ansicht vieler RIPE-Experten sei dazu aber ein Standort außerhalb der USA unabdingbar.

"Blockiert die US-Verwaltung das?", wollte Daniel Karrenberg, Chefwissenschaftler beim RIPE in Prag wissen. "Blockieren ist ein starkes Wort", entgegnete Lamb darauf. Ein dritter Standort werde bereits diskutiert. Das seit Jahren die .se-Zone signierende und einen der 13 Rootserver betreibende Schweden sei einer der möglichen, logischen Orte. "Stellen wir uns nur einmal vor, was passiert wenn der US-Luftraum wegen eines Zwischenfalls wie kürzlich in Island oder wegen Terroralarms gesperrt ist", sagte Jim Reid, Chef der DNS-Arbeitsgruppe beim RIPE. Ohne korrekt signiertes und genau nach Plan ausgeliefertes Schlüsselmaterial würde es im DNS finster.

Quelle : www.heise.de

Titel: Kryptografische Absicherung des DNS kommt voran
Beitrag von: SiLæncer am 17 Juni, 2010, 16:54

Als Initiatoren des DNSSEC-Tests  zogen Denic, das BSI und der eco-Verband auf einem Treffen in Frankfurt am Dienstag eine vorsichtig positive Halbzeitbilanz. Und das trotz offener Fragen beim Software-Support und in der Administration sowie noch bescheidener Zahlen – aktuell haben die 34 am Test beteiligten Registrare nur 700 Second-Level-Domains registriert.

Von DNSSEC (DNS Security Extension) erwarten sich die Experten mehr Sicherheit gegen Angriffe auf das Domain Name System (DNS), da Antworten des Systems über den Abgleich eines Schlüsselpaares auf ihre Authentizität überprüft werden können. Seit Anfang Januar bietet die deutsche Registry Denic eine signierte Variante der de-Zone auf einer eigenen Infrastruktur an.

Langsam formiert sich auch der Support bei Hardware- und Software. In Frankfurt kündigte Jan Schöllhammer von AVM die Unterstützung von DNSSEC im nächsten Release der Fritzbox an. Die Anpassung von DNS-Software wie BIND und Unbound auf DNSSEC macht Fortschritte oder wird zumindest von den Entwicklern in Aussicht gestellt. Produkte wie OpenDNSSEC sollen zusätzlich helfen, das aufwändige Schlüsselmanagement zu automatisieren.

Ohne passende Softwareunterstützung laufen Registrare im Live-Betrieb Gefahr, dass Domains aus dem Netz verschwinden. Anders als bei SSL-Zertifikaten führen abgelaufene DNSSEC-Signaturen dazu, dass die entsprechenden Domains verworfen werden. Immer wieder passiere dies bei der von den US-Behörden genutzten .gov-Zone, berichtete Bernhard Schmidt vom Münchner Leibniz-Rechenzentrum. Auch die DNSSEC-gesicherte Domain der abgelaufenen tschechischen EU-Präsidentschaft war jüngst über Tage nicht erreichbar, berichtete Thorsten Dietrich vom BSI.

Die Experten berichteten in Frankfurt übereinstimmend, dass es bei der Validierung und der Auslieferung einer signierten Zone kaum zu Lastverschiebungen komme. "Keine signifikanten Auswirkungen auf den produktiven Systemen der neueren Generation" hat das BSI bei der Signierung der Zone bund.de feststellen können. Bei älteren Systemen sei die CPU-Last um 2 bis 3 Prozent gestiegen, das Transfervolumen durch die Auslieferung um 5,5 Prozent. Die über TCP statt über UDP abgewickelten Anfragen seien von 0,3 Prozent auf 0,9 Prozent gestiegen.

Neben den notwendigen Software-Anpassungen gibt es noch zahlreiche administrative Fragen zu klären. So kann ein Providerwechsel auch den weniger einfachen Umzug von Schlüsseln notwendig machen. Dabei ist der Domainkunde auf die Kooperation seines bisherigen Providers angewiesen. Die Schweizer Switch will zunächst Transfers nur erlauben, wenn der neue Provider DNSSEC unterstützt. Denic-Chefin Sabine Dolderer hält eine solche Bevormundung des Kunden für fragwürdig.

