DNSSEC in varnost DNS v vašem lokalnem omrežju

Informatec Digital » Viri » DNSSEC in varnost DNS v vašem lokalnem omrežju

Internet je zgrajen na peščici ključnih komponent, ki jih skoraj nikoli ne vidimo, a so prisotne vsakič, ko odpremo brskalnik. Ena najpomembnejših je sistem domenskih imen (DNS), in ko govorimo o DNSSEC in varnosti v lokalnem omrežju , v resnici govorimo o krepitvi teh temeljev za preprečevanje goljufivih preusmeritev, ponarejanja in drugih resnih napadov.

Prej je bila prednostna naloga preprosto zagotoviti, da vse deluje; danes vemo, da to ni dovolj. DNS se je rodil v osemdesetih letih prejšnjega stoletja brez upoštevanja obsežnih kibernetskih napadov, zdaj pa ga potrebujemo ne le za razreševanje imen, temveč tudi za potrjevanje pristnosti in integritete vsakega odgovora . Tukaj pride na vrsto DNSSEC in v zadnjem času predlogi, kot je E-DNSSEC, katerih cilj je dodati tudi zaupnost – ključni dejavnik, če vas skrbi varnost vašega lokalnega ali poslovnega omrežja.

Kaj je DNS in zakaj je tako pomemben za varnost?

Sistem domenskih imen (DNS ) je telefonski imenik interneta: prevaja lahko zapomnljiva imena (kot je www.example.com) v numerične naslove IP, ki jih računalniki razumejo (na primer 192.168.2.15 ali naslov IPv6). Brez tega mehanizma bi si morali namesto imen zapomniti številke, kar je popolnoma nepraktično.

Ta infrastruktura je organizirana kot porazdeljena baza podatkov v drevesni strukturi , s korensko cono na vrhu, ki ji sledijo domene najvišje ravni (TLD-ji, kot so .es, .com, .org), pod njo pa domene in poddomene. Vsak del te baze podatkov se imenuje » cona « in gostuje na enem ali več avtoritativnih imenskih strežnikih, ki objavljajo »uradne« podatke za vsako domeno.

Ko vaš računalnik, mobilni telefon ali katera koli druga naprava želi dostopati do spletnega mesta, začne s poizvedbo v razreševalniku zaporedja (stub resolver) , ki je del operacijskega sistema. Ta razreševalec pošlje poizvedbo rekurzivnemu strežniku DNS (običajno strežniku vašega ponudnika internetnih storitev, vašega podjetja ali javnemu strežniku, kot je Google Public DNS , OpenDNS ali Quad9). Ta rekurzivni strežnik nato išče odgovor s poizvedovanjem več avtoritativnim strežnikom, dokler ne najde pravilnega naslova IP.

Rekurzivni razreševalci shranjujejo prejete odgovore v predpomnilnik, da pospešijo nadaljnje poizvedbe. To je zelo učinkovito, vendar napadalcu hkrati omogoča, da "zastrupi predpomnilnik DNS" in vanj vstavi lažne podatke , tako da se številne nadaljnje zahteve razrešijo s temi spremenjenimi informacijami, ne da bi uporabnik to opazil.

Glavna težava je, da DNS v svoji prvotni zasnovi nima robustnega načina za preverjanje pristnosti odgovorov . Razreševalec v bistvu preveri, ali je videti, da odgovor prihaja z istega naslova IP, ki ga je poizvedoval, vendar je ta izvorni naslov IP mogoče relativno enostavno ponarediti. To omogoča tihe napade s preusmeritvijo na goljufiva spletna mesta, ki posnemajo na primer spletno mesto vaše banke.

Varnostne omejitve tradicionalnega DNS-a

Protokol DNS je bil ustvarjen v času, ko varnost ni bila glavna skrb. Zato zdaj vemo, da poizvedbe in odgovori DNS potujejo v obliki navadnega besedila , brez šifriranja, in da je mogoče podatke zapisov ponarediti brez dodatne zaščite.

To odpira vrata več vrstam napadov, predvsem zastrupitvi predpomnilnika DNS in napadom »človek vmes«. V obeh primerih napadalec med potjo vbrizga ponarejene odgovore, zaradi česar uporabniki končajo na spletnih mestih pod njihovim nadzorom, ne da bi opazili kaj nenavadnega, saj ime domene, prikazano v brskalniku, ostane legitimno.

