:: Actualité ::
[Les News] [Recherche avancée] [SecALERT]
DNS : le trou qui n’arrive pas à se faire boucher
Seule une amélioration du mécanisme d’attribution aléatoire de port constitue, pour les éditeurs d’annuaires, LA réponse idéale à la récente « faille DNS ». Mais à peine le correctif est-il publié qu’un certain Imipak publie une brève remarque sur la liste Full Disclosure : le risque que font disparaître les correctifs Microsoft, Sun, Cisco et tant d’autres est ressuscité par certains fabricants de firewalls. Car, en « re-fabricant » les numéros IP et autres constituants des sockets, les NAT (tables de translation d’adresse) de quelques coupe-feu retombent dans le travers des anciens DNS et attribuent des numéros de port UDP séquentiels. Preuve à l’appui, tirée d’un log Checkpoint, le billet d’Imipak ne laisse planer aucun doute. Checkpoint n’est pas le seul dans ce cas, loin de là. Il est même probable que la grande majorité des routeurs intégrant un système de translation d’adresses soit frappée par ce défaut.
Sans hurler au loup et voir en ce problème la résurgence de l’hydre d’un « DNS spoofing planétaire », il est peut-être nécessaire que l’attention des équipementiers –et des administrateurs- soit attirée sur ce genre de hiatus. Ceci dit, la chose est plus facile à imaginer qu’à mettre en pratique. Il faudrait « inventer » une méthode capable, entre deux équipements de nature et d’origine différentes, de refléter l’aspect aléatoire d’une attribution de numéro de port. Ce qui tendrait à prouver que les RFC ne naissent ni dans des choux, ni dans des roses, mais sur un terreau semblable à celui des fraises bien juteuses …
La liste des correctifs DNS disponibles à ce jour s’établit comme suit :
ISC BIND, IOS Cisco, DNS de Sun, RedHat, Ubuntu et Debian.
L’incompatibilité entre le correctif Microsoft et ZoneAlarm –une marque appartenant à Checkpoint- peut être éliminée grâce à un correctif de contournement que vient de publier l’éditeur (http://download.zonealarm.com/bin/free/pressReleases/2008/LossOfInternetAccessIssue_it.html).
|
