Hemmeligt hul truer nettets sikkerhed

I starten af året opdagede sikkerhedsekspert Dan Kaminsky en meget alvorlig sikkerhedsbrist i nettets adressesystem, Domain Name System (DNS). Fejlen betyder at it-kriminelle kan viderelede brugerne til falske phishing-sites selv hvis man har tastet den korrekte adresse i browseren - adressen bank.dk kunne altså eksempelvis sættes til at pege på svindeloghumbug.dk, og brugeren vil aldrig ane uråd.

Det usædvanlige er, at fejlen ikke kun findes i et enkelt program. DNS konverterer adresser som bank.dk til numeriske ip-adresser, som computeren bruger til at kontakte serveren, og fejlen ligger i selve den metode, der bruges til at konvertere mellem ord og tal. Der er tale om det såkaldte DNS-cache-poisoning, hvor angriberen kan smugle falske oplysninger ind i DNS-serverens cache.

Kamisky tog kontakt til Microsoft, Cisco, Sun og andre leverandører, som har arbejdet på at lukke hullet i de sidste måneder. Samtidig har firmaerne hemmeligholdt problemet, og de tekniske detaljer er stadig ikke afsløret.

Men Microsoft har i dag frigivet en patch til sin DNS-klient og DNS-server som et led i sin faste månedlige patch-opdatering. Det samme har Cisco, Juniper og ISC (BIND).

En oversigt over de sårbare systemer findes hos det amerikanske CERT.