<html xmlns:o="urn:schemas-microsoft-com:office:office" xmlns:w="urn:schemas-microsoft-com:office:word" xmlns:m="http://schemas.microsoft.com/office/2004/12/omml" xmlns="http://www.w3.org/TR/REC-html40"><head><meta http-equiv=Content-Type content="text/html; charset=utf-8"><meta name=Generator content="Microsoft Word 15 (filtered medium)"><style><!--
/* Font Definitions */
@font-face
{font-family:Wingdings;
panose-1:5 0 0 0 0 0 0 0 0 0;}
@font-face
{font-family:"Cambria Math";
panose-1:2 4 5 3 5 4 6 3 2 4;}
@font-face
{font-family:Calibri;
panose-1:2 15 5 2 2 2 4 3 2 4;}
@font-face
{font-family:Consolas;
panose-1:2 11 6 9 2 2 4 3 2 4;}
/* Style Definitions */
p.MsoNormal, li.MsoNormal, div.MsoNormal
{margin:0in;
font-size:11.0pt;
font-family:"Calibri",sans-serif;}
a:link, span.MsoHyperlink
{mso-style-priority:99;
color:blue;
text-decoration:underline;}
code
{mso-style-priority:99;
font-family:"Courier New";}
pre
{mso-style-priority:99;
mso-style-link:"HTML con formato previo Car";
margin:0in;
font-size:10.0pt;
font-family:"Courier New";}
span.HTMLconformatoprevioCar
{mso-style-name:"HTML con formato previo Car";
mso-style-priority:99;
mso-style-link:"HTML con formato previo";
font-family:"Consolas",serif;}
span.EstiloCorreo22
{mso-style-type:personal-reply;
font-family:"Calibri",sans-serif;
color:windowtext;}
.MsoChpDefault
{mso-style-type:export-only;
font-size:10.0pt;}
@page WordSection1
{size:8.5in 11.0in;
margin:70.85pt 85.05pt 70.85pt 85.05pt;}
div.WordSection1
{page:WordSection1;}
/* List Definitions */
@list l0
{mso-list-id:1937860751;
mso-list-template-ids:69004810;}
@list l0:level1
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:.5in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:Symbol;}
@list l0:level2
{mso-level-number-format:bullet;
mso-level-text:o;
mso-level-tab-stop:1.0in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:"Courier New";
mso-bidi-font-family:"Times New Roman";}
@list l0:level3
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:1.5in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:Wingdings;}
@list l0:level4
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:2.0in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:Wingdings;}
@list l0:level5
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:2.5in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:Wingdings;}
@list l0:level6
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:3.0in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:Wingdings;}
@list l0:level7
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:3.5in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:Wingdings;}
@list l0:level8
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:4.0in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:Wingdings;}
@list l0:level9
{mso-level-number-format:bullet;
mso-level-text:;
mso-level-tab-stop:4.5in;
mso-level-number-position:left;
text-indent:-.25in;
mso-ansi-font-size:10.0pt;
font-family:Wingdings;}
ol
{margin-bottom:0in;}
ul
{margin-bottom:0in;}
--></style></head><body lang=ES-US link=blue vlink=purple><div class=WordSection1><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Hola a tod@s, buenas tardes.<o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Espero esten muy bien, asi como sus familias y amistades.<o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Nico, gracias por traer DoH de vuelta al ruedo, esta vez con algo mas de analisis en ese paper que nos compartes, y que luego Carlos estuvo desglosando un poco, y Fernando agrego tambien.<o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>La cuestion en si, es que cada vez es mas fina e indiscernible, la linea entre privacidad y seguridad. Por tanto, es bastante facil cometer “abusos” en uno y otro terreno, tratando de garantizar seguridad o privacidad, según interese.