Predstavljajte si, da dostopate do spletnega mesta svoje banke: vaš računalnik od rekurzivnega strežnika zahteva IP-naslov domene banke, vendar je napadalec strežnik prevaral, da je sprejel lažen odgovor z IP-naslovom identičnega spletnega mesta, ki ga nadzoruje . Uporabnik vnese svoje poverilnice, misleč, da je vse normalno, kibernetski kriminalec pa jih prejme v navadnem besedilu, da jih kasneje uporabi na pravem spletnem mestu.

Mehanizmi, kot so podpisi transakcij (TSIG) , opredeljeni v RFC 2845, služijo zaščiti določenih operacij med strežniki DNS (na primer prenosi con med glavnim in podrejenim strežnikom ter dinamične posodobitve). TSIG omogoča dvema napravama, ki si delita tajni ključ, da preverita identiteto druge strani in integriteto sporočil med prenosom.

Vendar ima TSIG zelo omejen obseg: ne preverja pristnosti "pravega" izvora podatkov DNS ; le zagotavlja, da izmenjava med dvema določenima strežnikoma ni bila spremenjena. Če so bili izvirni podatki v coni že ogroženi ali spremenjeni, preden so dosegli te strežnike, jih TSIG ne bo zaznal. Zato, čeprav se pogosto uporablja za prenose con, ne rešuje osnovnega problema pristnosti objavljenih podatkov DNS.

Kaj je DNSSEC in kako prispeva k varnosti?

Kot odgovor na vse te slabosti so bile razvite razširitve varnosti sistema domenskih imen (DNSSEC) . DNSSEC ne nadomešča klasičnega DNS-a, temveč ga razširja s plastjo varnosti, ki omogoča preverjanje, ali so prejeti podatki legitimni in da niso bili spremenjeni.

DNSSEC temelji na kriptografiji javnega ključa (asimetrična kriptografija) . Vsaka cona DNS ima par ključev: zasebni ključ, ki je skrit, in javni ključ, ki je objavljen na samem strežniku DNS. Lastnik cone uporablja zasebni ključ za digitalno podpisovanje zapisov v tej coni; javni ključ pa se uporablja za preverjanje teh podpisov.

Ko rekurzivni strežnik poizveduje domeno z uporabo DNSSEC, skupaj z običajnimi informacijami (na primer naslovom IP, povezanim z imenom) prejme tudi digitalne podpise in javne ključe, potrebne za validacijo . Rekurzivni strežnik preveri podpise glede na objavljene javne ključe; če je preverjanje uspešno, se podatki štejejo za pristne in nespremenjene od podpisa.

Če preverjanje ne uspe, razreševalec razume, da je nekaj narobe (na primer poskus ponarejanja ali spreminjanja med prenosom) in odjemalcu odgovori s kodo napake, običajno SERVFAIL . Na ta način uporabnik ne prejme potencialno zlonamernih podatkov, čeprav bo z njegovega vidika videl le, da se stran "ne naloži" ali prikaže napako.

DNSSEC uvaja tudi koncept verige zaupanja , ki izkorišča obstoječo hierarhijo DNS. Korenska cona podpiše ključe domen najvišje ravni (kot sta .es, .com), te pa nato podpišejo ključe svojih podrejenih domen in tako naprej, tako da je mogoče katero koli domeno preveriti z uporabo ene same točke zaupanja: javnega ključa korenske cone.

Ključi, zapisi in veriga zaupanja KSK in ZSK

Za boljšo organizacijo varnosti DNSSEC uporablja dve različni vrsti ključev: ključ za podpisovanje ključev (KSK) in ključ za podpisovanje cone (ZSK) . Čeprav sta tehnično gledano enaka (kriptografsko gledano), se njuna funkcija znotraj sistema razlikuje.

Ključ ZSK se uporablja za podpisovanje vseh zapisov virov v coni (A, AAAA, MX itd.). Običajno se pogosto menja, da se zmanjša tveganje, saj bi vsaka ogrožitev tega ključa vplivala na vse zapise v coni. KSK pa se primarno uporablja za podpisovanje samega ključa cone (ZSK), njegov zgoščevalni zapis pa je objavljen kot zapis DS (podpisnik delegacije) v nadrejeni coni.

