El Centro Nacional de Investigación en Ciberseguridad Aplicada ATHENE, ubicado en Alemania, ha identificado una falla crítica en el diseño del protocolo DNSSEC. Esta vulnerabilidad afecta a todas las implementaciones de DNS que validan DNSSEC y a los proveedores de DNS públicos, como Google, Cloudflare y Bind9.
Impacto global
DNS es un componente fundamental de Internet, pero la falla descubierta tiene consecuencias devastadoras para las implementaciones que validan DNSSEC. Según datos de APNIC, aproximadamente el 35% de los usuarios de Internet en EE.UU. y el 30% a nivel mundial dependen de solucionadores de DNS que utilizan validación DNSSEC, lo que los hace vulnerables.
Akamai ha señalado que esta brecha podría permitir a los atacantes causar interrupciones significativas en Internet. Un tercio de los servidores DNS globales estaría expuesto a un ataque de denegación de servicio (DoS) altamente eficiente, lo que podría impactar a más de mil millones de usuarios.
El ataque KeyTrap
ATHENE desarrolló una nueva clase de ataque denominada «KeyTrap». Con un solo paquete DNS, los atacantes podrían detener todas las implementaciones de DNS más utilizadas y los proveedores de DNS públicos. Este ataque ha estado presente en el estándar DNSSEC durante más de dos décadas.
Los investigadores del ATHENE, junto con expertos de la Universidad Goethe de Frankfurt, Fraunhofer SIT y la Universidad Técnica de Darmstadt, descubrieron que KeyTrap puede agotar la CPU y detener las implementaciones de DNS ampliamente utilizadas. En el caso de Bind9, este efecto podría durar hasta 16 horas.
Consecuencias del ataque
La explotación de KeyTrap tendría graves consecuencias para cualquier aplicación que utilice Internet. La falta de disponibilidad de DNS puede impedir el acceso al contenido y deshabilitar mecanismos de seguridad, como defensas antispam o infraestructuras de clave pública (PKI).
Los investigadores destacan que KeyTrap podría desactivar por completo gran parte de Internet en todo el mundo. Los principales proveedores de DNS han referido a este ataque como «el peor ataque al DNS jamás descubierto».
Vulnerabilidades anteriores
Los defectos no son recientes. Estaban presentes en el estándar RFC 2535 de 1999 y se mantuvieron en los requisitos de implementación con los estándares RFC 6781 y RFC 6840.
Las vulnerabilidades han estado activas desde al menos agosto de 2000 en DNS Bind9 y se introdujeron en el código de DNS Unbound en agosto de 2007. Aunque las vulnerabilidades han existido durante aproximadamente 25 años, la comunidad no las notó.
Respuesta a la amenaza
Desde la divulgación inicial de las vulnerabilidades, el equipo ha estado trabajando con los principales proveedores para mitigar los problemas en sus implementaciones. Sin embargo, prevenir completamente los ataques requiere reconsiderar fundamentalmente la filosofía de diseño subyacente de DNSSEC.
Akamai desarrolló e implementó mitigaciones entre diciembre de 2023 y febrero de 2024 para sus solucionadores recursivos DNSi, incluidos CacheServe y AnswerX. Los vectores de ataque explotados en KeyTrap están registrados como CVE-2023-50387.
Daño significativo en una solicitud
El problema surge del requisito de DNSSEC de enviar todas las claves criptográficas relevantes para los cifrados admitidos y las firmas correspondientes. Aprovechando esta vulnerabilidad, se desarrolló una nueva clase de ataques basados en DNSSEC que pueden aumentar el recuento de instrucciones de la CPU en un solucionador de DNS en 2 millones de veces.
La duración del estado DoS depende de la implementación del solucionador, pero una sola solicitud de ataque puede mantener la respuesta desde 56 segundos hasta 16 horas.