DNSSEC a zabezpečenie DNS vo vašej lokálnej sieti

Informatec Digital » Zdroje » DNSSEC a zabezpečenie DNS vo vašej lokálnej sieti

Internet je postavený na niekoľkých kľúčových komponentoch, ktoré takmer nikdy nevidíme, ale ktoré sú tam vždy, keď otvoríme prehliadač. Jedným z najdôležitejších je systém názvov domén (DNS) a keď hovoríme o DNSSEC a bezpečnosti v lokálnej sieti , v skutočnosti hovoríme o posilnení tohto základu, aby sa zabránilo podvodným presmerovaniam, spoofingu a iným závažným útokom.

Predtým bolo prioritou jednoducho zabezpečiť, aby všetko fungovalo; dnes vieme, že to nestačí. DNS vznikol v 80. rokoch 20. storočia bez ohľadu na masívne kybernetické útoky, ale teraz ho potrebujeme nielen na rozpoznávanie mien, ale aj na overovanie pravosti a integrity každej odpovede . Tu prichádza na rad DNSSEC a v poslednej dobe aj návrhy ako E-DNSSEC, ktorých cieľom je pridať aj dôvernosť – kľúčový faktor, ak máte obavy o bezpečnosť svojej lokálnej alebo firemnej siete.

Čo je DNS a prečo je taký dôležitý pre bezpečnosť?

Systém názvov domén (DNS ) je telefónny zoznam internetu: prekladá ľahko zapamätateľné mená (ako www.example.com) na číselné IP adresy, ktorým počítače rozumejú (napríklad 192.168.2.15 alebo adresa IPv6). Bez tohto mechanizmu by sme si museli pamätať čísla namiesto mien, čo je úplne nepraktické.

Táto infraštruktúra je organizovaná ako distribuovaná databáza v stromovej štruktúre s koreňovou zónou na vrchole, za ktorou nasledujú domény najvyššej úrovne (TLD ako .es, .com, .org) a pod ňou domény a subdomény. Každá časť tejto databázy sa nazýva „ zóna “ a je hostená na jednom alebo viacerých autoritatívnych menných serveroch, ktoré zverejňujú „oficiálne“ informácie pre každú doménu.

Keď váš počítač, mobilný telefón alebo akékoľvek iné zariadenie chce získať prístup na webovú stránku, začne dotazovaním na stub resolver , ktorý je súčasťou operačného systému. Tento resolver odošle dotaz na rekurzívny DNS server (zvyčajne server vášho poskytovateľa internetových služieb, vašej spoločnosti alebo verejný DNS, ako napríklad Google Public DNS , OpenDNS alebo Quad9). Tento rekurzívny server potom vyhľadá odpoveď dotazovaním niekoľkých autoritatívnych serverov, kým nenájde správnu IP adresu.

Rekurzívne resolvery ukladajú prijaté odpovede do vyrovnávacej pamäte, aby urýchlili následné dotazy. Toto je veľmi efektívne, ale zároveň to otvára dvere útočníkovi, aby „otrávil vyrovnávaciu pamäť DNS“ a vložil do nej falošné údaje , takže mnoho následných požiadaviek sa vyrieši s týmito manipulovanými informáciami bez toho, aby si to používateľ všimol.

Hlavným problémom je, že DNS v pôvodnom dizajne nemá robustný spôsob overovania pravosti odpovedí . Prekladač v podstate kontroluje, či odpoveď zrejme pochádza z rovnakej IP adresy, ktorú dotazoval, ale táto zdrojová IP adresa sa dá relatívne ľahko sfalšovať. To umožňuje útoky tichým presmerovaním na podvodné stránky, ktoré napodobňujú napríklad webovú stránku vašej banky.

Bezpečnostné obmedzenia tradičného DNS

Protokol DNS vznikol v dobe, keď bezpečnosť nebola primárnym záujmom. Preto teraz vieme, že dotazy a odpovede DNS sa prenášajú v obyčajnom texte bez šifrovania a že záznamy je možné sfalšovať bez dodatočnej ochrany.