<o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Sin embargo, lo que veo en este caso en particular de Mozilla, es que la solución que dieron, crea problemas mas grandes que los que intentó resolver. No puedes pretender garantizar la privacidad del trafico de DNS de los usuarios, enviandolo de forma automatica y anonima hacia un sitio de terceros (seleccionados unilateralmente); que aunque supongamos sean los mas buenos y transparentes del planeta, nunca firmaron (ni firmaran) un acuerdo de confidencialidad con los usuarios cuya privacidad se trata de ayudar a proteger con esto. <o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>De igual forma, al implementar esto, terminan alterandose diseños operativos en las organizaciones que legitimamente tienen contrato con los usuarios, y que ademas pueden tener repercusiones tanto en el acceso a contenidos (cuando se trabaja con vistas, balanceadores, etc) como en problemas relacionados con las normativas de seguridad que existan en el pais donde se encuentre dicho usuario. <o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Si por demas, abre opciones geniales para los atacantes como ya nos queda ilustrado (y que posiblemente muchas organizaciones ya esten sufriendo)… pues creo que habria que pensar bien el alcance y el empleo de estas tecnologias, antes de implementarlas, y si se hace, creo que tiene que ser de manera consciente. La idea del post era emplear DoH para ayudar a controlar el Malware; pero si quien recibe el DoH no me muestra esa informacion (ni mis herramientas de seguridad la pueden usar), simplemente lo que esta logrando esto es favorecer a los atacantes. <o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Coincido contigo Nico, en que para el sector corporativo esto es muy poco recomendable, y en el sector residencial, el 95% de los usuarios (para ser conservador) no esta ni siquiera pendiente de si le mandan las consultas de DNS a Google o a su ISP o a cualquier otra organizacion. Simplemente les importa poder acceder a los servicios que les gusta y punto. <o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Por tanto, me parece que este procedimiento de Mozilla no es nada etico, y ciertamente no va a soluconar mayores problemas de privacidad (según enienden los usuarios); pero abre una puerta bastante oscura a la recoleccion de datos “de forma forzada” de usuarios de todo el mundo, que pueden tener muchos usos; en los que la privacidad de los usuarios va a terminar siendo violentada de formas insospechadas. <o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Como opcion tecnologica para quienes la quiera usar de forma consciente, me parece bien (como tantas opciones que existen en todas las aplicaciones y servicios que rara vez se usan); pero forzar su uso, sin siquiera alertar a los usuarios, fatal. En teoria la habilitacion de DoH en Mozilla iba a ser automatico solo en USA. En Europa imagino se cuiden por cuenta de GDPR; pero que creen que pase en nuestra región?<o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Saludos,<o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'>Jorge<o:p></o:p></span></p><p class=MsoNormal><span style='mso-fareast-language:EN-US'><o:p> </o:p></span></p><div style='border:none;border-top:solid #B5C4DF 1.0pt;padding:3.0pt 0in 0in 0in'><p class=MsoNormal><b><span style='font-size:12.0pt;color:black'>De: </span></b><span style='font-size:12.0pt;color:black'>LACNOG <lacnog-bounces@lacnic.net> en nombre de "Carlos M. Martinez" <carlosm3011@gmail.com><br><b>Responder a: </b>Latin America and Caribbean Region Network Operators Group <lacnog@lacnic.net><br><b>Fecha: </b>viernes, 4 de septiembre de 2020, 5:55 p. m.