Sistem domenskih imen DNS deluje kot internetni telefonski imenik, saj milijarde krat na dan prevede človeško berljiva imena v naslove IP. Podatkovna baza DNS hrani ključne zapise DNS, kot so naslovi IP in domenski vzdevki, zato je tarča kibernetskih groženj. Vendar je bila ta kritična infrastruktura zasnovana v osemdesetih letih prejšnjega stoletja brez vgrajene varnosti. Tradicionalno potrjevanje DNS je temeljilo na ujemanju enakih naslovov IP za odgovore, kar je negotovo, saj je mogoče naslove IP ponarediti. DNSSEC je namenjen odpravi te temeljne vrzeli, saj sistemu, ki je prvotno deloval zgolj na podlagi zaupanja, dodaja kriptografsko preverjanje.
DNSSEC v kratkem
Domain Name System Security Extensions, znan kot DNSSEC, je kratica za DNS Security Extensions in je sklop specifikacij protokola IETF, ki dodaja kriptografske podpise podatkom DNS. S temi podpisi lahko resolverji DNS preverijo, ali informacije, ki jih prejmejo, dejansko prihajajo iz avtoritativnega vira in niso bile na poti prirejene.
Glavna težava, ki jo rešuje DNSSEC, je preprosta: brez njega lahko napadalci v predpomnilnike resolverjev vnesejo lažne odgovore DNS. Ta napad, znan kot zastrupitev predpomnilnika DNS, uporabnike brez njihove vednosti preusmeri na zlonamerna spletna mesta. DNSSEC to preprečuje tako, da omogoča preverjanje izvora podatkov in zagotavlja celovitost zapisov DNS z digitalnimi podpisi, uporablja kriptografijo z javnim ključem in zahteva skrbno upravljanje ključev območja DNS, da se preprečita izdajanje za drugo osebo in ponarejanje podatkov.
Projektna skupina za internetno inženirstvo (IETF) je DNSSEC standardizirala z vrsto dokumentov RFC v začetku leta 2000, med drugim z dokumenti RFC 4033, 4034 in 4035. Glavni mejnik pri uvajanju je bil julija 2010, ko je ICANN podpisal korensko območje DNS in s tem vzpostavil globalno sidro zaupanja, ki je omogočilo praktično uvajanje DNSSEC po vsem svetu.
Bistveno je razumeti, kaj DNSSEC počne in česa ne počne. DNSSEC preverja pristnost podatkov DNS – potrjuje, daso zapisi A, AAAA, MX in TXT pristni in nespremenjeni. Vendar ne šifrira poizvedb ali odgovorov DNS. Vaš promet DNS ostane viden vsakomur, ki ga lahko opazuje. Za šifriranje potrebujete dodatne protokole, kot sta DNS prek TLS ali DNS prek HTTPS.
DNSSEC tudi ne preprečuje vseh napadov na infrastrukturo DNS. Volumetrični napadi DDoS lahko še vedno preobremenijo strežnike DNS ne glede na podpisovanje. DNSSEC tudi ne more preprečiti uporabnikom, da bi obiskali zakonito registrirane domene, ki so videti prepričljivo.
Izvajanje DNSSEC je lahko zapleteno zaradi potrebe po upravljanju ključev in vzpostavitvi verige zaupanja. Za uspešno uvedbo DNSSEC je treba podpisati tudi nadrejeno območje in vsa območja v verigi.
Večina vrhnjih domen danes podpira DNSSEC – po podatkih ICANN je podpisanih več kot 1400 vrhnjih domen. Vendar pa sprejetje domen druge ravni govori drugačno zgodbo. Samo približno 1-2 % območij .com ima omogočeno funkcijo DNSSEC, medtem ko je stopnja podpisovanja državnih kod TLD, kot sta .nl (Nizozemska) in .se (Švedska), zaradi obveznih politik višja od 90 %.
Zakaj bi vas to moralo skrbeti? Ker je brez DNSSEC vsaka poizvedba DNS v vaši organizaciji izpostavljena tihi manipulaciji. Napadalec, ki zastrupi predpomnilnik vašega rešitelja, lahko preusmeri vaše zaposlene na spletna mesta, ki zbirajo poverilnice, ali prestrezanje dostave e-pošte – vse to brez sprožitve očitnih opozoril.
