Hace 3 semanas Debian, Cisco, Infoblox, ISC, Juniper, Microsoft, Red Hat, Sun (Solaris)…, publicaban un parche critico para resolver un grave problema de diseño en el sistema de servidores de nombre de dominio (DNS), que cunda el pánico, ayer se publicaron varios exploits y los mayores proveedores de Internet del mundo siguen siendo vulnerables.

Mi proveedor de internet apesta, y seria fácil aprovechar la ocasión para desquitar las largas jornadas en su 0800, pero lo cierto es que toda internet es vulnerable, ahora con amenazas concretas.

El fallo, cuya solución está disponible desde el 9 de julio, consiste en que un atacante puede cambiar las IP’s a las que apuntan los dominios.
Un dominio o nombre de dominio es el nombre del sitio web que escribimos en el navegador, pero estos nombres se corresponden con direcciones numéricas, y un servidor de DNS no es mas que un enorme indice de direcciones. Lo grave es que mediante este fallo el atacante puede cambiar la dirección numérica de un sitio por la de otro.

Los ISP(proveedores de internet), asignan servidores de DNS propios a los usuarios cada vez que se estos conectan, a menos que estos los cambien manualmente.

Imaginemos que nuestro banco www.mibanco.com tiene la direccion 64.21.33.9, si un atacante cambia la dirección del banco en varios servidores de DNS, luego resulta que ya no accedemos al banco, sino a la web del atacante. Ahora imaginemos que el atacante crea una página casi idéntica a la web del banco, ingresaríamos nuestros datos creyendo que accedemos al banco.

Si hasta aquí se preocuparon bastante esto aún no termina, ya que el hecho de que nuestro servidor de DNS este parcheado no nos asegura que estemos a salvo.
Supongamos que nuestro servidor DNS esta parcheado y es seguro, pero no tiene en su indice el dominio que solicitamos(una situación bastante normal), entonces realiza una petición de consulta a otro servidor de DNS, y si este es vulnerable entonces corremos el riesgo de conseguir una dirección adulterada.

Si quieren saber si los DNS de su proveedor son seguros pueden hacer click en el botón “Check my DNS” del siguiente link: http://www.doxpara.com/

Aquí hay una explicacion mas detallada del ataque: http://bandaancha.eu

Para los que deseen leer mas sobre este tema se han publicado varios artículos en http://www.kriptopolis.org/ durante estas semanas, aunque están en un lenguaje mas técnico que el expresado aquí.