# Faille de conception du systême DNS

**URL:** <https://www.debian-fr.org/t/faille-de-conception-du-systeme-dns/14641>\
**Category:** Pause Café\
**Created:** [Février 20, 2016, 5:50 UTC](https://www.debian-fr.org/t/faille-de-conception-du-systeme-dns/14641 "2016-02-20T17:50:13Z")\
**Posts on this page:** 4\
**Page:** 3

<div class="post-metadata">

**Author:** ![MisterFreez](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/m/bb73d2/32.png) [@MisterFreez](https://www.debian-fr.org/u/MisterFreez)\
**Post date:** [Février 20, 2016, 5:54 UTC](https://www.debian-fr.org/t/faille-de-conception-du-systeme-dns/14641/41 "2016-02-20T17:54:28Z")

</div>

[quote=“mattotop”][quote=“mattotop”]quote="ripat"  
Quant au caractère public et désintéressé de mon ISP, j’ai des doutes.[/quote]Lui, non, mais son dns qui respecte la rfc, si. 😉 [/quote]  
Je viens de penser: rien n’empêche de s’installer un dns cache patché, et de ne déclarer aucun dns autres que les root-servers. Ca m’étonnerais qu’eux ne soient pas surprotègés contre les attaques.[/quote]  
Ça me semble être limite égoïste, ils sont puissant soit mais en tant que particulier ais-je réellement besoin de l’un des 13 ou 14 DNS les plus sûr et performant du globe ?

---

<div class="post-metadata">

**Author:** ![fran.b](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/f/d78d45/32.png) [@fran.b](https://www.debian-fr.org/u/fran.b)\
**Post date:** [Février 20, 2016, 5:54 UTC](https://www.debian-fr.org/t/faille-de-conception-du-systeme-dns/14641/42 "2016-02-20T17:54:30Z")

</div>

Non, cela remplit petit à petit le cache de ton DNS et rapidement il n’inbterroge plus les DNS racines mais ceux de son cache. J’ai tracé il y a longtemps les requêtes du serveur DNS, celles destinées aux serveux racines sont très rares (uptime du DNS de + de 200 jous, le cache devait être conséquent).

---

<div class="post-metadata">

**Author:** ![MisterFreez](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/m/bb73d2/32.png) [@MisterFreez](https://www.debian-fr.org/u/MisterFreez)\
**Post date:** [Février 20, 2016, 5:54 UTC](https://www.debian-fr.org/t/faille-de-conception-du-systeme-dns/14641/43 "2016-02-20T17:54:32Z")

</div>

Je comprends le mécanisme. C’est vraiment pas mal. 😲

---

<div class="post-metadata">

**Author:** ![ripat](https://www.debian-fr.org/letter_avatar_proxy/v4/letter/r/bc79bd/32.png) [@ripat](https://www.debian-fr.org/u/ripat)\
**Post date:** [Février 20, 2016, 5:54 UTC](https://www.debian-fr.org/t/faille-de-conception-du-systeme-dns/14641/44 "2016-02-20T17:54:37Z")

</div>

L’exploit s’est “enrichi” d’une injection des NS grâce à un de vos compatriotes: [Cédric Blancher](http://sid.rstack.org/index.php/Curriculum_Vitae).

Article:  
[blogs.zdnet.com/security/?p=1546](http://blogs.zdnet.com/security/?p=1546)

Exploit (version 2)  
[caughq.org/exploits/CAU-EX-2008-0003.txt](http://www.caughq.org/exploits/CAU-EX-2008-0003.txt)

# [quote]Credits

Dan Kaminsky is credited with originally discovering this vulnerability.

Cedric Blancher \<sid (@) [rstack.org](http://rstack.org)\> figured out the NS injection method and  
was cool enough to email us and share!  
[/quote]

D’après une étude autrichienne pas plus de 35% des “resolvers” ont patché.  
[cert.at/static/cert.at-0802-DNS- … alysis.pdf](http://cert.at/static/cert.at-0802-DNS-patchanalysis.pdf)

[Page précédente](https://www.debian-fr.org/t/faille-de-conception-du-systeme-dns/14641.md?page=2)