Kako se DNS in DNSSEC ujemata
Preden se poglobimo v DNSSEC, na kratko povzamemo, kako danes deluje sistem domenskih imen. Ko v brskalnik vnesete naslov URL, se razreševalnik DNS v računalniku poveže z rekurzivnim razreševalnikom DNS – pogosto gazagotovi ponudnik internetnih storitev, omrežje podjetja ali javna storitev, kot je Googlova 8.8.8.8.8 ali Cloudflarova 1.1.1.1. Rešilnik DNS obdeluje poizvedbe DNS tako, da sledi verigi strežnikov, da pridobi pravilen naslov IP, kar zagotavlja učinkovito in natančno reševanje.
Razmislite o rešitvi www.example.com. Rekurzivni rešitelj DNS najprej poizveduje pri enem od 13 logičnih korenskih imenskih strežnikov DNS in zahteva informacije o domeni .com. Korenski strežnik se odzove z napotitvijo na strežnike .com TLD, ki jih upravlja Verisign. Razreševalnik nato vpraša strežnike .com o imenu example.com in dobi še eno napotitev na avtoritativni imenski strežnik imena example.com. Na koncu rešitelj poizveduje po tem avtoritativnem strežniku in dobi dejanski zapis A, ki vsebuje naslov IP za www.example.com.
V tem hierarhičnem sistemu različne komponente DNS, kot so zapisi virov, avtoritativni imenski strežniki in ključi za podpisovanje območij, sodelujejo pri upravljanju, nadzoru in varovanju vsakega območja DNS.
Ta eleganten hierarhični sistem je bil leta 1987 opredeljen v standardih RFC 1034 in 1035. Težava? Klasični protokol DNS je bil zasnovan brez močne avtentikacije. Odzivi so bili potrjeni predvsem z usklajevanjem izvornih naslovov IP in 16-bitnih identifikacijskih številk transakcij –sistem, ki so ga napadalci znali izkoristiti.
Ranljivost Kaminsky iz leta 2008 je pokazala, kako ranljiva je ta zasnova. Varnostni raziskovalec Dan Kaminsky je pokazal, da lahko napadalci z veliko verjetnostjo vnesejo lažne odgovore v predpomnilnike reševalnikov, tako da v enem samem oknu poizvedbe preplavijo z ugibanji. To razkritje je spodbudilo nujne popravke v industriji in znatno pospešilo uvajanje DNSSEC po vsem svetu.
DNSSEC je integriran kot razširitvena plast, ki obdaja obstoječi sistem DNS, ne da bi spremenila osnovni model poizvedbe/odgovora. Nepodpisana območja še naprej delujejo normalno za neveljavne resolverje. Razreševalniki, ki potrjujejo, preprosto izvajajo dodatne kriptografske preglede podpisanih območij. Ta povratna združljivost je bila ključnega pomena za postopno sprejetje v celotnem imenskem prostoru DNS.
Osnovni koncepti in vrste zapisov DNSSEC
DNSSEC uvaja več novih vrst zapisov virov DNS, ki skupaj ustvarjajo preverljivo verigo zaupanja. Razumevanje teh zapisov in njihovih povezav je bistvenega pomena za vse, ki delajo s podpisanimi območji.
Osnovna enota v DNSSEC je nabor zapisov virov ali RRSet. To je skupina zapisov DNS, ki imajo enako ime, vrsto in razred. DNSSEC ne podpisuje posameznih zapisov, temveč celotne sklope RRS. Ta pristop zagotavlja atomsko celovitost – ne morete posegati v en zapis v nizu, ne da bi razveljavili podpis za vse zapise.
Zapis RRSIG vsebuje digitalni podpis, ki zajema niz RRS. Vsak podpis zapisa o viru, ki je ustvarjen z zasebnim ključem območja, vključuje metapodatke, kot so ime podpisnika, obdobje veljavnosti in uporabljeni algoritem. Razreševalniki te podpise preverijo tako, da ponovno izračunajo hash podatkov RRSet in ga preverijo s kriptografskim podpisom.
V zapisu DNSKEY je objavljen javni ključ, ki se uporablja za preverjanje podpisov. Ti zapisi so prikazani na vrhu območja (kot example.com.) in vključujejo oznake, ki označujejo vlogo ključa. Vrednost zastavice 256 pomeni podpisni ključ območja, vrednost 257 pa podpisni ključ ključa.
