bk99.de entertain the web since 1997

bk99.de
Lutz Donnerhacke · NetzwerkeKuratiert

DNS-Dampening: Angriffe bremsen, Resolver erhalten

Zusammenfassung

Lutz Donnerhacke testet im September 2012 einen eigenen Patch für BIND, der DNS-Anfragen mit Strafpunkten bewertet und auffällige Quellen vorübergehend ignoriert. Die Messdaten zeigen Überraschungen: Interne Prüfskripte lösten das Dampening aus, und ein fehlendes Minuszeichen ließ Strafpunkte exponentiell wachsen statt verfallen. Nach den Korrekturen erkannte der Patch Angriffe binnen rund 40 Paketen, ohne normale Anfragen zu stören.

Worum es ging

2012 missbrauchten Angreifer offene und autoritative Nameserver für Verstärkungsangriffe: Eine kleine Anfrage mit gefälschter Absenderadresse, etwa vom Typ ANY, erzeugt eine große Antwort an das Opfer. In der Statistik von Lutz Donnerhacke steht ANY mit 56.926 Anfragen auf Platz zwei hinter A. Dampening soll solche Quellen ausbremsen, ohne den Nameserver für alle anderen abzuschalten.

Die Lösung, die sich durchsetzte, folgt einer ähnlichen Idee. Response Rate Limiting (RRL) begrenzt gleiche Antworten an dieselbe Gegenstelle über ein Guthabenmodell; ISC liefert es ab BIND 9.10 mit, für BIND 9.9 musste es beim Bauen ausdrücklich aktiviert werden. RFC 8482 erlaubt seit 2019 außerdem, ANY-Anfragen nur noch minimal zu beantworten.

Was die Messung lehrte

Lokale Netze nimmt Lutz Donnerhacke vom Dampening aus: Wer für sie gefälschte Absender annimmt, misstraut dem eigenen Netz. Die offenen Fragen am Ende sind bis heute die richtigen, etwa was passiert, wenn ein Angreifer die Adresse des Resolvers eines großen Providers fälscht.

Ideen

  • Dampening sammelt Strafpunkte je Quelle und unterdrückt auffällige Anfragen vorübergehend.
  • Frühe Veröffentlichung deckte einen schweren Fehler in der Heapverwaltung auf.
  • Interne Konsistenzprüfungen können wie Angriffsverkehr aussehen.
  • Lokale Netze gehören auf eine Ausnahmeliste.
  • Strafpunkte müssen mit der Zeit verfallen.
  • Feste Ressourcengrenzen verhinderten, dass ein Programmierfehler den Server sprengte.

Einsichten

  • Abwehrlogik ohne Produktionsdaten wird leicht selbst zur Verfügbarkeitsstörung.
  • Ein falscher Algorithmus kann als ungeplanter Belastungstest trotzdem nützen.
  • Quellenbasierte Sperren treffen bei gefälschten Absendern auch Unbeteiligte.

Zitate

  • Release often, release early (Lutz Donnerhacke)

Fakten

  • Der Patch setzte auf BIND 9.9.1-P3 auf und griff direkt im Anfragepfad ein.
  • Ein internes Prüfskript erzeugte binnen weniger Minuten rund 40.000 Anfragen.
  • In der Statistik folgten auf 165.976 A-Anfragen bereits 56.926 vom Typ ANY.
  • ISC liefert Response Rate Limiting ab BIND 9.10 als Standardfunktion aus.
  • RFC 8482 von 2019 erlaubt minimale Antworten auf ANY-Anfragen.

Referenzen

Bemerkungen

  • Der Beitrag dokumentiert eigene Programmierfehler ebenso offen wie die Korrekturen.

Empfehlungen

  • Aktiviere auf autoritativen Nameservern Response Rate Limiting.
  • Nimm interne Monitoring- und Prüfsysteme ausdrücklich von Ratenbegrenzungen aus.
  • Begrenze Zustandstabellen von Abwehrmechanismen auf eine feste Größe.

Originalartikel lesen

Im Webarchiv suchen

Lutz Donnerhacke · 2026

Fehlkonfig as a Service: Unzustellbaren Verkehr sinnvoll beantworten

Lutz Donnerhacke leitet im Februar 2026 Kundenverkehr an private IPv4-Adressen, der im Providernetz landet, auf eine eigene Maschine um und schaut nach, was dort ankommt. Statt die Pakete still zu verwerfen, soll diese Maschine so antworten, dass fehlerhafte Geräte Ruhe geben und Nutzer erkennen, was falsch läuft. Unter FreeBSD scheitert die nötige Adressumschreibung, unter Linux gelingt sie mit einer kurzen nftables-Regel.

Stalwart Labs · 2026

Stalwart 1.0: Der Mailserver in Rust wird stabil und verlangt einen letzten Umzug

Stalwart Labs kündigt im Blogbeitrag seines Projektbetreuers die Version 1.0 des in Rust geschriebenen Mail- und Kollaborationsservers an, fünf Jahre nach dem ersten Commit. Schwerpunkte sind ein endgültiges Datenbankschema, das künftige Updates ohne Datenumzug erlauben soll, und eine Leistungsoffensive mit neu geschriebenen Parsern, weniger Datenbankzugriffen und einer neuen Volltextsuche. Der Beitrag zeigt, was Betreiber beim Umstieg von 0.16 prüfen müssen, wie belastbar der Vergleich mit Postfix und Dovecot ist und warum das Projekt seine Tests nicht mehr veröffentlicht.