Zahvaljujoč tej ločitvi vlog je spreminjanje ZSK-ja preprostejše: preprosto ustvarite nov ZSK, ga podpišite s KSK-jem, ga objavite v zapisih DNSKEY cone in pustite, da razreševalci posodobijo svoje podatke. Ni treba dotikati se nadrejene cone, saj DS še naprej kaže na isti KSK, ki ostane stabilen dlje časa.

DNSSEC protokolu DNS doda več vrst specifičnih zapisov, zasnovanih za podporo podpisovanja in preverjanja podatkov. Med najpomembnejšimi so DNSKEY, RRSIG, DS, NSEC/NSEC3 in NSEC3PARAM . Vsi ti zapisi omogočajo izgradnjo logike preverjanja pristnosti brez spreminjanja osnovnega delovanja poizvedb.

Zapis DNSKEY hrani javni ključ cone , ki je potreben za preverjanje podpisov. Zapis RRSIG vsebuje digitalni podpis, povezan z določenim nizom zapisov ("niz zapisov virov"). Zapis DS je zgoščena vrednost DNSKEY podrejene cone, ki je objavljena v nadrejeni coni in služi kot člen v verigi zaupanja.

Zapisi NSEC in NSEC3 se uporabljajo za overjeno zanikanje obstoja , torej za kriptografsko dokazovanje, da domensko ime ali zapis ne obstaja, s čimer se preprečijo napadi, ki poskušajo vstaviti lažne odgovore, ki kažejo, da nekaj ne obstaja, ko dejansko obstaja (ali obratno).

Veriga zaupanja in potrjevanje odgovorov DNSSEC

Tako imenovana veriga zaupanja v DNSSEC se gradi s povezovanjem zapisov DNSKEY in DS od korena do domene, ki jo želimo preveriti . Izhodišče je javni ključ korenskega območja, ki deluje kot sidro zaupanja in je običajno konfiguriran neposredno v rekurzivnih resolverjih.

Na primer, če želite preveriti domeno, kot je mywebsite.es, bi bil logičen postopek naslednji: razreševalec zaupa javnemu ključu korena, ki podpiše ključ .es; cona .es objavi zapis DS, ki ustreza ključu KSK mywebsite.es; z overitvijo tega DS s ključem .es razreševalec zaupa DNSKEY-ju mywebsite.es in od tam lahko preveri RRSIG-e v vseh svojih zapisih.

Če na kateri koli točki v verigi manjka veljaven podpis ali če DS (podpis podatkov) ni prisoten tam, kjer bi moral biti, je veriga zaupanja prekinjena. V tem primeru rekurzivni strežnik, ki izvaja validacijo, ne šteje podatkov za varne in, odvisno od svoje konfiguracije, bodisi ne odgovori z zahtevanimi zapisi bodisi označi odgovor kot neveljaven.

Ta hierarhični odnos pomeni tudi, da za resnično učinkovitost DNSSEC ni dovolj podpisati le vaše cone : podpisana morata biti tudi nadrejena cona (na primer .es) in korenska cona, njuni zapisi DNS pa morajo biti pravilno objavljeni. Trenutno so že podpisane korenska cona DNS in praktično vse generične domene najvišje ravni (gTLD) ter številne domene najvišje ravni z državno kodo (ccTLD).

Ko rekurzivni strežnik z omogočenim preverjanjem DNSSEC zazna, da se podpis ne ujema ali da manjka povezava, odgovor, ki ga vrne odjemalcu, običajno spremlja koda napake RCODE SERVFAIL. To je lahko za končnega uporabnika zmedeno (»spletno mesto ne deluje«), vendar je z varnostnega vidika zaščitni ukrep pred morebitno manipuliranimi podatki.

DNSSEC uvaja tudi dve ključni funkciji: preverjanje izvora podatkov , ki omogoča preverjanje, ali zapisi dejansko prihajajo iz pričakovane cone, in zaščito integritete , ki zagotavlja, da informacije niso bile spremenjene, odkar jih je lastnik cone podpisal s svojim zasebnim ključem.