Für die DNS-Rootzone wurde am Dienstag in einer siebenstündigen Signierungs-Zeremonie das erste Schlüsselset für den zentralen Key Signing Key (KSK) generiert. Ab 15. Juli wird die zentrale Rootzone nur noch signiert verteilt. Bis alle Glieder der Kette eingerastet sind, dürfte noch viel Zeit vergehen. Bei der Denic soll im vierten Quartal über einen möglichen Start des operativen Betriebs von DNSSEC für de entschieden werden.

Quelle : www.heise.de

Titel: DNSSEC für .org-Domains
Beitrag von: SiLæncer am 23 Juni, 2010, 16:42

Die Public Internet Registry (PIR) hat heute auf dem 38. Treffen der Internet Corporation for Assigned Names and Numbers (ICANN) in Brüssel verkündet, ab sofort von jedem signierte Domainnamen entgegenzunehmen. Mit der für den 15. Juli geplanten Veröffentlichung eines aktiven Schlüssels für die zentrale Rootzone steht damit den acht Millionen .org-Domaininhabern eine lückenlose Absicherung ihrer Adressen gegen Cache-Poisoning und Man-in-the-Middle-Angriffe zur Verfügung. DNSSEC (DNS Security Extensions) sei ein großer Schritt zu einem sichereren DNS, allerdings kein magisches Allheilmittel, sagte ICANN-Präsident Rod Beckstrom. DDoS-Angriffe oder auch Phishing bleiben eine Bedrohung.

Seit zwei Jahren, seit der Demonstration des sogenannten Kaminsky-Bugs, läuft unter Hochdruck die Umsetzung der kryptografischen Absicherung des Domain Name System mittels DNSSEC. Dan Kaminsky lobte heute DNSSEC als "richtige Lösung", die das zunächst rasch verwendete "Pflaster" ersetzen müsse. Das Protokoll, das den öffentlichen Schlüssel einer Zone mit dem privaten abgleicht, sei im Prinzip einfach und sein Einsatz müsse nicht teuer sein.

PIR-Geschäftsführerin Alexa Raad merkte an, dass Zonenbetreiber mit Blick auf die Infrastruktur ohnehin ständig nachzurüsten hätten. Einen wesentlich größeren Kostenpunkt sieht sie bei der Aufklärung der Kunden, denn nur die erlaube den Registraren, DNSSEC an den Mann zu bringen. Einen DNSSEC-Start "in mehreren Phasen" kündigte in Brüssel GoDaddy an, der weltweit größte Domain-Registrar. CEO Warren Adelman erläuterte gegenüber heise online, dass GoDaddy zunächst allerdings nur von Kunden selbst signierte Namen an PIR weitergebe. Ein Angebot, in dessen Rahmen GoDaddy das Signieren für die Kunden erledigt, werde es erst im September geben.

Als erste .org-Domain wurde heute laut Raad die Adresse der Internet Society signiert (isoc.org). Ausgerechnet dabei kam es zu einem Vertipper, der die Validierung für kurze Zeit unmöglich machte. Das Problem sei sofort behoben worden und die Domain ununterbrochen erreichbar gewesen, versicherte ISOC-Chefin Lynn St. Amour. Für bereits validierende Server freilich ergab sich eine Fehlermeldung. Roland van Rijswijk von SURFnet, das die DNSSEC-Validierungen gezielt beobachtet und auch den ISOC-Fehler umgehend bemerkt hatte, verwies auf zahlreiche weitere kleine Zwischenfälle, etwa bei DNSSEC-signierten .gov-Adressen. Ein Grund für Ausfälle sei das Auslaufen von Schlüsseln, erklärte Ram Mohan vom PIR-Backend-Provider Afilias. Für .org – ebenso wie für die signierte Variante der .de-Zone – kämen daher Schlüssel mit überlappenden Gültigkeitszeiträumen zum Einsatz. Das sei aber nicht überall der Fall.

