San SAD DNS, che avvelenò la cache col rumore

Patrono dei resolver DNS, delle porte UDP che si lasciano indovinare e di chi credeva sepolto il cache poisoning.

Vita

Nel 2020 ricercatori dell'Università della California a Riverside e della Tsinghua riportarono in vita l'avvelenamento della cache DNS con SAD DNS. Un canale laterale nel rate limiting dei messaggi ICMP del kernel Linux permetteva a un attaccante fuori percorso di indovinare rapidamente la porta UDP sorgente, aggirandone la casualità, e iniettare risposte false nel resolver. Colpiva BIND, Unbound e dnsmasq, e il difetto tornò a riaffacciarsi in varianti negli anni successivi.

Preghiera

O San SAD DNS, che ascolti il rumore del kernel per indovinare la porta, fa' che i nostri resolver non si lascino leggere di nascosto. Amen.

Come si festeggia

Si festeggia aggiornando il kernel Linux e i resolver, e preferendo DNS su TLS o HTTPS dove si può.

Chi lascia indovinare la porta lascia entrare lo sconosciuto.