Dans la série « Comment détruire l’Internet », un assez bon article pratique, plutôt détaillé (mais un peu trop sensationnaliste) pour les apprentis génies du Mal.
►http://gizmodo.com/5912383/how-to-destroy-the-internet
Voir aussi ►http://seenthis.net/messages/63118 et ►http://seenthis.net/messages/35174
Un texte anonyme (avec un petit a) mais prétendant venir de la nébuleuse #Anonymous circule sur un pastebin, annonçant une attaque le 31 mars contre les serveurs de la racine :
Une analyse technique (sommaire et avec quelques simplifications mais correcte dans ses grandes lignes) de pourquoi c’est irréaliste circule :
►http://erratasec.blogspot.com/2012/02/no-anonymous-cant-ddos-root-dns-servers.html
Autre critique (pas lue encore) :
►http://www.circleid.com/posts/20120216_end_of_the_world_internet_on_31_marc_2012
Cette menace a suscité des menaces ouvertes de riposte violente de la part des États-Unis :
►http://blogs.msdn.com/b/tzink/archive/2012/02/15/anonymous-plans-to-go-after-dns-root-servers-what-will-be-the-us-s-respo
Le même article a été publié sur CircleID, avec quelques commentaires intéressants :
►http://www.circleid.com/posts/20120215_anonymous_plans_to_go_after_dns_root_servers
Je découvre aussi que cette idée d’attaque #dDoS contre les serveurs DNS de la racine est tellement connue qu’elle a sa page Wikipédia :
►http://en.wikipedia.org/wiki/Distributed_denial_of_service_attacks_on_root_nameservers
Mon analyse personnelle de la menace :
L’auteur a appris assez de technique pour comprendre deux ou trois choses, mais pas assez pour aller plus loin. Cela lui permet de passer pour un hacker auprès du journaliste de l’Express mais pas plus. L’attaque décrite est réaliste, elle est d’ailleurs très ancienne et a souvent été utilisée contre d’autres objectifs, les problèmes, pour l’attaquant, sont :
1) Quantitatif : la racine est une cible difficile et aucune attaque n’a jamais réussi.
2) Dans les conséquences : en raison des caches, l’effet ne sera pas spectaculaire. L’attaquant devrait plutôt s’en prendre à .com (où les caches sont moins efficaces, vu le nombre de domaines, et le faible TTL de la plupart) !
Ouais, bonne idée, le .com. Les gens biens sont sous .net ou .fr... ;-)
C’est plutôt le contraire, je l’ai pris comme exemple car, pour la plupart des utilisateurs, une panne de .com est équivalente à une panne d’Internet (plus de Facebook et de YouTube).
Je pense que cela surestime aussi beaucoup le nombre de FAI qui permettent le spoofing d’adresse source. Il me semble en tout cas qu’en France les plus gros filtrent.
L’article d’erratasec est franchement limite passable, des énormités sur les TTL (non .com n’a pas un TTL de plusieurs mois), le fonctionnement des caches (qui en plus ne sont absolument pas concernés par l’attaque), et pas un mot sur la méthode d’attaque présentée. Il semblerait qu’erratasecs’imagine que l’attaque porte uniquement sur un grand nombre de requête via les canaux « normaux ». Suis assez d’accord avec Alain, aussi, sur l’antispoofing bien pratiqué en France. Enfin, il doit y avoir un bug avec le MAJ+ENTRÉE car bien que ma touche shift ait tendance à bloquer en moment, ENTRÉE me fait quasi-systématiquement poster le commentaire même sans SHIFT (d’où le commentaire monobloc, veuillez m’en excuser).
Des démentis d’Anonymous (enfin, de gens qui disent être Anonymous, tout comme le message original) ►http://www.theregister.co.uk/2012/02/22/anon_disowns_dns_takedown_plan
►http://owni.fr/2012/02/25/operation-com-anonymous
Pour les techos hardeurs, je recommande la lecture de l’Internet-Draft « Improving DNS Service Availability by Using Long TTL Values ». Il propose un moyen de rendre les attaques moins efficaces mais il contient surtout une bonne analyse quantitative (dans son annexe A).
►http://tools.ietf.org/id/draft-pappas-dnsop-long-ttl
Un bon exposé sur ces TTL longs a été fait par Duane Wessels ►https://www.dns-oarc.net/files/workshop-201203/wessels-long-ttls.pdf
Pour les informations plus récentes, voir ►http://seenthis.net/messages/63118