Trotz viel Enthusiasmus und Aufbruchstimmung in Brüssel ziehen es allerdings viele Marktteilnehmer vor, abzuwarten. Und das muss nicht nur am Aufwand für die Einführung liegen: DNSSEC erlaubt keine Umleitungen, die manche Provider zu Werbezwecken nutzen oder Behörden als mögliche Sperrmaßnahmen ins Auge fassen.

Quelle : www.heise.de

Titel: DNSSEC in der DNS-Rootzone gestartet
Beitrag von: SiLæncer am 16 Juli, 2010, 10:35

Am gestrigen Donnerstag ist die voll digital signierte Rootzone gestartet. Alle Antworten der 13 für das Domain Name System (DNS) autoritativen Rootserver liefern nun einen DNSSEC-Schlüssel (DNS Security Extensions) mit, der eine Authentifizierung der Zone und damit die Identifizierung manipulierter Antworten erlaubt, etwa beim Cache Poisening . "Wir validieren", meldete Wolfgang Nagele Service Manager für den K-Root-Server beim RIPE NCC in Amsterdam, gestern Abend kurz nach 23 Uhr. Vom K-Root aus gesehen lief die Umstellung auf die wegen der angehängten DNSSEC-Schlüssel größeren Antwortpakete zunächst reibungslos.

DNS-Resolver in aller Welt, die entgegen herrschender Standards nur kleinere Antwortpakte (kleiner als 512 bytes) verarbeiten können, funktionierten zwar weiterhin, allerdings könnten manche Domains nicht mehr aufgelöst werden, warnte der DNS-Experte des RIPE NCC, Anand Buddhdev, Anfang der Woche noch einmal. Nagele wies an gestrigen Donnerstag aber noch einmal darauf hin, dass eventuelle Probleme mit den Paketgrößen spätestens seit der Umstellung des letzten Root-Servers auf DNSSEC am 5. Mai offenbar geworden wären.

Die Internet Corporation for Assigned Names and Numbers, Root-Betreiber VeriSign und das US-Handelsministerium hatten auf eine Einführung von DNSSEC in Phasen bei den 13 Root-Servern gesetzt, dabei allerdings zunächst keine Validierung zugelassen. Diese ist seit der Nacht vom gestrigen Donnerstag auf den heutigen Freitag möglich. Nach rund einem Jahrzehnt Entwickungsarbeit ist damit DNSSEC in der Root angekommen. Lob für die ICANN, VeriSign und die federführende Behörde beim US-Handelsministerium, die National Telecommunications and Information Administration (NTIA) gab es kurz vor dem Start schon mal von Handelsminister Gary Locke (PDF-Datei). Allerdings dürften wohl noch einmal Jahre vergehen, bis DNSSEC auch in den Top Level Domains (TLD) und auf der Ebene der Endnutzer angekommen ist und die Signaturen im großen Stil validiert werden.

Nagele wies darauf hin, dass zwar bereits jetzt rund 50 Prozent der DNS-Anfragen, die beim K-Root-Server ankommen, DNSSEC mit abfragen. Das liege allerdings vor allem daran, dass viele moderne DNS-Resolver DNSSEC standardmäßig eingeschaltet hätten. Wie viele der dahinter arbeitenden Anbieter DNSSEC wirklich beherrschten und nutzten, sei nicht klar. Wegen der großen Zahl von DNSSEC-Anfragen erwartet Nagele mit der Umstellung auch keinen großen Ausschlag durch neu hinzu kommende validierende Resolver.

Wer bereits validiert, muss zudem auf absehbare Zeit die Schlüssel einzelner TLDs, wie etwa des DNSSEC-Pioniers .se, noch eigens abfragen. Vorerst sind lediglich sieben TLD-Schlüssel in der signierten Root hinterlegt, und das sind .bg, .br, .cat, .cz, .na, .tm., und .uk. Vorerst werde sich daher etwa mancher schwedische Provider noch damit begnügen, den .se-Schlüssel in seine Abfragen einzubauen, schätzt Peter Koch, einer der Leiter der DNS-Arbeitsgruppe bei der Internet Engineering Task Force (IETF). Wer .de-Adressen validieren will, kann dies vorerst nur im laufenden Test tun.