Napadi, ki jih omili DNSSEC, in njihova povezava s TLS/HTTPS

Izvajanje DNSSEC pomaga pri zaščiti pred več pogostimi grožnjami. Prvič, izjemno otežuje ponarejanje odgovorov DNS , saj bi moral napadalec ustvariti veljavne podpise, ne da bi poznal zasebni ključ cone, kar je kriptografsko nemogoče, če so ključi pravilno upravljani.

Poleg tega DNSSEC zmanjšuje tveganje zastrupitve predpomnilnika na rekurzivnih strežnikih, saj preprečuje sprejemanje manipuliranih odgovorov, ki ne prestanejo preverjanja podpisa. Prav tako otežuje napade tipa »človek v sredini« (MITM) na promet DNS, pri katerih napadalec spreminja odgovore med prenosom: če odgovor ne prestane preverjanja, ga razreševalec zavrže.

Pomembno pa je razumeti, česa DNSSEC ne počne. Te razširitve niso zasnovane za šifriranje vsebine poizvedb ali odgovorov . Ves promet DNS, tudi z DNSSEC, še vedno potuje v obliki navadnega besedila, razen če uporabljate druge dopolnilne tehnologije (kot so rešitve tipa DoT, DoH ali E-DNSSEC). DNSSEC se osredotoča na zagotavljanje, da je tisto, kar prejmete, pristno in ni bilo spremenjeno, ne pa na skrivanje tega, kar sprašujete.

To ga jasno razlikuje od protokolov, kot sta TLS in HTTPS . Medtem ko HTTPS šifrira promet med brskalnikom in spletnim strežnikom, da prepreči tretjim osebam vohunjenje ali spreminjanje komunikacije, DNSSEC preprosto podpiše podatke DNS za zaznavanje ponarejanja. Spletno mesto ima lahko HTTPS brez DNSSEC ali DNSSEC brez HTTPS, vendar kombinacija obeh ponuja veliko bolj celovito zaščito pred ponarejanjem in vohunjenjem.

Organizacije, kot sta ICANN in IETF, že leta spodbujajo široko uporabo DNSSEC s strani registrov, registrarjev, ponudnikov internetnih storitev in omrežnih operaterjev. Cilj je, da se podpiše vedno več con in da jih več resolverjev aktivno potrdi, tako da lahko povprečen uporabnik izkoristi te kriptografske garancije, ne da bi moral ukrepati.

DNSSEC v domenah .es in obveznosti lastnikov

V konkretnem primeru Španije je enota za domene ».es«, ki jo upravlja Red.es, že dolgo vključevala dodatne tehnologije in postopke za izboljšanje kakovosti in varnosti storitve DNS pod državno kodo .es. Med temi ukrepi je tudi uvedba varnostnega protokola DNSSEC v skladu s specifikacijami IETF.

Domene .es so odgovorne za podpisovanje najvišje ravni cone .ES in pridobivanje avtorizacije od korenskega strežnika DNS, s čimer se integrirajo v globalno verigo zaupanja. To pomeni, da če ste lastnik domene .es, lahko to infrastrukturo izkoristite za zaščito svoje domene z DNSSEC.

Kot lastnik domene splošni postopek za omogočanje DNSSEC vključuje zagotovitev, da vaši avtoritativni strežniki DNS objavijo podpisano cono. Običajno to vključuje ustvarjanje javnega ključa za vašo cono, podpisovanje zapisov, objavo ključa DNS in nato predložitev gradiva ključa (ali samega zapisa DS) registru ali vašemu registrarju, da lahko ustvarijo ustrezen zapis DS v nadrejeni coni.

V praksi mnogi ponudniki gostovanja DNS in registrarji že ponujajo dokaj preprosto možnost za omogočanje DNSSEC, včasih tako enostavno kot označitev polja v nadzorni plošči. Vendar pa so s to funkcionalnostjo lahko povezani manjši letni stroški, odvisno od ponudnika in ravni storitve.