<br><b>Para: </b>Latin America and Caribbean Region Network Operators Group <lacnog@lacnic.net><br><b>CC: </b>Latin America and Caribbean Region Network Operators Group <lacnog@lacnog.org><br><b>Asunto: </b>Re: [lacnog] Utilización de DoH como canal encubierto para controlar Malware<o:p></o:p></span></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><div><p>Hola a todos,<o:p></o:p></p><p>Si yo entiendo bien este escenario, en realidad lo que hizo Mozilla de cambiar el default de hacia dónde van las consultas DNS (con lo que discrepó totalmente) es solamente una capa mas en una ataque ya de por si complejo.<o:p></o:p></p><p>El registro dns que se ve en el articulo sigue pudiendo ser consultado incluso por “ye olde" plain text DNS<o:p></o:p></p><pre><code>$ dig txt dmarc.jqueryupdatejs.com<o:p></o:p></code></pre><pre><code><o:p> </o:p></code></pre><pre><code>; <<>> DiG 9.10.6 <<>> txt dmarc.jqueryupdatejs.com<o:p></o:p></code></pre><pre><code>;; global options: +cmd<o:p></o:p></code></pre><pre><code>;; Got answer:<o:p></o:p></code></pre><pre><code>;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 19013<o:p></o:p></code></pre><pre><code>;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1<o:p></o:p></code></pre><pre><code><o:p> </o:p></code></pre><pre><code>;; OPT PSEUDOSECTION:<o:p></o:p></code></pre><pre><code>; EDNS: version: 0, flags:; udp: 4096<o:p></o:p></code></pre><pre><code>;; QUESTION SECTION:<o:p></o:p></code></pre><pre><code>;dmarc.jqueryupdatejs.com. IN TXT<o:p></o:p></code></pre><pre><code><o:p> </o:p></code></pre><pre><code>;; ANSWER SECTION:<o:p></o:p></code></pre><pre><code>dmarc.jqueryupdatejs.com. 38400 IN TXT "v=DKIM1; k=rsa; p=/NkBspI4LG64/nlEJ5sKjBiKA2L0Oi0B/TVRRNE5ESXpPRFk0T0E9PQ/mvYI54xdsqEmW/TVRRNE5ESXpPRFk0Tnc9PQ/TWpNNE9ETTN/TWpNNE9ETTNNVGszTkE9PQ/mvYI54xdsqEmW/TWpNNE9ETTNNakUwTXc9PQ/+ENwGoMUg9feAaD9qyw7KUEysv23BHGBHxInOA2FOhTOZrNWg7DQIDAQAB"<o:p></o:p></code></pre><pre><code><o:p> </o:p></code></pre><pre><code>;; Query time: 684 msec<o:p></o:p></code></pre><pre><code>;; SERVER: 200.7.84.14#53(200.7.84.14)<o:p></o:p></code></pre><pre><code>;; WHEN: Fri Sep 04 10:07:36 -03 2020<o:p></o:p></code></pre><pre><code>;; MSG SIZE rcvd: 307<o:p></o:p></code></pre><pre><code><o:p> </o:p></code></pre><p>Aca hay casi tantas capas como en una cebolla:<o:p></o:p></p><ul type=disc><li style='mso-list:l0 level1 lfo1'>el uso de un nombre de dominio que se ve inocente, como “jqueryupdatejs.com” , cualquiera diría que es el update de jQuery<o:p></o:p></li><li style='mso-list:l0 level1 lfo1'>el uso de DNS como covert channel. Incluso si se usa DNS plano, a menos que alguien esté minando datos de consultas DNS esto puede demorar meses y meses en ser detectado<o:p></o:p></li><li style='mso-list:l0 level1 lfo1'>el payload del DMARC record ya es, o al menos puede pasar como, algo cifrado normal<o:p></o:p></li></ul><p>El DNS over HTTPS aca es una mas de esas capas, pero no es ni cerca el unico ni el mas importante de los elementos aca.<o:p></o:p></p><p>Entiendo que lo que hizo Mozilla no esta bueno, esa es otra discusión que me encantaría tuviéramos.<o:p></o:p></p><p>Abrazo y buen finde para todos.<o:p></o:p></p><p>/Carlos<o:p></o:p></p><p>On 4 Sep 2020, at 5:46, Roque Gagliano wrote:<o:p></o:p></p></div><blockquote style='margin-top:5.0pt;margin-bottom:5.0pt'><div><div><p class=MsoNormal>Nico,<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>No hubo ni hay "discusión", Mozilla cambió el default y punto.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>Roque.