Der durch die Signierung der Rootzone erreichte Sicherheitsvorteil sei erst einmal begrenzt auf die TLDs, die DNSSEC bereits produktiv eingeführt hätten, sagte Thorsten Dietrich, DNSSEC-Experte beim Bundesamt für Sicherheit in der Informationstechnik. Auf jeden Fall setze der Start der digitalen Signaturen in der Root "ein Zeichen und ermöglicht erstmalig die einfache Verbreitung von DNSSEC-Schlüsselmaterial". Experten rechnen sogar damit, dass die DNS-Zertifikate andere Zertifizierungssysteme ablösen könnten.

Die ICANN rechnet fest damit, dass die Zahl der Nutzer, die DNSSEC als Sicherheitsfeature einsetzen, mit der Zahl der signierten Zonen wächst. Sicherlich gebe es viele Spielarten, wie DNS-Betreiber DNSSEC einsetzen könnten, teilte Joe Abley, Director DNS Service bei der ICANN mit. Abley räumte ein, dass trotz erheblicher Anstrengungen, DNSSEC bekannt zu machen, kaum abzuschätzen sei, wie viele DNS Betreiber noch nichts davon gehört hätten.

Quelle : www.heise.de

Titel: "Es ist Zeit, DNSSEC zu knacken"
Beitrag von: SiLæncer am 29 Juli, 2010, 12:23

Am 15. Juli wurde ein laut Rod Beckstrom, Chef der ICANN (Internet Corporation for Assigned Names and Numbers) "historischer Schritt" in Sachen Internetsicherheit bewältigt: Die Rootzone des DNS wurde per DNSSEC gesichert. Auf dieser Grundlage können jetzt die Betreiber der Top Level Domains (TLDs) wie .de, .com oder .cn ihre Domains ebenfalls nach und nach auf DNSSEC umstellen.

"Die Rootzone ist signiert. Ist das Internet jetzt sicher?", fragte Beckstrom vor Kurzem auf der IT-Sicherheitskonferenz Black Hat 2010 in Las Vegas. Und antwortete: "Nein. Aber das Internet kann jetzt sicher werden." Dem ICANN-Chef zufolge sollen auf bisher zwölf DNSSEC-fähigen TLDs wie .co.uk, .org oder .br in den kommenden Wochen noch weitere Domains folgen.

Die TLD .net soll laut Beckstrom noch in diesem Jahr umgestellt werden, .com soll dem Verisign-Chef Mark McLaughlin zufolge dann bis März 2011 folgen. Auf Nachfrage von heise Securiy sagte Beckstrom: "Ich gehe davon aus, dass innerhalb der kommenden zwölf Monate die Top Level Domains DNSSEC-fähig sein werden, die zusammen 50 Prozent aller Domains ausmachen."

(http://www.heise.de/imgs/18/5/4/9/3/1/8/964bca786441dfa4.jpeg)

Damit DNSSEC auch von Betreibern von DNS-Servern und Internet Providern schnell angenommen wird, müssen brauchbare Tools bereit stehen. Mit gutem Beispiel voran gehen will das Unternehmen Recursion Ventures, in dem Dan Kaminsky als Chef-Wissenschaftler verantwortlich zeichnet.

Kaminsky entdeckte die schwerwiegende Lücke im DNS, die letztlich zum schnellen Einsatz des seit 18 Jahren entwickelten DNSSEC führte. Nachdem er DNSSEC erst als zu komplex und somit zu teuer abkanzelte, ist der Bug-Finder inzwischen ein erklärter Anhänger der Schutztechnik.

Der Hacker demonstrierte verschiedene auf DNSSEC basierende Tools, die vor allem den Einsatz der Technik erleichtern sollen. "Als ich den DNS-Bug präsentierte, war das Implementieren von DNSSEC eine Katastrophe und viel zu kompliziert. Heute kann eine Domain innerhalb von zwei Minuten DNSSEC-fähig werden", sagte Kaminsky.

