iniqua

Una de las alternativas para evitar este tipo de secuestros de dominio es el uso de OpenNIC. Se trata de un proyecto que tiene como objetivo ofrecer una alternativa a los dominios de primer nivel (TLD, Top Level Domain) gestionados por ICANN. Su principal atractivo es que por un lado no depende directa o indirectamente de un organismo gubernamental y que ofrece el registro de dominios de forma gratuita.

OpenNIC (a.k.a. “The OpenNIC Project”) is an organization of hobbyists who run an alternative DNS network. OpenNIC is owned and operated by the OpenNIC community. Membership is open to all who share an interest in keeping DNS free for all users. Our goal is to provide you with quick and reliable DNS services and access to domains not administered by ICANN.

OpenNIC provides resolution to all ICANN domains as well as OpenNIC’s own TLDs:

.geek, .free, .bbs, .parody, .oss, .indy, .fur, .ing, .micro, .dyn and .gopher

Join us as we create a new surfing experience. OpenNIC domain registrations are free of charge — simply register your domain, agree to the terms of the specific TLD you’re registering with, and point your domain to whatever online services you have to offer.

www.opennicproject.org/

Para completar la infraestructura del servicio OpenNIC mantiene una lista de servidores capaces de realizar resoluciones recursivas. Estos servidores son capaces de resolver los TLDs ofrecidos por OpenNIC y tienen que ser utilizados por los usuarios como alternativa o complemento a los servidores que los ISP ponen a su disposición.

Public Access (Tier-2) DNS Servers

Public Access servers, in accordance with the OpenNIC DNS Specification, provide recursive responses to the public, requiring a hefty amount of data transfer.

www.opennicproject.org/publictier2servers

wiki.opennicproject.org/ClosestT2Servers

Como nos pareció una iniciativa interesante, nos propusimos comenzar a utilizar estos servidores. Pero antes de utilizar algo, nos gusta valorar el nivel de seguridad que nos ofrece. Por esta razón hemos realizado un pequeño estudio de los servidores listados por OpenNIC.

Consideraciones:

• El estudio está realizado desde España, contra un servidor autoritativo situado en España y utilizando el servicio de FreeDNS (freedns.afraid.org).
• Hemos realizado esta pequeña revisión sobre los servidores por la importancia del protocolo DNS.

A continuación mostramos un resumen de los resultados obtenidos tras realizar algunas comprobaciones. Las comprobaciones realizan no más de 10 peticiones con el objetivo de comprobar si el servidor es un posible “open-emitter”, si muestra su versión software, qué TTL es capaz de procesar, si acepta peticiones no recursivas y si realiza una correcta aleatorización de los puertos desde los que realiza las peticiones de resolución.

El total de servidores sobre los que se realiza la comprobación es de 42. Quedan excluidos los servidores que operan en IPv6 en este pequeño estudio.

Los aspectos analizados los hemos reflejado de la siguiente forma:

• Open Emitter: Server use same IP for client and server side.
• TTL: Max TTL accepted.
• RAND Ports: Server range port in queries (client side).
• Version: Version.bind published.
• No RD flag allow: Server resolve no recursive queries.
• Rating [potential-insecure[0]unrecommended[1,2]recommended[3,4]optimal[5]]

Estadísticas de los resultados
TTL: Max 2592000 / Min 86400 / Med 604800

Open emitter: 34/42

Rand Ports: 36(GREAT)/1(POOR)
Version: 22/37
RD flag: 17(yes)/22(no)/4(time out)
Y por último las estadísticas de “Rating”:

Durante las comprobaciones se detectó que unos de los servidores utiliza un único puerto para realizar las resoluciones recursivas. Además el puerto utilizado es el propio puerto del servicio DNS (53/UDP). Esta configuración resulta peligrosa al exponer al servidor a ser víctima de un posible ataque de envenenamiento o denegación de servicio. El siguiente listado muestra una serie de peticiones realizadas por el servidor DNS sobre uno de nuestros servidores DNS Autoritarios, se aprecia el uso de un único puerto.

20:40:49.834987 IP 119.31.230.42.53 > @8.%$.?.!|3.53: 27952 [1au] A? 26524.subdomain.crabdance.com. (58)
20:40:49.835283 IP @8.%$.?.!|3.53 > 119.31.230.42.53: 27952*- 1/1/2 A 1.111.1.111 (113)
20:40:50.662949 IP 119.31.230.42.53 >@8.%$.?.!|3.53: 56212 [1au] A? 18007.subdomain.crabdance.com. (58)
20:40:50.663301 IP @8.%$.?.!|3.53 > 119.31.230.42.53: 56212*- 1/1/2 A 1.111.1.111 (113)
20:40:51.469681 IP 119.31.230.42.53 > @8.%$.?.!|3.53: 61742 [1au] A? 10214.subdomain.crabdance.com. (58)
20:40:51.470040 IP @8.%$.?.!|3.53 > 119.31.230.42.53: 61742*- 1/1/2 A 1.111.1.111 (113)
20:40:52.361705 IP 119.31.230.42.53 > @8.%$.?.!|3.53: 57922 [1au] A? 31473.subdomain.crabdance.com. (58)
20:40:52.362052 IP @8.%$.?.!|3.53 > 119.31.230.42.53: 57922*- 1/1/2 A 1.111.1.111 (113)
20:40:53.216820 IP 119.31.230.42.53 > @8.%$.?.!|3.53: 44946 [1au] A? 26389.subdomain.crabdance.com. (58)
20:40:53.217199 IP @8.%$.?.!|3.53 > 119.31.230.42.53: 44946*- 1/1/2 A 1.111.1.111 (113)
20:40:54.024087 IP 119.31.230.42.53 >@8.%$.?.!|3.53: 21492 [1au] A? 26070.subdomain.crabdance.com. (58)
20:40:54.024431 IP @8.%$.?.!|3.53 > 119.31.230.42.53: 21492*- 1/1/2 A 1.111.1.111 (113)
20:40:54.841505 IP 119.31.230.42.53 > @8.%$.?.!|3.53: 38277 [1au] A? 6472.subdomain.crabdance.com. (57)
20:40:54.841835 IP @8.%$.?.!|3.53 > 119.31.230.42.53: 38277*- 1/1/2 A 1.111.1.111 (112)
20:40:56.073528 IP 119.31.230.42.53 > @8.%$.?.!|3.53: 39680 [1au] A? 5293.subdomain.crabdance.com. (57)
20:40:56.073886 IP @8.%$.?.!|3.53 > 119.31.230.42.53: 39680*- 1/1/2 A 1.111.1.111 (112)

Enlaces:
[+] www.opennicproject.org
[+] dns.measurement-factory.com/cgi-bin/openresolvercheck.pl/
[+] pastehtml.com/view/axwqfxv77.html (Anonymous DNS alternative propuse)