Z zapisom DS ali zapisom podpisnika delegacije se ustvari povezava med nadrejenim in podrejenim območjem. Shranjen je v nadrejenem območju in vsebuje kriptografski hash javnega ključa podrejenega območja. Zapis DS za example.com je na primer shranjen v območju .com, kar omogoča, da resolverji preverijo, ali je zapis DNSKEY podjetja example.com pristen. Javni ključ vsake cone je podpisan z zasebnim ključem nadrejene cone, kar je bistveno za vzpostavitev verige zaupanja v DNSSEC. Ta postopek zagotavlja, da se zaupanje prenaša z nadrejenega na podrejeno območje, kar tvori varno in preverljivo hierarhijo.
Zapisi NSEC in NSEC3 omogočajo overjeno zavrnitev obstoja. Ko poizvedba DNS zahteva ime, ki ne obstaja, ti zapisi dokažejo, da ime resnično ni prisotno, in tako preprečijo, da bi napadalci trdili, da so neobstoječa imena resnična. Sistem NSEC obstoječa imena poveže v razvrščenem vrstnem redu, sistem NSEC3 pa uporablja kriptografsko hashirana imena zapisov, da prepreči enostavno preštevanje vsebine območja.
Zapisi CDS in CDNSKEY podpirajo avtomatizirano upravljanje ključev. Z njimi lahko podrejena območja sporočajo posodobljene informacije DS ali DNSKEY nadrejenim območjem, s čimer se zmanjša ročno usklajevanje, ki je bilo običajno potrebno z registratorji.
Posebno pozornost si zasluži ločevanje med ključem za podpisovanje območij (ZSK) in ključem za podpisovanje ključev (KSK). ZSK podpisuje običajne podatke o območju (zapise A, AAAA, MX), medtem ko KSK podpisuje le sam DNSKEY RRSet. Ta ločitev operaterjem omogoča, da pogosto obračajo ZSK, medtem ko stabilnejši KSK in z njim povezani zapis DS v matičnem območju ostajata nespremenjena.
Varnostne razširitve imenskega sistema
Razširitve za varnost imenskega sistema (NSSE) predstavljajo celovit nabor protokolov in standardov, ki so namenjeni krepitvi varnosti sistema domenskih imen (DNS). Jedro NSSE je DNSSEC, ki uporablja digitalne podpise in kriptografijo javnih ključev za preverjanje pristnosti podatkov DNS in zagotavljanje njihove celovitosti. Glavni cilj teh varnostnih razširitev sistema je zaščita pred grožnjami, kot sta podtikanje DNS in zastrupljanje predpomnilnika DNS – napadi,ki lahko manipulirajo s podatki DNS in uporabnike preusmerijo na goljufiva spletna mesta.
Z uporabo varnostnih razširitev sistema imen lahko lastniki domen zagotovijo, da so podatki DNS, povezani z njihovimi domenami, pristni in nespremenjeni, ko potujejo po internetu. To je mogoče doseči z uporabo infrastrukture javnega ključa, kjer vsako podpisano območje objavi javni ključ, ki ga resolverji uporabljajo za preverjanje digitalnih podpisov na zapisih DNS. Tako lahko uporabniki in aplikacije zaupajo, da so informacije, ki jih prejmejo iz sistema domenskih imen, zakonite, kar pomaga ohranjati zaupanje uporabnikov in jih ščiti pred številnimi kibernetskimi grožnjami.
Kako deluje potrjevanje DNSSEC od začetka do konca
Potrjevanje DNSSEC poteka po poti razreševanja DNS, pri čemer se preverjanje začne na znani začetni točki, imenovani sidro zaupanja. Pri večini resolverjev je to sidro KSK korenskega območja, ki se razpošilja prek IANA in posodobitev programske opreme resolverja. Ko potrjevalni rekurzivni resolver obravnava poizvedbo za podpisano domeno, izvede kriptografsko preverjanje na vsaki stopnji hierarhije DNS. Razreševalnik že zaupa korenskemu DNSKEY. S tem ključem preveri RRSIG korenskega območja, ki zajema zapis DS za TLD (na primer .com). Nato pridobi DNSKEY domene .com in preveri, ali se ujema z zapisom DS hash. Ta postopek se nadaljuje do ciljne domene.