To otvára dvere niekoľkým typom útokov, najmä útokom typu „poisoning“ (otrava vyrovnávacej pamäte DNS) a útokom typu „man-in-the-middle“. V oboch prípadoch útočník vkladá falošné odpovede, čo spôsobuje, že používatelia skončia na webových stránkach, ktoré kontrolujú, bez toho, aby si všimli niečo nezvyčajné, pretože názov domény zobrazený v prehliadači zostáva legitímny.

Predstavte si, že pristupujete na webovú stránku svojej banky: váš počítač si od rekurzívneho servera vyžiada IP adresu domény banky, ale útočník oklamal server, aby prijal falošnú odpoveď s IP adresou identickej webovej stránky, ktorú kontroluje . Používateľ zadá svoje prihlasovacie údaje v domnení, že je všetko v poriadku, a kyberzločinec ich dostane v obyčajnom texte, aby ich neskôr použil na skutočnej stránke.

Mechanizmy ako Transaction Signatures (TSIG) , definované v RFC 2845, slúžia na ochranu určitých operácií medzi DNS servermi (napríklad prenosy zón medzi hlavným a podriadeným serverom a dynamické aktualizácie). TSIG umožňuje dvom počítačom zdieľajúcim tajný kľúč overiť identitu druhej strany a integritu prenášaných správ.

TSIG má však veľmi obmedzený rozsah: neoveruje „skutočný“ pôvod údajov DNS ; iba zabezpečuje, aby výmena medzi dvoma konkrétnymi servermi nebola ovplyvnená. Ak boli pôvodné informácie v zóne už predtým, ako sa dostali na tieto servery, TSIG ich nezistí. Preto, hoci sa bežne používa na prenosy zón, nerieši základný problém autenticity zverejnených údajov DNS.

Čo je DNSSEC a ako prispieva k bezpečnosti?

V reakcii na všetky tieto slabiny boli vyvinuté rozšírenia zabezpečenia systému názvov domén (DNSSEC) . DNSSEC nenahrádza klasický DNS, ale rozširuje ho o vrstvu zabezpečenia, ktorá umožňuje overiť, či sú prijaté údaje legitímne a neboli zmenené.

DNSSEC je založený na kryptografii s verejným kľúčom (asymetrická kryptografia) . Každá zóna DNS má pár kľúčov: súkromný kľúč, ktorý je utajený, a verejný kľúč, ktorý je zverejnený na samotnom serveri DNS. Vlastník zóny používa súkromný kľúč na digitálne podpisovanie záznamov v danej zóne; verejný kľúč sa používa na overenie týchto podpisov.

Keď rekurzívny server odošle dotaz na doménu pomocou DNSSEC, spolu s bežnými informáciami (napríklad IP adresou spojenou s menom) dostane aj digitálne podpisy a verejné kľúče potrebné na overenie . Rekurzívny server overí podpisy oproti zverejneným verejným kľúčom; ak je overenie úspešné, údaje sa považujú za autentické a nezmenené od ich podpísania.

Ak overenie zlyhá, resolver rozpozná, že niečo nie je v poriadku (napríklad pokus o falšovanie alebo manipuláciu počas prenosu) a klientovi odpovie chybovým kódom, zvyčajne SERVFAIL . Týmto spôsobom používateľ nedostane potenciálne škodlivé údaje, hoci z jeho pohľadu uvidí len to, že sa stránka „nenačíta“ alebo zobrazí chybu.

DNSSEC tiež zavádza koncept reťazca dôvery , ktorý využíva existujúcu hierarchiu DNS. Koreňová zóna podpisuje kľúče domén najvyššej úrovne (ako napríklad .es, .com), tie následne podpisujú kľúče svojich podradených domén atď., takže akúkoľvek doménu je možné overiť pomocou jediného bodu dôvery: verejného kľúča koreňovej zóny.

Kľúče, záznamy a reťazec dôvery KSK a ZSK

Pre lepšiu organizáciu bezpečnosti používa DNSSEC dva rôzne typy kľúčov: kľúč na podpisovanie kľúčov (KSK) a kľúč na podpisovanie zón (ZSK) . Hoci sú technicky rovnaké (z kryptografického hľadiska), ich funkcia sa v rámci systému líši.