Dafür sorgt das von Kaminsky vorgeführte DNSSEC-Tool Phreebird. Es akzeptiert auch über http getunnelte DNS-Anfragen. Damit sollen Probleme vermieden werden, wie sie beispielsweise in Hotel-Netzwerken oder öffentlichen WLAN-Hotspots auftauchen, wenn die zwischengeschaltete Hardware die über UDP übertragenen DNS-Pakete nicht ordentlich weiterleitet. Phreebird ist noch nicht öffentlich verfügbar. Kaminsky verschickt jedoch auf Anfrage eine frühe Beta-Version, die "voller fürchterlicher, auch remote ausnutzbarer Bugs" sei.

Weitere demonstrierte DNSSEC-Tools waren beispielsweise Phoxie, ein DNSSEC-Proxy für Browser wie Firefox oder Internet Explorer, oder Phreeload. Phreeload fügt die DNSSEC-Verfikation hinzu für openSSL-fähige Tools wie Apache, Curl, MySQL, Postfix, Postgress oder Wget. Die Phreeshell soll die Zusammenarbeit zwischen verschiedenen Gruppen erleichtern, indem sie den passwortlosen openSSH-Login auf Basis der Nutzeridentität ermöglicht, anstatt hierfür Keys zu verwenden.

Obwohl der sonst eher zu Jeans und schrillen Motiv-T-Shirts neigende Kaminsky seinen Black-Hat-Vortrag erstmals in einem Anzug bestritt, ist ihm das Hacken nicht fremd geworden. Er rief den anwesenden IT-Sicherheitsexperten zu: "Es ist Zeit, DNSSEC zu knacken. Ich hoffe, dass wir die Probleme schnell finden."

Quelle : www.heise.de

Titel: DeNIC will die de-Domain bald signieren
Beitrag von: SiLæncer am 08 Februar, 2011, 18:22

Zum 31. Mai dieses Jahres wird die de-Domain signiert und so gegen Manipulationen von DNS-Antworten abgesichert. Das kündigte DeNIC-Vorstandsmitglied Sabine Dolderer heute zum Abschluss des DNSSEC-Tests in Frankfurt an. DNSSEC – Domain Name System Security Extensions – sichert mittels kryptografischer Schlüssel DNS-Antworten so ab, dass der Empfänger sowohl deren Unversehrtheit als auch die Vertrauenswürdigkeit des Senders überprüfen kann. Beides ist im herkömmlichen DNS nicht möglich. Die Prüfungen kann beispielsweise ein validierender Resolver für ein LAN vornehmen und die geprüften Antworten zum Beispiel verschlüsselt an Clients im LAN weitergeben. Damit sind die Empfänger von DNS-Nachrichten gegen Angriffstypen wie Cache-Poisoning abgesichert. Gegen Phishing, bei dem Nutzer den Angreifern vertrauenswürdige Daten aus Gutgläubigkeit übermitteln, hilft DNSSEC natürlich nicht.

Die Ankündigung sei nach dem positiven Testverlauf keine große Überraschung mehr, sagte Dolderer, die DNSSEC noch vor ein paar Jahren eher skeptisch gegenüber stand. Dass DNSSEC eine zweite Hierarchie der Internet-Verwaltung etabliert, an deren Spitze das Trio aus US-Handelsministerium, ICANN und VeriSign als Schlüsselwächter stehen, hatte lange für Diskussionen gesorgt, bis ein Kompromiss über die Schlüsselverwaltung die Wogen glättete. Entspannung vermelden auch die Serverbetreiber, die DNSSEC zunächst als Rechenzeitfresser ablehnten: Auf aktuellen Servern lasse sich die nicht gerade kleine de-Zone innerhalb weniger Minuten komplett signieren, berichtete Peter Koch, einer der beiden DNSSEC-Projektleiter bei der DeNIC.