Razmislite o poizvedovanju po www.example.com v popolnoma podpisanem okolju. Razreševalnik preveri:
- Korenski DNSKEY (zaupanja vredno sidro) podpiše zapis DS domene .com
- .com DNSKEY se ujema s hašem DS in podpiše zapis DS podjetja example.com
- DNSKEY spletnega mesta example.com se ujema z njegovim DS in podpisuje zapis A za www
S tem se ustvari neprekinjena veriga zaupanja od korenskega strežnika do zahtevanega zapisa DNS. Vsako neskladje – neveljaven podpis, pretečen RRSIG ali neuspeh pri stiskanju DS/DNSKEY – prekine verigo.
Neuspehe pri potrjevanju lahko opazujete na testnih domenah, kot je dnssec-failed.org, ki jih je ICANN namerno napačno konfiguriral. Potrjevalni resolverji za to domeno vrnejo sporočilo SERVFAIL in v celoti blokirajo dostop. Za uporabnike, ki uporabljajo neveljavne razreševalnike (še vedno približno 70 % po vsem svetu), se domena normalno razreši – kar kaže na vrzel v trenutni namestitvi.
DNSSEC ne spreminja aplikacijskih protokolov, kot sta HTTP ali SMTP. Zagotavlja le, da so naslov IP in drugi podatki DNS, ki jih prejmejo aplikacije, pristni in nespremenjeni. Brskalnik še vedno normalno vzpostavi povezavo HTTPS; DNSSEC samo zagotavlja, da so odgovori na poizvedbe DNS usmerjeni na legitimni strežnik.
Pri overjeni zavrnitvi obstoja zapisi NSEC ali NSEC3 dokazujejo, da poizvedovano ime ali vrsta ne obstaja. Razreševalnik prejme kriptografsko podpisano dokazilo, ki prikazuje, katera imena obstajajo v območju, kar mu omogoča potrditev vrzeli, v kateri bi se pojavilo poizvedovano ime.
Zapisi virov DNSSEC v praksi
Preučimo ključne vrste zapisov DNS, povezane z DNSSEC, v več praktičnih podrobnostih.
Zapisi RRSIG se ustvarijo z zasebnim ključem območja – običajno je to ZSK za običajne zapise. Vsak podpis določa algoritem podpisovanja (na primer ECDSAP256SHA256), število oznak v podpisanem imenu, prvotni TTL in časovne žige začetka/potek veljavnosti. Ti časovni žigi so ključnega pomena: reševalni strežniki zavrnejo podpise, ki so izven njihovega okna veljavnosti, ki je običajno nastavljeno na 30 dni. Upravljavci območij morajo pred iztekom veljavnosti odstopiti od zapisov, da se izognejo napakam pri potrjevanju.
Zapisi DNSKEY so prikazani v vrhu območja in lahko v obdobjih obnavljanja vsebujejo več ključev. Polje z zastavico razlikuje vloge ključev: 257 označuje KSK z nastavljenim bitom SEP (Secure Entry Point), 256 pa označuje ZSK. Oznaka ključa – 16-bitni identifikator, izračunan iz podatkov o ključu – pomaga reševalcem, da zapise DNSKEY hitro uskladijo z ustreznimi zapisi DS.
Zapisi DS v nadrejenem območju vsebujejo hash KSK podrejenega območja. Tipičen zapis DS vključuje oznako ključa, številko algoritma, vrsto prebave (običajno SHA-256) in samo prebavo. Med potrjevanjem DNSSEC resolverji pridobijo otrokov DNSKEY, izračunajo hash in ga primerjajo. Neujemanje povzroči status BOGUS in s tem neuspešno potrditev.
Zapisi NSEC verižijo imena območja v kanoničnem razvrščenem vrstnem redu. Vsak zapis NSEC kaže na naslednje obstoječe ime in navaja vrste zapisov, ki so prisotne v tem imenu. To dokazuje neobstoj, vendar izpostavlja vsebino območja “hoji po območju” – napadalci lahko preštejejo vsako ime, tako da sledijo verigi.
NSEC3 obravnava hojo po območju tako, da pred veriženjem imena hashira s soljo in številom iteracij. Čeprav to preprečuje trivialno naštevanje, lahko odločni napadalci še vedno razbijajo predvidljiva imena brez povezave. Zastava opt-out omogoča nepodpisane delegacije znotraj sicer podpisanih območij, kar je uporabno za velika območja z veliko nepodpisanimi poddomenami.
Zapisi CDS in CDNSKEY zrcalijo oblike DS in DNSKEY, vendar so objavljeni v podrejenem območju. Upravljavci nadrejenega območja lahko te zapise preiskujejo in tako samodejno posodabljajo zapise podpisnika delegacije, kar poenostavi obnavljanje ključev in začetno uvajanje DNSSEC.
