Eine DNS Amplification Attack ist ein Angriff, der kleine Anfragen an offene DNS-Server in große Antworten an ein Opfer verwandelt. Der Angreifer schickt die Anfragen mit gefälschter Absenderadresse, und die Antworten treffen jemand anderen.
- DNS Amplification Attack
Ein Angriff, der kleine Anfragen an offene DNS-Server in große Antworten an ein Opfer verwandelt.
Beispiel: „Die DNS Amplification Attack brachte 60 Gigabit je Sekunde auf das Ziel, obwohl der Angreifer selbst wenig sendete.“Der Verstärkungsfaktor liegt je nach Abfrageart zwischen zehn und über fünfzig: Eine Anfrage von 60 Byte kann eine Antwort von mehreren Kilobyte auslösen.
Abgrenzung zum DNS Spoofing: Dieses fälscht die Antwort, um umzulenken. Hier geht es allein um Masse, und das DNS ist das Werkzeug.
Wie eine DNS Amplification Attack funktioniert
In drei Schritten: Der Angreifer sucht Server, die jedem antworten, schickt ihnen Anfragen mit der Adresse des Opfers als Absender, und die Server senden ihre Antworten dorthin.
Weil die Anfragen über ein Protokoll ohne Verbindungsaufbau laufen, prüft niemand, ob der Absender stimmt. Genau diese Eigenschaft macht das DNS für solche Angriffe brauchbar.
Wer eine DNS Amplification Attack verhindern kann
Zwei Gruppen. Netzbetreiber, indem sie Pakete mit offensichtlich gefälschtem Absender gar nicht erst weiterleiten; und Betreiber von Resolvern, indem sie nur ihr eigenes Netz bedienen.
Ein öffentlich erreichbarer rekursiver Server ohne Begrenzung ist heute ein Fehler in der Einrichtung, siehe Recursive DNS-Server.
Was ein Betroffener tun kann
Wenig allein. Die Last kommt von tausenden legitimen Servern, und abschalten lässt sie sich nicht; es hilft allein ein Netz vor der eigenen Anbindung, das den Verkehr aufnimmt und filtert.
Deshalb liegt der Schutz bei Hostern und Auslieferungsnetzen, die solche Angriffe als Dienst abwehren, siehe CDN.