Cache poisoning

Cache poisoning, ook wel DNS spoofing genoemd, is een aanval waarbij iemand een vals DNS-antwoord in de cache van een resolver krijgt. Gebruikers van die resolver komen daarna op een verkeerd IP-adres uit, ook al typen ze de juiste domeinnaam. Zo kunnen ze bijvoorbeeld op een nagemaakte inlogpagina belanden.

De aanval maakt gebruik van de manier waarop DNS werkt. Een resolver stelt zijn vragen meestal via UDP en accepteert het eerste antwoord dat bij de vraag lijkt te passen. Een aanvaller probeert daarom een vervalst antwoord eerder af te leveren dan de echte nameserver, en moet daarvoor onder meer het transactienummer van 16 bits raden. Lukt dat, dan bewaart de resolver het valse antwoord zo lang als de TTL aangeeft en geeft hij het aan iedereen die erom vraagt.

In 2008 liet Dan Kaminsky zien dat zo'n aanval veel sneller kon slagen dan gedacht. Resolvers kiezen sindsdien voor elke vraag ook een willekeurige bronpoort, wat het raden veel moeilijker maakt. Echt oplossen doet alleen DNSSEC: daarmee onderteken je je DNS-records, zodat een controlerende resolver een vervalst antwoord herkent en weigert.

Voor je eigen domein is DNSSEC dus de beste bescherming. Wil je DNSSEC aan- of uitzetten voor een domein bij KeurigOnline, mail dan de helpdesk met je domeinnaam. Met de websitetest van Internet.nl controleer je daarna of je domein ondertekend is.