Als die DeNIc, der eco Verband und das Bundesamt für Sicherheit in der Informationstechnik (BSI) vor zwei Jahren den DNSSEC-Test ins Leben riefen, habe es lediglich fünf andere signierte Domains gegeben, sagte Lothar Eßer vom BSI. Inzwischen sind es 67 Top-Level-Domains und nach der de-Zone fehle nur noch eine einzige der 10 weiltweit größten Zonen: die chinesische Domain .cn; die Root-Zone ist seit dem vergangenen Jahr signiert. Einen beträchltichen Anteil am Entschluss zur Signierung hatte auch das BSI, das die Signierung der Domain bund.de fest eingeplant hatte und die Signierung weiterer Zonen der Bundesverwaltung vorantreiben will.

Den Grundstock innerhalb de-Domain machen nun die 800.000 Domains aus, die die Denic selbst verwaltet und die 110 Sub-Domains der Unternehmen, die am Test beteiligt waren. Bis aber alle de-Subdomains signiert sind – derzeit 14 Millionen –, sei es noch ein weiter Weg, sagte Dolderer. Thomas Rickert vom eco Verband berichtete aus einer aktuellen Umfrage unter deutschen Domainanbietern, dass 10 Prozent der Befragten DNSSEC bereits beherrschen. 27 Prozent planen, DNSSEC bald zu nutzen.

Angebote an Domain-Endkunden, ihre Domains zu signieren, fehlen aber ebenso noch wie validierende Resolver bei den Providern. Es gebe auch noch einzelne Tücken bei der DNSSEC-Nutzung, sagte Koch. Nicht zuletzt wechsle man von einem sehr toleranten DNS-System zu einem abgesicherten, das Fehler weniger verzeiht.

Quelle : www.heise.de

Titel: DENIC startet unbemerkt mit der Verteilung der signierten de-Zone
Beitrag von: spoke1 am 22 Mai, 2011, 20:04

Die DENIC hat damit begonnen, die 16 für die Top Level Domain .de authoritativen Name-Server mit einer DNSSEC-signierten Zone zu versorgen, ganz nach dem Modell der bereits signierten Rootzone des Domain Name System (DNS). Dabei werden die jeweils aktuellen Zonendaten mit einer Signatur versehen und können per Schlüsselabgleich auf ihre Authentizität überprüft werden. DNSSEC – das DNS Security Extension Protokoll – soll eine Reihe von Man-in-the-Middle-Angriffe, wie etwa das Cache-Poisoning, unmöglich machen. Um die eigene Domain vollends zu schützen, müssen de-Nutzer schließlich noch ihre eigene Domain signieren.

Allerdings verhindert die DENIC bis zum eigentlichen DNSSEC-Start Ende des Monats die Validierung der Antworten, indem sie einen unlesbaren Schlüssel ablegt. So kann das Ausliefern der Signaturen geprüft werden. Statt des tatsächlich zur Signierung verwendeten Schlüssels enthält die verwendete Schlüsselphrase aber unter anderem den Hinweis "THIS/IS/AN/INVALID/KEY/THAT/WILL/NOT/VALIDATE.//" Der "verschleierte Schlüssel" verhindert so, dass die Anfragenden den Schlüsselabgleich vornehmen können.

Wie schon beim Start von DNSSEC in der Rootzone dient die Maßnahme laut Informationen der DENIC dazu, "sämtliche Einflüsse der DNSSEC-Information in den DNS-Antworten auf die gesamte DNS-Infrastruktur zu beobachten und zu analysieren". Bei größeren Schwierigkeiten könnte so auch der Rückzug zum unsignierten Betrieb der de-Zone angetreten werden. (Monika Ermert) / (hos)


Quelle (http://www.heise.de/newsticker/meldung/DENIC-startet-unbemerkt-mit-der-Verteilung-der-signierten-de-Zone-1247415.html)

Titel: Vorletzter Schritt zur DNS-Absicherung der de-Domain
Beitrag von: SiLæncer am 31 Mai, 2011, 16:28

Die deutsche Registrierungsstelle DeNIC hat am heutigen Dienstag ihren zweiten Schritt zur Absicherung des Domain Name System mittels DNSSEC für de-Domain vollzogen: die .de-Zone wurde mit einem zur Validierung einsetzbaren öffentlichen Schlüssel bestückt. Der erst kürzlich gestartete öffentliche DNSSEC-Betrieb lief im ersten Schritt testweise ohne einen validierbaren Schlüssel.

