DNS: a rischio infrastruttura senza DNSSEC

L’ICANN (Internet Corporation for Assigned Names and Numbers) ha reso nota la sua preoccupazione per la sicurezza e l’affidabilità dell’infrastruttura DNS (Domain Name System). Per questo motivo l’organizzazione insiste per una completa adozione dello standard DNSSEC.

Cos’è il DNSSEC

Il DNSSEC è composto da una serie di specifiche dell’IETF, ideate col fine di garantire la sicurezza e l’affidabilità delle informazioni fornite dai sistemi DNS. Sostanzialmente tali estensioni consentono ai resolver DNS di autenticare:

• l’effettiva origine dei dati DNS;
• l’integrità dei dati ricevuti (ma non la riservatezza o la disponibilità);
• le asserzioni di non esistenza.

L’adozione di tale sistema sarebbe dunque di cruciale importanza per garantire la sicurezza degli utenti e la resilienza del sistema DNS agli attacchi.

Problemi di retrocompatibilità

DNSSEC è in sviluppo da diversi anni, tuttavia il suo utilizzo su larga scala è stato rallentato da diversi fattori. Si teme ad esempio che con la sua implementazione si possa rompere la retrocombatibilità con diversi sistemi e applicazioni.

Le altre incognite principali riguardano le difficoltà di realizzazione di un’infrastruttura simile su scala globale, senza contare che molti esperti affermano che non è possibile prevenire le enumerazioni di zona non desiderate con DNSSEC.

Si tratta comunque di sfide che possono essere superate grazie alla collaborazione dei governi e delle principali aziende ed organizzazioni del settore.

Le raccomandazioni dell’ICANN

L’ICANN è responsabile del coordinamento dell’infrastruttura DNS e ha l’obbiettivo di garantire la sua stabilità, la sua sicurezza e l’universalità delle risoluzioni dei nomi.

Il 15 febbraio l’ICANN ha diffuso un report in risposta a vari attacchi effettuati contro i principali punti chiave dell’infrastruttura DNS. Gli ingegneri dell’organizzazione hanno redatto una lista di raccomandazione di sicurezza che tutte le aziende che operano nel settore dei domain name dovrebbero implementare.

Il report indica inoltre che i pattern degli attacchi sono notevolmente sfaccettati e sono state sfruttate numerose metodologie. Alcuni di questi attacchi avevano l’obbiettivo di cambiare la struttura di risoluzione dei nomi, reindirizzando gli utenti verso IP e siti Web controllati dagli attaccanti.

via ICANN