Bug fix Internet genera backlash di hacker

Hacker sono un gruppo scettico, ma questo non infastidisce Dan Kaminsky, che ha avuto un sacco di problemi dai suoi colleghi nella comunità di ricerca sulla sicurezza dopo aver affermato di aver scoperto un bug critico nell'infrastruttura di Internet.

Kaminsky ha fatto notizia martedì da parlando di un grande difetto nel DNS (Domain Name System), utilizzato per connettere tra loro i computer su Internet. Alla fine di marzo ha raggruppato 16 società che producono software DNS - aziende come Microsoft, Cisco e Sun Microsystems - e le hanno convocate per risolvere il problema e rilasciare congiuntamente patch per esso.

Ma alcuni dei pari di Kaminsky non erano impressionati. Questo perché ha violato una delle regole cardine della divulgazione: pubblicizzare un difetto senza fornire i dettagli tecnici per verificare la sua scoperta. Mercoledì ha fatto un ulteriore passo avanti nel suo blog, chiedendo agli hacker di evitare di indagare sul problema fino al mese prossimo, quando prevede di rilasciare ulteriori informazioni al riguardo alla conferenza sulla sicurezza di Black Hat.

[Ulteriori letture: I migliori NAS per media streaming e backup]

Il difetto sembra essere serio e potrebbe essere sfruttato in quello che viene definito un "attacco da avvelenamento da cache". Questi attacchi hackerano il sistema DNS, utilizzandolo per reindirizzare le vittime verso siti Web dannosi a loro insaputa. Sono conosciuti da anni ma possono essere difficili da realizzare. Ma Kaminsky afferma di aver trovato un modo molto efficace per lanciare un tale attacco, grazie a una vulnerabilità nella progettazione del protocollo DNS stesso.

Martedì, tuttavia, Kaminsky si è trattenuto dal rivelare i dettagli tecnici della sua scoperta.

Ha dichiarato di voler rendere pubblico il problema per fare pressione sullo staff IT aziendale e sui provider di servizi Internet per aggiornare il proprio software DNS, mantenendo allo stesso tempo i malintenzionati nell'oscurità sulla natura precisa del problema. Una completa divulgazione pubblica dei dettagli tecnici renderebbe Internet non sicuro, ha detto in un'intervista mercoledì. "Al momento, nessuna di queste cose deve essere resa pubblica."

Ha subito ricevuto una reazione scettica dal ricercatore di Matasano Security Thomas Ptacek, che ha scritto che l'attacco di avvelenamento da cache di Kaminsky è solo una delle molte rivelazioni che sottolineano lo stesso problema ben noto con DNS - che non fa un buon lavoro nella creazione di numeri casuali per creare stringhe "ID sessione" univoche quando comunicano con altri computer su Internet.

"Il bug in DNS è che ha un 16 bit ID di sessione ", ha detto via e-mail mercoledì. "Non è possibile distribuire una nuova app Web con meno di ID di sessione a 128 bit. Abbiamo conosciuto questo problema fondamentale dagli anni '90".

"Arriva l'assalto di interviste e esplosione mediatica per un altro bug sopraffatto di Dan Kaminsky, "ha scritto un poster (e anonimo) stanco sul blog di Matasano.

Al SANS Internet Storm Center, un blog di sicurezza molto rispettato, un blogger ha ipotizzato che il bug di Kaminsky fosse stato divulgato tre anni prima.

Kaminsky, che è direttore dei test di penetrazione con il fornitore di sicurezza IOActive, ha detto di essere "vagamente sorpreso" da alcune delle reazioni negative, ma che questo tipo di scetticismo era vitale per la comunità degli hacker. "Sto infrangendo le regole", ha ammesso. "Non ci sono abbastanza informazioni nell'advisory per capire l'attacco e me ne vanto."

Secondo l'esperto di DNS Paul Vixie, una delle poche persone a cui è stato dato un briefing dettagliato sulla scoperta di Kaminsky, è diverso dal problema segnalato tre anni fa da SANS. Mentre il difetto di Kaminsky è nella stessa area, "è un problema diverso", ha detto Vixie, che è presidente di Internet Systems Consortium, il produttore del software server DNS più utilizzato su Internet.

Il problema è urgente e dovrebbe essere corretto immediatamente, ha detto David Dagon, un ricercatore di DNS presso la Georgia Tech, che è stato anche informato sul bug. "Con pochi dettagli, alcuni si sono chiesti se Dan Kaminsky avesse riconfezionato il lavoro più vecchio negli attacchi DNS", ha detto in un'intervista via e-mail. "Non è possibile pensare che i fornitori di DNS del mondo avrebbero patchato e annunciato all'unisono senza motivo."

Alla fine della giornata, Kaminsky aveva persino trasformato il suo critico più vocale, Ptacek di Matasano, che ha pubblicato una retrazione su questo blog dopo che Kaminsky aveva spiegato i dettagli della sua ricerca al telefono. "Ha i beni", ha detto in seguito Ptacek. Mentre l'attacco si basa su ricerche DNS precedenti, rende estremamente facili da attuare gli attacchi di avvelenamento della cache. "Ha praticamente preso a puntare e fare clic su un livello che non abbiamo visto arrivare".

I restanti critici di Kaminsky dovranno aspettare fino alla sua presentazione Black Hat del 7 agosto per sapere con certezza, comunque.

Il ricercatore della sicurezza ha detto che spera che si presentino per il suo discorso. "Se non ho l'exploit", ha detto. "Merito ogni singolo pezzo di rabbia e sfiducia."