Articulo

http://gabriel.verdejo.alvarez.googlepages.com – “La vulnerabilidad Kaminsky del sistema DNS”

La vulnerabilidad del sistema de nombres (DNS) de Dan Kaminsky
Por Gabriel.Verdejo.Alvarez@gmail.com - Noviembre 2008 Este documento está orientado a la divulgación pública de conocimiento por lo que los aspectos técnicos, si bien deberían ser rigurosos, son tratados de forma accesible para cualquierpersona con un mínimo de interés. En este escrito se explica la vulnerabilidad del sistema de nombres (DNS) que Dan Kaminsky [www1] dio a conocer durante el verano de 2008 y se realiza un breve análisis de su impacto en Internet. La estructura de este documento se divide en dos apartados claramente diferenciados, que todo y estar relacionados entre sí, permiten al lector ir directamente a laparte que más se ajuste a su nivel o interés en el tema. • Análisis técnico: En este apartado se realizará una explicación amena del protocolo de resolución de nombres orientado a la famosa vulnerabilidad. Se comentarán los aspectos técnicos más relevantes y se complementará con un ejemplo práctico. Impacto social: En la segunda parte de este documento se describirá la cronología seguida por DanKaminsky en la gestión de esta vulnerabilidad y se reflexionará brevemente sobre el impacto teórico y real así como la gestión (¿modélica?) realizada por parte de la comunidad. “To learn, read. To know, write. To master, teach" – Yogi tea bag

•

1. Análisis técnico de la vulnerabilidad de Kaminsky
1.1 Convenciones y definiciones Siempre que se realiza un documento en un idioma distinto a los queoriginalmente incluyen la información, se produce una pérdida por el cambio de contexto. También hay que notar que muchas veces las traducciones de una misma expresión varían en función del traductor. De esta forma y para mantener el espíritu riguroso de este manuscrito referenciaremos los vocablos y expresiones anglófonas sin traducirlos. Dejamos como trabajo para el lector la elección de latraducción que considere más adecuada. Por cuestiones de eficiencia Internet se organiza jerárquicamente mediante direcciones IP, estas direcciones pueden ser vistas como los números de teléfono dónde el prefijo, por ejemplo, nos suele indicar a qué provincia estamos llamando.

Página 1 de 27

http://gabriel.verdejo.alvarez.googlepages.com – “La vulnerabilidad Kaminsky del sistema DNS”

Parafacilitar el uso de Internet a las personas, generalmente es más fácil recordar un nombre que una ristra de números, se facilitó un servicio que permitiera el uso indistinto de las direcciones IP o sus nombres asociados. Al igual que pasa con el listín telefónico únicamente necesitamos recordar el nombre de la persona para poder obtener su número de teléfono. El sistema de DNS (Domain Name System)[Stevens94][AL01][Liu02][www2][www3] es el encargado, entre otras funciones importantes, de establecer las correspondencias entre los nombres y las direcciones IP utilizadas en Internet. A continuación enumeraremos una serie de conceptos vitales para entender cómo funciona este sistema de traducción de nombres a direcciones: Resolver Es la parte cliente del servicio DNS. Su función es la derealizar las peticiones solicitando la dirección IP de un nombre.

Nameserver Es la parte servidora del DNS. Su función es la de contestar a las peticiones de nombres recibidas. Zone Es una lista que contiene las parejas / . En realidad una zona puede contener más información, pero para nuestra explicación esta simplificación es suficientemente buena. Cuando un nameserver no conoce el contenido de unazone pero sabe a quien preguntar, utiliza un mecanismo de delegación que consiste en contestar a la petición recibida indicando dónde se ha de buscar. El Global Top Level Domain es el servidor que contiene toda la información referente a un dominio de último nivel. En el caso del nombre www.google.com el GTLD correspondiente sería el de “.com”, en el caso de www.rediris.es sería el “.es” y así...