Kľúč ZSK sa používa na podpisovanie všetkých záznamov zdrojov v zóne (A, AAAA, MX atď.). Zvyčajne sa často rotuje, aby sa minimalizovalo riziko, pretože akékoľvek zneužitie tohto kľúča by ovplyvnilo všetky záznamy v zóne. KSK sa na druhej strane primárne používa na podpisovanie samotného kľúča zóny (ZSK) a jeho hash sa publikuje ako záznam DS (Delegation Signer) v nadradenej zóne.

Vďaka tomuto oddeleniu rolí je zmena ZSK jednoduchšia: stačí vygenerovať nový ZSK, podpísať ho pomocou KSK, publikovať ho v záznamoch DNSKEY zóny a nechať resolvery aktualizovať svoje informácie. Nie je potrebné sa dotýkať rodičovskej zóny, pretože DS naďalej ukazuje na rovnaký KSK, ktorý zostáva dlhšie stabilný.

DNSSEC pridáva do protokolu DNS niekoľko typov špecifických záznamov, ktoré sú určené na podporu podpisovania a overovania údajov. Medzi najdôležitejšie patria DNSKEY, RRSIG, DS, NSEC/NSEC3 a NSEC3PARAM . Všetky tieto záznamy umožňujú vytvoriť logiku overovania bez zmeny základnej operácie dotazov.

Záznam DNSKEY uchováva verejný kľúč zóny , ktorý je potrebný na overenie podpisov. Záznam RRSIG obsahuje digitálny podpis spojený so špecifickou sadou záznamov („sada záznamov zdrojov“). Záznam DS je hash DNSKEY podradenej zóny, ktorý je publikovaný v rodičovskej zóne a slúži ako článok v reťazci dôvery.

Záznamy NSEC a NSEC3 sa používajú na overenie existencie , teda na kryptografické dokázanie, že doménové meno alebo záznam neexistuje, čím sa zabráni útokom, ktoré sa snažia vložiť falošné odpovede naznačujúce, že niečo neexistuje, keď v skutočnosti existuje (alebo naopak).

Overenie reťazca dôvery a odpovede DNSSEC

Takzvaný reťazec dôvery v DNSSEC sa buduje prepojením záznamov DNSKEY a DS z koreňa do domény, ktorú chceme overiť . Východiskovým bodom je verejný kľúč koreňovej zóny, ktorý slúži ako kotva dôveryhodnosti a zvyčajne sa konfiguruje priamo v rekurzívnych resolveroch.

Napríklad, ak chcete overiť doménu ako mywebsite.es, logický proces by bol nasledovný: resolver dôveruje verejnému kľúču koreňa, ktorý podpisuje kľúč .es; zóna .es publikuje záznam DS zodpovedajúci kľúču KSK mywebsite.es; overením tohto DS kľúčom .es resolver dôveruje kľúču DNSKEY mywebsite.es a odtiaľ môže overiť RRSIG vo všetkých svojich záznamoch.

Ak v ktoromkoľvek bode reťazca chýba platný podpis alebo ak DS (dátový podpis) nie je prítomný tam, kde by mal byť, reťazec dôvery je prerušený. V takom prípade rekurzívny server vykonávajúci overenie nepovažuje dáta za bezpečné a v závislosti od svojej konfigurácie buď neodpovie s požadovanými záznamami, alebo označí odpoveď ako neplatnú.

Tento hierarchický vzťah tiež znamená, že na to, aby bol DNSSEC skutočne účinný, nestačí podpísať iba vašu zónu : podpísaná musí byť aj rodičovská zóna (napríklad .es) a koreňová zóna a ich záznamy DNS musia byť správne publikované. V súčasnosti je už podpísaná koreňová zóna DNS a prakticky všetky generické domény najvyššej úrovne (gTLD) a mnohé domény najvyššej úrovne s kódom krajiny (ccTLD).

Keď rekurzívny server s povoleným overovaním DNSSEC zistí, že podpis sa nezhoduje alebo že chýba odkaz, odpoveď, ktorú vráti klientovi, je zvyčajne sprevádzaná chybovým kódom RCODE SERVFAIL. To môže byť pre koncového používateľa mätúce („webová stránka nefunguje“), ale z bezpečnostného hľadiska ide o ochranné opatrenie proti potenciálne manipulovaným údajom.

DNSSEC tiež zavádza dve kľúčové funkcie: overovanie pôvodu údajov , ktoré umožňuje overiť, či záznamy skutočne pochádzajú z očakávanej zóny, a ochranu integrity , ktorá zabezpečuje, že informácie neboli zmenené od ich podpísania vlastníkom zóny jeho súkromným kľúčom.