Mittels DNSSEC können Empfänger von DNS-Antworten (Replys) sowohl die Unversehrtheit der Nachricht als auch die Vertrauenswürdigkeit der Quelle anhand von mitgesendeten kryptografischen Daten überprüfen (validieren). Beides geht mit herkömmlichen DNS-Antworten nicht, sodass Man-in-the-Middle-Attacken wie Cache Poisoning möglich sind. Sicherheitsfachleute sehen die Umleitung der Bankverbindung eines Browsers zu einem präparierten Server als Worst-Case-Szenario: Der Nutzer gibt dabei zwar die korrekte DNS-Adresse im Browser ein, eine von außen manipulierte DNS-Information leitet den Browser jedoch auf eine ganz andere IP-Adresse als die der gesuchten Bank.

Vor der de-Domain sind bereits eine Vielzahl anderer Domains mittels DNSSEC abgesichert worden, darunter .se oder auch .com. Bis auch die de-Domain validiert werden kann, vergehen freilich noch einige Tage, denn im letzten Schritt muss nun die Internet Assigned Numbers Authority (IANA) den neuen Eintrag der de-Domain in der Rootzone eintragen (DS-Record), damit er für Validierungszwecke abgerufen werden kann. Die DeNIC rechnet mit Mitte Juni.

Sobald der neue DS-Record in der Rootzone erscheint, können auch Second-Level-Domains der .de-Domain validiert werden. Eine solche Domain kann der Web- oder Domaindienstanbieter signieren oder auch der Domaininhaber selbst. Der Vorgang schließt die Schlüsselerzeugung, Signierung der Zonendaten und auch die regelmäßige Neusignierung vor Ablauf der Signaturgültigkeit sowie den regelmäßigen Schlüsselwechsel ein. Eine DNSSEC-Absicherung können Nutzer bereits jetzt bei ihrem Provider beantragen. Dieser übernimmt dann auch die Registrierung der Schlüssel, erklärt die DeNIC.

Um die Vorteile von DNSSEC nutzen zu können, benötigt man einen validierenden Resolver, der die DNS-Antworten prüfen kann und entsprechende Software, die die Ergebnisse auswertet. Resolver betreiben in der Regel die Provider selbst, allerdings sind längst nicht alle bereits jetzt für die Validierung ausgelegt. Einen solchen kann man aber auch im eigenen LAN zum Beispiel mit dem DNS-Server BIND aufsetzen – beispielsweise so, wie in einem c't-Praxisbeitrag beschrieben (kostenpflichtiger Download). Die validierten Informationen werten derzeit noch wenige Applikationen aus, aber immerhin schon der verbreitete Browser Firefox unter Zuhilfenahme des kostenlosen Add-Ons DNSSEC Validator.

Quelle : www.heise.de

Titel: DNS: Denic erwägt umstrittene Sicherheitsmaßnahmen
Beitrag von: SiLæncer am 23 Mai, 2013, 21:10

Zahlreiche Angriffsszenarien der letzten Zeit beruhen auf der Ausnutzung von Sicherheitslücken im Domain Name System (DNS). Angesichts dieser Tatsache erwägt die zentrale deutsche Domain-Vergabestelle Denic, die Zahl möglicher Antworten auf .de-Domainanfragen zu begrenzen.

Bei sogenannten Amplification-Attacken werden die DNS-Server ausgenutzt, um eine große Zahl von Antworten an die Adresse eines Opfers auszulösen. Dadurch werden die Systeme des Opfers - und unter Umständen auch der Nameserver selbst - überlastet.