Ko je cona podpisana in je sistem domenskih imen (DNS) uspešno objavljen, vaša domena postane del verige zaupanja DNSSEC. Od tega trenutka naprej lahko razreševalniki, ki imajo omogočeno preverjanje DNSSEC, kriptografsko preverijo razreševalnike DNS za vašo domeno , kar poveča zaupanje uporabnikov in zmanjša tveganje za napade s ponarejanjem.

DNSSEC v lokalnem omrežju: validacija na strani uporabnika

Z vidika končnega uporabnika ali podjetja, ki ga skrbi varnost njegovega lokalnega omrežja, je ključno vprašanje: kaj je potrebno, da bi lahko izkoristili prednosti DNSSEC-a? Dobra novica je, da vam ni treba ničesar konfigurirati na vsakem računalniku posebej , če vaš rekurzivni strežnik DNS (tisti, ki ga uporabljajo vaši računalniki) potrdi DNSSEC.

Če želite to narediti, potrebujete le, da ima vaš ponudnik DNS-ja (vaš ponudnik internetnih storitev, javni razreševalec ali interni DNS vaše organizacije) rekurzivni strežnik z omogočenim in pravilno konfiguriranim preverjanjem DNSSEC . Praktično vsi sodobni razreševalniki že leta podpirajo DNSSEC; omogočanje običajno vključuje le nekaj sprememb v njihovi konfiguracijski datoteki in dodajanje korenskega sidra zaupanja.

Ko je preverjanje veljavnosti omogočeno in eden od vaših računalnikov v lokalnem omrežju poizveduje po podpisani domeni, rekurzivni razreševalec pred vrnitvijo odgovora preveri vse podpise in verigo zaupanja. Če se kaj ne ujema, ne vrne nobenih zapisov in uporabnik vidi napako, kar mu učinkovito prepreči povezavo s potencialno goljufivim spletnim mestom.

Če želite preveriti, ali je vaša domena zaščitena z DNSSEC, je na voljo več spletnih orodij, kot sta DNSSEC Analyzer in druga orodja za preverjanje veljavnosti . Ko vnesete svojo domeno, bi morali videti zapise, kot so RRSIG (kriptografski podpisi), DNSKEY (javni ključi) in DS (zgoščena vrednost DNSKEY v nadrejeni coni). Če orodje pokaže, da z zapisi ni povezanega digitalnega podpisa, bo vaša domena obravnavana kot »nepodpisana« ali »nevarna«.

Če po tem preverjanju ugotovite, da vaša domena ali strežniki DNS, ki jih uporabljate v lokalnem omrežju, ne izkoriščajo prednosti DNSSEC-a, je priporočljivo, da se obrnete na svojega ponudnika storitev ali ponudnika internetnih storitev in zahtevate aktivacijo. Če te možnosti ne ponujajo, je morda pravi čas, da razmislite o prehodu na ponudnika , ki podpira preverjanje DNSSEC, s čimer boste povečali raven varnosti tako za svoje podjetje kot za svoje stranke.

Omejitve DNSSEC: zasebnost in drugi vidiki

Kljub vsem prednostim DNSSEC ni čarobna rešitev za vse varnostne težave DNS. Ključna težava je, da ne zagotavlja zaupnosti poizvedb . Paketi DNS, tudi z DNSSEC, še vedno potujejo v obliki navadnega besedila, zato lahko vsak, ki ima dostop do prometa (na primer v nezaščitenem javnem omrežju Wi-Fi ), vidi, katere domene so predmet poizvedb.

Prav tako ne ponuja nadzora dostopa ali posebne obrambe pred napadi zavrnitve storitve (DoS ali DDoS) . Pravzaprav z dodajanjem več podatkov (podpisov, ključev, dodatnih zapisov) poveča velikost odgovorov DNS, kar je mogoče izkoristiti pri napadih z ojačanjem, če infrastruktura ni pravilno konfigurirana in zaščitena.

Po drugi strani pa DNSSEC uvaja nekaj operativne kompleksnosti: pare ključev je treba upravljati, ZSK in KSK je treba menjati, objavo DS v nadrejeni coni je treba uskladiti in zagotoviti je treba, da ni neskladij, ki bi prekinila verigo zaupanja. Napaka v teh postopkih lahko povzroči, da domena preneha pravilno preverjati veljavnost, kar povzroči navidezne izpade storitev.