<o:p></o:p></p></div></div><p class=MsoNormal><o:p> </o:p></p><div><div><p class=MsoNormal>On Thu, Sep 3, 2020 at 5:33 PM Nicolas Antoniello <<a href="mailto:nantoniello@gmail.com">nantoniello@gmail.com</a>> wrote:<o:p></o:p></p></div><blockquote style='border:none;border-left:solid #CCCCCC 1.0pt;padding:0in 0in 0in 6.0pt;margin-left:4.8pt;margin-right:0in'><div><p class=MsoNormal>Estimados,<o:p></o:p></p><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>Para que lo tengan en cuenta. En este caso, los sistemas de detección de amenazas que puedan estar operando en las organizaciones no serían capaces de detectar este tipo de ataques. La forma de detectarlo sería (en principio) únicamente desde el cliente con algún mecanismo de detección de Malware o similar.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>Este trata de la utilización de respuestas DNS conteniendo código para comandar y controlar un malware previamente instalado en el cliente.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>Lo interesante es que al valerse de DoX se vuelve mucho más difícil su detección y por lo tanto es aprovechable por los atacantes como mecanismo para intentar evitar sistemas de detección que puedan utilizar las organizaciones.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>En el artículo se menciona el hecho de que este tipo de ataques no es nuevo; así como el hecho de que esto no es un problema propio de DoX; sino que los atacantes se valen de la privacidad que provee DoX para encubrir su tráfico.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal><a href="https://www.bleepingcomputer.com/news/security/attackers-abuse-google-dns-over-https-to-download-malware/" target="_blank">https://www.bleepingcomputer.com/news/security/attackers-abuse-google-dns-over-https-to-download-malware/<br></a><o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>Personalmente creo que agrega una consideración interesante en la conversación sobre privacidad vs. seguridad a la hora de cada uno decidir en qué ámbitos aplicaremos cada mecanismo; así como qué medidas adicionales de seguridad (y privacidad) podemos tomar a nivel operativo para buscar protegernos mejor de este tipo de amenazas.<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal>Saludos,<o:p></o:p></p></div><div><p class=MsoNormal>Nico<o:p></o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div><div><p class=MsoNormal><o:p> </o:p></p></div></div><p class=MsoNormal>_______________________________________________<br>LACNOG mailing list<br><a href="mailto:LACNOG@lacnic.net" target="_blank">LACNOG@lacnic.net</a><br><a href="https://mail.lacnic.net/mailman/listinfo/lacnog" target="_blank">https://mail.lacnic.net/mailman/listinfo/lacnog</a><br>Cancelar suscripcion: <a href="https://mail.lacnic.net/mailman/options/lacnog" target="_blank">https://mail.lacnic.net/mailman/options/lacnog</a><o:p></o:p></p></blockquote></div><p class=MsoNormal><br clear=all><br>-- <o:p></o:p></p><div><p class=MsoNormal><br><br>At least I did something<br>Don Draper - Mad Men<o:p></o:p></p></div></blockquote><div><blockquote style='margin-top:5.0pt;margin-bottom:5.0pt'><p>_______________________________________________<br>LACNOG mailing list<br>LACNOG@lacnic.net<br><a href="https://mail.lacnic.net/mailman/listinfo/lacnog">https://mail.lacnic.net/mailman/listinfo/lacnog</a><br>Cancelar suscripcion: <a href="https://mail.lacnic.net/mailman/options/lacnog">https://mail.lacnic.net/mailman/options/lacnog</a><o:p></o:p></p></blockquote></div></div><p class=MsoNormal>_______________________________________________ LACNOG mailing list LACNOG@lacnic.net https://mail.lacnic.net/mailman/listinfo/lacnog Cancelar suscripcion: https://mail.lacnic.net/mailman/options/lacnog <o:p></o:p></p></div></body></html>