KeyTrap-Angriff kann Internetverbindung mit nur einem DNS-Paket lahmlegen

Für viele Unternehmen, wenn nicht gar für die meisten, ist das Internet mittlerweile unabdingbar geworden. Ist der Zugang über einen längeren Zeitraum gestört, kommt das einer Katastrophe gleich. Eine schwerwiegende Sicherheitslücke namens KeyTrap (CVE-2023-50387) kann jedoch genau zu diesem Ergebnis führen, denn Kriminelle könnten einen Konstruktionsfehler in der Funktion Domain Name System Security Extensions (DNSSEC) ausnutzen, um mit nur einem einzelnen DNS-Paket einen anhaltenden Denial-of-Service-Zustand in verwundbaren Resolvern auszulösen und so Anwendungen vom Internet abzuschneiden. Betroffen sind alle gängigen DNS-Implementierungen und -Dienste (Domain Name Systems).

Das DNS ermöglicht es, auf Inhalte im Netz über URLs zuzugreifen, anstatt die IP-Adresse des Servers einzugeben, auf dem die angeforderten Daten liegen. DNSSEC ist eine Funktion des DNS, die DNS-Datensätze mit kryptografischen Signaturen versieht und so eine Authentifizierung der Antworten ermöglicht. Diese Überprüfung stellt sicher, dass die DNS-Daten von der Quelle, dem maßgeblichen Name Server, stammen und nicht unterwegs verändert wurden, um den Nutzer auf bösartige Webseiten umzuleiten.

Entdeckt wurde KeyTrap von Sicherheitsforschern des Nationalen Forschungszentrums für Angewandte Cybersicherheit ATHENE sowie von Experten der Goethe-Universität Frankfurt, des Fraunhofer-Institut für Sichere Informationstechnologie SIT und der Technischen Universität Darmstadt. Die Forscher erklären, dass das Problem daraus resultiert, dass DNSSEC alle relevanten kryptografischen Schlüssel für unterstützte Chiffren und die entsprechenden Signaturen sendet, damit die Validierung stattfinden kann, selbst wenn einige DNSSEC-Schlüssel falsch konfiguriert oder fehlerhaft sind oder zu nicht unterstützten Verschlüsselungen gehören.

Unter Ausnutzung dieser Schwachstelle haben die Forscher eine neue Klasse von DNSSEC-basierten Angriffen auf die algorithmische Komplexität entwickelt, die die Anzahl der CPU-Befehle in einem DNS-Resolver um das Zweimillionenfache erhöhen und damit dessen Antwort verzögern kann. Die Dauer dieses DoS-Zustands hängt von der Implementierung des Resolvers ab, aber den Forschern zufolge kann eine einzige Angriffsanfrage die Antwort von 56 Sekunden bis zu 16 Stunden aufhalten. Das hätte schwerwiegende Folgen für alle Internetanwendungen, einschließlich Web-Browsing, E-Mail und Instant Messaging. Laut den Sicherheitsforschern könnten Angreifer auf diese Art große Teile des Internets lahmlegen.

Eine genaue Beschreibung von KeyTrap haben die Sicherheitsforscher vergangene Woche in einem technischen Bericht veröffentlicht. Außerdem haben sie schon seit November 2023 mit DNS-Anbietern wie Google und Cloudflare zusammengearbeitet, um das Problem zu lösen. Das ist jedoch nicht so einfach, denn der Fehler existiert bereits seit fast 25 Jahren. Zwar gibt es bereits Korrekturen und Maßnahmen, um das Risiko zu entschärfen, eine grundsätzliche Lösung ist jedoch noch in weiter Ferne. Dafür könnte eine Neubewertung der DNSSEC-Designphilosophie erforderlich sein.

‍

‍

Bild (c) Scott Rodgerson / Unsplash

‍