Znotraj samega procesa DNSSEC so v sporočilih kontrolni biti (kot je bit CD v poizvedbah in bit AD v odgovorih), ki vplivajo na način izvajanja in poročanja o preverjanju. Napadalec, ki bi lahko manipuliral s temi biti v nevarnem okolju, bi lahko poskušal zmanjšati zaščito, ki jo ponuja rekurzivni razreševalec. Zato je priporočljivo, da komunikacija med razreševalniki in odjemalci, ki uporabljajo DNSSEC, poteka prek varnih kanalov.

Kljub tem omejitvam DNSSEC ostaja bistvena komponenta za krepitev avtentičnosti in integritete DNS. Vendar pa je za nadaljnji korak in zagotovitev zaupnosti poizvedb potrebno združiti DNSSEC z drugimi tehnologijami ali se razviti v smeri naprednejših rešitev.

E-DNSSEC: Na poti do overjenega in šifriranega DNS-a

Za odpravo vrzeli v zasebnosti, ki jo je pustil DNSSEC, je bil predlagan koncept E-DNSSEC (DNSSEC enkriptirano) . Ideja tega pristopa je dodati šifriranje poizvedbam DNSSEC, tako da so poleg overitve in podpisa zaščitene tudi pred pregledi tretjih oseb med potovanjem po internetu ali lokalnem omrežju.

Cilj E-DNSSEC je združiti lastnosti DNSSEC (avtentičnost in integriteta) z mehanizmi šifriranja, ki zagotavljajo zaupnost poizvedb med odjemalcem DNSSEC in strežnikom DNSSEC . To poveča splošno varnost storitve DNS in preprečuje zunanjim opazovalcem, da bi videli, katera domenska imena se razrešujejo.

Konceptualni postopek bi vključeval analizo poizvedbe na rekurzivnem strežniku, njeno šifriranje pred pošiljanjem avtoritativnemu strežniku ter nato dešifriranje in obdelavo na običajen način z uporabo DNSSEC . Odgovor bi se nato lahko podpisan in šifriran vrnil nazaj rekurzivnemu strežniku ali odjemalcu, s čimer bi se ohranila zaupnost skozi celoten postopek.

Ta kombinacija bi zagotovila, da je sporočilo DNS zavarovano od začetka do konca postopka razreševanja: overjeno in integritetno zaradi DNSSEC ter zaščiteno pred radovednimi očmi zaradi dodatnega šifriranja. V kontekstu lokalnega ali poslovnega omrežja bi se tak pristop lahko integriral z drugimi rešitvami za varnost perimetra.

Danes so predlogi, kot je E-DNSSEC, del širših prizadevanj za krepitev zasebnosti DNS , skupaj s tehnologijami, kot sta DNS prek TLS (DoT) in DNS prek HTTPS (DoH). Osnovna smer je jasna: DNS prihodnosti mora biti tako pristen kot zaupen, pri čemer ni dovolj le hitro razreševanje imen; to mora biti izvedeno tudi varno.

V okolju, kjer se pojavljajo vse bolj sofisticirani kibernetski napadi, lažne predstavitve in grožnje, usmerjene v osnovno infrastrukturo, je DNSSEC že pomembna varnostna zahteva za vsako resno domeno, prehod na šifrirane rešitve, kot je E-DNSSEC ali podobne, pa se kaže kot logičen naslednji korak k nadaljnji krepitvi zaščite omrežij, vključno z lokalnimi omrežji.

Celoten ekosistem – od klasičnega DNS-a do DNSSEC-a in šifriranih rešitev, kot je E-DNSSEC – dokazuje, da varnost DNS-a ni neobvezna dodatna oprema, temveč osrednja komponenta internetne arhitekture in vsakega sodobnega lokalnega omrežja. Razreševalniki, ki preverjajo veljavnost, podpisane cone, dobro vzdrževane verige zaupanja in v prihodnosti šifrirani kanali za poizvedbe, naredijo vso razliko med izpostavljenim omrežjem in infrastrukturo, pripravljeno na sedanje in prihodnje izzive.

Povezani članek:

Kako omogočiti DNS prek HTTPS (DoH) v sistemu Windows 11 in izboljšati svojo zasebnost