Útoky zmiernené pomocou DNSSEC a ich vzťah k TLS/HTTPS

Implementácia DNSSEC pomáha chrániť pred niekoľkými bežnými hrozbami. Po prvé, extrémne sťažuje falšovanie odpovedí DNS , pretože útočník by musel generovať platné podpisy bez znalosti súkromného kľúča zóny, čo je kryptograficky nemožné, ak sú kľúče spravované správne.

DNSSEC navyše znižuje riziko otravy vyrovnávacej pamäte na rekurzívnych serveroch tým, že zabraňuje akceptovaniu manipulovaných odpovedí, ktoré neprejdú overením podpisu. Taktiež komplikuje útoky typu „man-in-the-middle“ (MITM) na prevádzku DNS, pri ktorých útočník upravuje odpovede počas prenosu: ak odpoveď neprejde overením, resolver ju zahodí.

Je však dôležité pochopiť, čo DNSSEC nerobí. Tieto rozšírenia nie sú určené na šifrovanie obsahu dotazov alebo odpovedí . Všetka prevádzka DNS, aj s DNSSEC, stále putuje ako obyčajný text, pokiaľ nepoužívate iné doplnkové technológie (ako napríklad riešenia typu DoT, DoH alebo E-DNSSEC). DNSSEC sa zameriava na zabezpečenie toho, aby to, čo dostanete, bolo autentické a nebolo zmenené, nie na skrývanie toho, čo požadujete.

Toto ho jasne odlišuje od protokolov ako TLS a HTTPS . Zatiaľ čo HTTPS šifruje prevádzku medzi prehliadačom a webovým serverom, aby zabránil tretím stranám v špehovaní alebo úprave komunikácie, DNSSEC jednoducho podpisuje údaje DNS na detekciu spoofingu. Stránka môže mať HTTPS bez DNSSEC alebo DNSSEC bez HTTPS, ale kombinácia oboch ponúka oveľa komplexnejšiu ochranu pred spoofingom a špehovaním.

Organizácie ako ICANN a IETF už roky propagujú široké prijatie DNSSEC registrami, registrátormi, poskytovateľmi internetových služieb a sieťovými operátormi. Cieľom je, aby bolo podpísaných čoraz viac zón a aby ich aktívne overovalo viac resolverov, aby priemerný používateľ mohol využívať tieto kryptografické záruky bez toho, aby musel podniknúť akékoľvek špeciálne kroky.

DNSSEC v doménach .es a povinnosti vlastníka

V konkrétnom prípade Španielska jednotka domén „.es“ spravovaná spoločnosťou Red.es už dlho zavádza dodatočné technológie a postupy na zlepšenie kvality a bezpečnosti služby DNS pod kódom krajiny .es. Medzi tieto opatrenia patrí implementácia bezpečnostného protokolu DNSSEC v súlade so špecifikáciami IETF.

Domény .es sú zodpovedné za podpisovanie zóny najvyššej úrovne .ES a získavanie autorizácie od koreňového servera DNS, čím sa integrujú do globálneho reťazca dôvery. To znamená, že ak vlastníte doménu .es, môžete túto infraštruktúru využiť na zabezpečenie svojej vlastnej domény pomocou DNSSEC.

Pre vlastníka domény všeobecný postup povolenia DNSSEC zahŕňa zabezpečenie toho, aby vaše autoritatívne servery DNS zverejnili podpísanú zónu. Zvyčajne to zahŕňa vygenerovanie verejného kľúča pre vašu zónu, podpísanie záznamov, zverejnenie kľúča DNS a následné odoslanie materiálu kľúča (alebo samotného záznamu DS) do registra alebo vášho registrátora, aby mohli vytvoriť zodpovedajúci záznam DS v nadradenej zóne.

V praxi už mnoho poskytovateľov DNS hostingu a registrátorov ponúka pomerne jednoduchú možnosť povolenia DNSSEC, niekedy len zaškrtnutím políčka v ovládacom paneli. S touto funkciou však môžu byť spojené malé ročné náklady v závislosti od poskytovateľa a úrovne služieb.