Diesen Attacken will die Denic nun womöglich durch Einschränkung der Anzahl versendeter Antworten begegnen. "Wir behalten uns vor, in Einzelfällen über begrenzte Zeit Response Rate Limiting (RRL) zum Schutz unserer Infrastruktur einzusetzen", erklärte die Registrierstelle für .de-Domains in einer Antwort auf eine Anfrage des IT-Newsportals heise online.

RRL wird in letzter Zeit zunehmend von Domain-Registries eingesetzt. Die Maßnahme ist allerdings umstritten, da sie dem Grundsatz von DNS widerspricht, jede Anfrage ohne Unterschied zu beantworten. Zudem besteht das Risiko von "False Positives", also legitimen Anfragen, die aus Sicherheitsgründen nicht beantwortet werden.

Derzeit ist die Denic noch dabei, Angriffe zu analysieren und sich um die Erkennung von Mustern zu bemühen. Man habe vorsorglich auch schon "die einschlägigen Werkzeuge und Vorgehensweisen geprüft", so die Denic gegenüber heise online.

Derzeit, so die Denic, sei es noch zu früh, um über dieses Thema eine fundierte und informierte Diskussion zu führen. "Im derzeitigen Stadium sind wir bestrebt, zunächst eigene Erkenntnisse zu sammeln, zu analysieren", so Pressesprecherin Stefanie Welters. Vorerst sei die Denic bestrebt, "Handlungsoptionen zu prüfen". Dies geschehe "stets unter der Prämisse, den laufenden Betrieb sicherzustellen, möglichst diskriminierungsfrei zu handeln und trotzdem die Einbeziehung unserer Systeme in solche Angriffe nicht über einen längeren Zeitraum hinweg zu ermöglichen."

Eine ideale Lösung für das Problem ist derzeit nicht in Sicht. Das DNS ist konzeptionsbedingt für Angriffe anfällig, was sich Angreifer zunehmend zunutze machen. Die Denic und andere um die Sicherheit des Systems besorgte Akteure haben nun die undankbare Aufgabe, aus mehreren nicht idealen Optionen die am wenigsten schädliche auszuwählen. Welche das ist, darüber werden sich die Beteiligten womöglich nach den derzeit laufenden Analysen eher im Klaren sein.

Quelle : www.gulli.com

Titel: DNS der niederländischen Registry war manipuliert
Beitrag von: SiLæncer am 08 August, 2013, 16:22

Drei niederländische Webhoster waren am 5. August Ziel einer neuartigen Attacke auf das Domain Name System (DNS) einer Registry, wie das Internet Storm Center (ISC) berichtet. Aufgefallen war die Attacke, als Aufrufe der viel besuchten Website conrad.nl (der niederländischen Tochterfirma des deutschen Elektronik-Versenders) mit einer "Under Construction"-Seite beantwortet wurden. Diese Webpage wurde nicht von conrad.nl, sondern von einem anderen Host geliefert. Sie enthielt ein iFrame mit Schadcode, der ein Java-Exploit nutzte und den Rechner mit einem Trojaner infizierte.

Laut Beobachtungen des Security-Unternehmens Fox IT waren Anfragen nach Websites betroffen, die bei einem der drei Webhoster Digitalus, VDX und Webstekker liegen. In einer Stellungnahme verwies Digitalus auf die niederländische Registry SIDN. In deren DNS seien die Einträge zu den Hostern durch Verweise zu externen DNS-Servern ersetzt worden, die wiederum zu der Schadseite führten. Dadurch seien Anfragen nach tausenden von Websites zu der "Under Construction"-Seite umgeleitet worden.

Weil die DNS-Server vieler Endkunden-Provider nur alle 24 Stunden ihren Cache erneuern, funktionierte die Umleitung mancherorts auch noch lange, nachdem die Einträge aus dem Registry-DNS entfernt waren. Das ISC verbindet die Meldung mit der Besorgnis, dass Angreifer offensichtlich nicht mehr davor zurückschrecken, direkt kritische Netz-Infrastruktur ins Visier zu nehmen: "Dies sollten wir alle im Hinterkopf behalten."

Quelle : www.heise.de