KeyTrap-Angriff kann Internetverbindung mit nur einem DNS-Paket lahmlegen

Für viele Unternehmen, wenn nicht gar für die meisten, ist das Internet mittlerweile unabdingbar geworden. Ist der Zugang über einen längeren Zeitraum gestört, kommt das einer Katastrophe gleich. Eine schwerwiegende Sicherheitslücke namens KeyTrap (CVE-2023-50387) kann jedoch genau zu diesem Ergebnis führen, denn Kriminelle könnten einen Konstruktionsfehler in der Funktion Domain Name System Security Extensions (DNSSEC) ausnutzen, um mit nur einem einzelnen DNS-Paket einen anhaltenden Denial-of-Service-Zustand in verwundbaren Resolvern auszulösen und so Anwendungen vom Internet abzuschneiden. Betroffen sind alle gängigen DNS-Implementierungen und -Dienste (Domain Name Systems).

Das DNS ermöglicht es, auf Inhalte im Netz über URLs zuzugreifen, anstatt die IP-Adresse des Servers einzugeben, auf dem die angeforderten Daten liegen. DNSSEC ist eine Funktion des DNS, die DNS-Datensätze mit kryptografischen Signaturen versieht und so eine Authentifizierung der Antworten ermöglicht. Diese Überprüfung stellt sicher, dass die DNS-Daten von der Quelle, dem maßgeblichen Name Server, stammen und nicht unterwegs verändert wurden, um den Nutzer auf bösartige Webseiten umzuleiten.

Entdeckt wurde KeyTrap von Sicherheitsforschern des Nationalen Forschungszentrums für Angewandte Cybersicherheit ATHENE sowie von Experten der Goethe-Universität Frankfurt, des Fraunhofer-Institut für Sichere Informationstechnologie SIT und der Technischen Universität Darmstadt. Die Forscher erklären, dass das Problem daraus resultiert, dass DNSSEC alle relevanten kryptografischen Schlüssel für unterstützte Chiffren und die entsprechenden Signaturen sendet, damit die Validierung stattfinden kann, selbst wenn einige DNSSEC-Schlüssel falsch konfiguriert oder fehlerhaft sind oder zu nicht unterstützten Verschlüsselungen gehören.

Unter Ausnutzung dieser Schwachstelle haben die Forscher eine neue Klasse von DNSSEC-basierten Angriffen auf die algorithmische Komplexität entwickelt, die die Anzahl der CPU-Befehle in einem DNS-Resolver um das Zweimillionenfache erhöhen und damit dessen Antwort verzögern kann. Die Dauer dieses DoS-Zustands hängt von der Implementierung des Resolvers ab, aber den Forschern zufolge kann eine einzige Angriffsanfrage die Antwort von 56 Sekunden bis zu 16 Stunden aufhalten. Das hätte schwerwiegende Folgen für alle Internetanwendungen, einschließlich Web-Browsing, E-Mail und Instant Messaging. Laut den Sicherheitsforschern könnten Angreifer auf diese Art große Teile des Internets lahmlegen.

Eine genaue Beschreibung von KeyTrap haben die Sicherheitsforscher vergangene Woche in einem technischen Bericht veröffentlicht. Außerdem haben sie schon seit November 2023 mit DNS-Anbietern wie Google und Cloudflare zusammengearbeitet, um das Problem zu lösen. Das ist jedoch nicht so einfach, denn der Fehler existiert bereits seit fast 25 Jahren. Zwar gibt es bereits Korrekturen und Maßnahmen, um das Risiko zu entschärfen, eine grundsätzliche Lösung ist jedoch noch in weiter Ferne. Dafür könnte eine Neubewertung der DNSSEC-Designphilosophie erforderlich sein.

 

Über die 8com GmbH & Co. KG

Das 8com Cyber Defense Center schützt die digitalen Infrastrukturen seiner Kunden effektiv vor Cyberangriffen. Dazu vereint 8com zahlreiche Managed Security Services wie Security Information and Event Management (SIEM), Endpoint Detection and Response (EDR) mit Incident Response und Vulnerability Management unter einem Dach. Verschiedene Penetrationstests und Security-Awareness-Leistungen runden das Angebot ab.

8com gehört zu den führenden Anbietern von Awareness-Leistungen und Informationssicherheit in Europa. Seit 18 Jahren ist das Ziel von 8com, Kunden bestmöglich vor Cyberangriffen zu schützen und gemeinsam ein ökonomisch sinnvolles, aber trotzdem hohes Informationssicherheitsniveau zu erzielen. Durch die einzigartige Kombination aus technischem Know-how und direkten Einblicken in die Arbeitsweisen von Cyberkriminellen können die Cyber-Security-Experten bei ihrer Arbeit auf fundierte Erfahrungswerte zurückgreifen.

Firmenkontakt und Herausgeber der Meldung:

8com GmbH & Co. KG
Europastraße 32
67433 Neustadt an der Weinstraße
Telefon: +49 (6321) 48446-0
Telefax: +49 (6321) 48446-29
http://www.8com.de

Ansprechpartner:
Felicitas Kraus
Pressereferentin
Telefon: +49 (30) 30308089-14
E-Mail: kraus@quadriga-communication.de
Julia Olmscheid
Head of Communications
Telefon: +49 6321 484460
E-Mail: redaktion@8com.de
Für die oben stehende Story ist allein der jeweils angegebene Herausgeber (siehe Firmenkontakt oben) verantwortlich. Dieser ist in der Regel auch Urheber des Pressetextes, sowie der angehängten Bild-, Ton-, Video-, Medien- und Informationsmaterialien. Die United News Network GmbH übernimmt keine Haftung für die Korrektheit oder Vollständigkeit der dargestellten Meldung. Auch bei Übertragungsfehlern oder anderen Störungen haftet sie nur im Fall von Vorsatz oder grober Fahrlässigkeit. Die Nutzung von hier archivierten Informationen zur Eigeninformation und redaktionellen Weiterverarbeitung ist in der Regel kostenfrei. Bitte klären Sie vor einer Weiterverwendung urheberrechtliche Fragen mit dem angegebenen Herausgeber. Eine systematische Speicherung dieser Daten sowie die Verwendung auch von Teilen dieses Datenbankwerks sind nur mit schriftlicher Genehmigung durch die United News Network GmbH gestattet.

counterpixel