Po podpísaní zóny a úspešnom publikovaní systému názvov domén (DNS) sa vaša doména stane súčasťou reťazca dôveryhodnosti DNSSEC. Od tohto okamihu môžu byť DNS preklady pre vašu doménu kryptograficky overované prekladačmi, ktoré majú povolené overovanie DNSSEC, čím sa zvyšuje dôvera používateľov a znižuje riziko útokov typu spoofing.

DNSSEC v lokálnej sieti: overenie na strane používateľa

Z pohľadu koncového používateľa alebo spoločnosti, ktorá sa zaujíma o bezpečnosť svojej lokálnej siete, je kľúčovou otázkou: čo je potrebné na to, aby ste mohli využívať výhody DNSSEC? Dobrou správou je, že nemusíte nič konfigurovať na každom počítači samostatne , pokiaľ váš rekurzívny DNS server (ten, ktorý používajú vaše počítače) overuje DNSSEC.

Na to stačí, aby váš poskytovateľ DNS (váš poskytovateľ internetových služieb, verejný resolver alebo interný DNS vašej organizácie) mal rekurzívny server so zapnutým a správne nakonfigurovaným overovaním DNSSEC . Prakticky všetky moderné resolvery podporujú DNSSEC už roky; jeho povolenie zvyčajne zahŕňa len niekoľko zmien v ich konfiguračnom súbore a pridanie koreňovej kotvy dôveryhodnosti.

Keď je overovanie povolené a jeden z vašich počítačov v lokálnej sieti odošle dotaz na podpísanú doménu, rekurzívny resolver overí všetky podpisy a reťazec dôveryhodnosti pred vrátením odpovede. Ak sa niečo nezhoduje, nevráti žiadne záznamy a používateľ uvidí chybu, čo mu efektívne zabráni v pripojení k potenciálne podvodnej stránke.

Ak chcete skontrolovať, či je vaša doména chránená DNSSEC, existuje niekoľko online nástrojov, ako napríklad DNSSEC Analyzer a ďalšie overovacie nástroje . Po zadaní svojej domény by ste mali vidieť záznamy ako RRSIG (kryptografické podpisy), DNSKEY (verejné kľúče) a DS (hash DNSKEY v nadradenej zóne). Ak nástroj indikuje, že k záznamom nie je priradený žiadny digitálny podpis, vaša doména bude považovaná za „nepodpísanú“ alebo „nezabezpečenú“.

Ak po tejto kontrole zistíte, že vaša doména alebo DNS servery, ktoré používate vo svojej lokálnej sieti, nevyužívajú DNSSEC, odporúča sa kontaktovať svojho poskytovateľa služieb alebo poskytovateľa internetových služieb a požiadať o jeho aktiváciu. Ak túto možnosť neponúkajú, možno je vhodný čas zvážiť prechod na poskytovateľa , ktorý podporuje overovanie DNSSEC, čím sa zvýši úroveň zabezpečenia pre vašu spoločnosť aj vašich zákazníkov.

Obmedzenia DNSSEC: súkromie a ďalšie aspekty

Napriek všetkým svojim výhodám nie je DNSSEC zázračným riešením pre všetky problémy so zabezpečením DNS. Kľúčovým problémom je, že neposkytuje dôvernosť dotazov . DNS pakety, aj s DNSSEC, stále putujú ako obyčajný text, takže ktokoľvek s prístupom k prevádzke (napríklad v nezabezpečenej verejnej sieti Wi-Fi ) môže vidieť, ktoré domény sú dotazované.

Taktiež neponúka žiadnu kontrolu prístupu ani špecifickú obranu proti útokom typu „donial-of-service“ (DoS alebo DDoS) . V skutočnosti pridaním ďalších údajov (podpisov, kľúčov, ďalších záznamov) zväčšuje veľkosť odpovedí DNS, čo možno zneužiť pri útokoch typu amplification, ak infraštruktúra nie je správne nakonfigurovaná a chránená.

Na druhej strane, DNSSEC prináša určitú prevádzkovú zložitosť: páry kľúčov musia byť spravované, ZSK a KSK musia byť rotované, publikovanie DS v nadradenej zóne musí byť koordinované a musí sa zabezpečiť, aby nedochádzalo k žiadnym nezhodám, ktoré by narušili reťazec dôvery. Chyba v týchto postupoch môže spôsobiť, že doména prestane správne overovať svoju totožnosť, čo bude viesť k zdanlivým výpadkom služieb.

V samotnom procese DNSSEC sa v správach nachádzajú kontrolné bity (ako napríklad bit CD v dotazoch a bit AD v odpovediach), ktoré ovplyvňujú spôsob vykonávania a hlásenia overovania. Útočník, ktorý by mohol manipulovať s týmito bitmi v nezabezpečenom prostredí, by sa mohol pokúsiť znížiť ochranu ponúkanú rekurzívnym resolverom. Preto sa odporúča, aby komunikácia medzi resolvermi a klientmi používajúcimi DNSSEC prebiehala cez zabezpečené kanály.

Napriek týmto obmedzeniam zostáva DNSSEC základnou súčasťou posilňovania autenticity a integrity DNS. Aby sa však zájšlo ešte o krok ďalej a zároveň sa zaručila dôvernosť dopytov, je potrebné ho kombinovať s inými technológiami alebo sa vyvinúť smerom k pokročilejším riešeniam.

E-DNSSEC: Smerom k overenému a šifrovanému DNS

Na riešenie medzery v súkromí, ktorú zanecháva DNSSEC, bol navrhnutý koncept E-DNSSEC (DNSSEC encrypted) . Myšlienkou tohto prístupu je pridať šifrovanie k dotazom DNSSEC tak, aby boli okrem overenia a podpísania chránené aj pred kontrolou tretími stranami počas prenosu cez internet alebo cez lokálnu sieť.

Cieľom E-DNSSEC je kombinovať vlastnosti DNSSEC (autenticita a integrita) so šifrovacími mechanizmami, ktoré zabezpečujú dôvernosť pre dotazy medzi klientom DNSSEC a serverom DNSSEC . To zvyšuje celkovú bezpečnosť služby DNS a zabraňuje externým pozorovateľom vidieť, ktoré doménové mená sa práve rozpoznávajú.

Koncepčný proces by zahŕňal analýzu dotazu na rekurzívnom serveri, jeho šifrovanie pred odoslaním na autoritatívny server a následné dešifrovanie a spracovanie bežným spôsobom pomocou DNSSEC . Odpoveď by sa následne mohla vrátiť podpísaná a zašifrovaná späť na rekurzívny server alebo klienta, pričom by sa počas celého procesu zachovala dôvernosť.

Táto kombinácia by zabezpečila, že správa DNS bude zabezpečená od začiatku do konca procesu riešenia: overená a s integritou vďaka DNSSEC a chránená pred zvedavými očami vďaka dodatočnému šifrovaniu. V kontexte lokálnej alebo podnikovej siete by sa takýto prístup mohol integrovať s inými riešeniami perimetrickej bezpečnosti.

Návrhy ako E-DNSSEC sú dnes súčasťou širšieho úsilia o posilnenie súkromia DNS , spolu s technológiami ako DNS over TLS (DoT) a DNS over HTTPS (DoH). Základný smer je jasný: DNS budúcnosti musí byť autentický aj dôverný a nestačí len rýchlo rozpoznávať mená; musí sa to robiť aj bezpečne.

V prostredí, kde dochádza k čoraz sofistikovanejším kybernetickým útokom, vydávaniu sa za inú osobu a hrozbám zameraným na základnú infraštruktúru, je DNSSEC už teraz dôležitou bezpečnostnou požiadavkou pre akúkoľvek serióznu doménu a prechod na šifrované riešenia, ako je E-DNSSEC alebo podobné, sa javí ako logický ďalší krok k ďalšiemu posilneniu ochrany sietí vrátane lokálnych sietí.

Celý tento ekosystém – od klasického DNS až po DNSSEC a šifrované riešenia ako E-DNSSEC – dokazuje, že zabezpečenie DNS nie je voliteľným doplnkom, ale kľúčovou súčasťou internetovej architektúry a akejkoľvek modernej lokálnej siete. Mať overujúce resolvery, podpísané zóny, dobre udržiavané reťazce dôvery a v budúcnosti aj šifrované kanály pre dotazy predstavuje zásadný rozdiel medzi exponovanou sieťou a infraštruktúrou pripravenou na súčasné a budúce výzvy.