Združevanje zapisov DNS v skupine
Temeljni vidik izvajanja DNSSEC je združevanje zapisov DNS v sklope zapisov virov (RRSets). RRSet je zbirka zapisov DNS, ki imajo enako ime in vrsto v območju. Namesto da bi DNSSEC podpisal vsak posamezen zapis, z enim samim zapisom RRSIG podpiše celoten niz RRS. Ta pristop poenostavi postopek podpisovanja in potrjevanja podatkov DNS, zaradi česar je učinkovitejši tako za lastnike domen kot tudi za potrjujoče resolverje.
Združevanje zapisov DNS v sklope RRSet ne le poenostavi izvajanje DNSSEC, temveč tudi izboljša upravljanje infrastrukture DNS. Ob spremembi katerega koli zapisa v sklopu RRSet se celoten sklop ponovno podpiše, kar zagotavlja ohranitev celovitosti in verodostojnosti vseh povezanih podatkov DNS. Za lastnike domen to pomeni manj zapletov pri upravljanju podpisov in zanesljivejšo obrambo pred nepooblaščenim spreminjanjem zapisov DNS. Združevanje zapisov DNS je najboljša praksa, ki podpira razširljivost in varnost sodobne infrastrukture DNS.
Ključ za podpisovanje območja, načini podpisovanja in upravljanje ključev
Upravljanje ključev DDNSSEC se osredotoča na dve različni vlogi. Ključ za podpisovanje območij (ZSK ) skrbi za vsakodnevno podpisovanje podatkov območij – A, AAAA, MX, TXT in drugih običajnih zapisov. Ključ za podpisovanje ključev (KSK) ima bolj omejeno, vendar ključno funkcijo: podpisuje samo niz DNSKEY RRSet, s čimer ustvarja zaupanja vredno povezavo z zapisom DS nadrejene cone.
Operaterji te vloge ločujejo iz dobrih razlogov. Zasebni ključ ZSK se pogosto uporablja in je izpostavljen večjemu tveganju izpostavljenosti, zato njegovo obračanje vsakih 30-90 dni omejuje morebitno škodo zaradi kompromitacije. KSK se spreminja redko – enkrat letnoali manj, sajje za vsako rotacijo treba posodobiti zapis DS v nadrejenem območju, kar običajno vključuje koordinacijo registratorja.
Za izvajanje DNSSEC obstajajo trije glavni načini podpisovanja:
- Podpisovanje brez povezave: Podpisovanje: območje se podpiše na računalniku ali HSM, ki je zaščiten z zrakom, nato pa se podpisana datoteka območja prenese na avtoritativne strežnike. Najprimernejše za statična območja, kjer varnost prevlada nad operativnim udobjem.
- Centralizirano spletno podpisovanje: Pred razdelitvijo avtoritativnim strežnikom DNS jih podpiše posebna storitev podpisovanja in jih podpiše. Varnost je uravnotežena s podporo za dinamične posodobitve.
- Podpisovanje na kraju samem: Avtoritativni strežniki ustvarjajo podpise DNSSEC v realnem času, ko prispejo zahteve DNS. Primerno za zelo dinamična območja, vendar poveča tveganje izpostavljenosti ključem, če so strežniki ogroženi.
Obratovanje ključa je treba skrbno načrtovati, da se veriga zaupanja ne prekine. Standardni pristop vnaprej objavlja nove ključe: doda nov ključ v niz DNSKEY RRSet, počaka, da se predpomnilniki iztečejo (običajno dve obdobji TTL), in nato umakne stari ključ. Pri prevrnitvi KSK se mora novi DS pred odstranitvijo starega KSK razširiti tudi po nadrejenem območju.
Prevračanje korena KSK leta 2018 je nazorno pokazalo, kakšni so vložki. Kljub obsežnim pripravam približno 0,3 % reševalcev ni uspelo posodobiti svojih sider zaupanja, zato so se začasno odzvali SERVFAIL. Za posamezno območje se takšne napake morda zdijo nepomembne, vendarzaradi njih domena za prizadete uporabnike dejansko ne deluje.
Podpisnik delegacije
Zapis DS (Delegation Signer) je temelj verige zaupanja DNSSEC, ki povezuje varnost podrejenega območja z nadrejenim območjem v hierarhiji DNS. Zapis DS vsebuje kriptografsko hashirano različico ključa za podpisovanje podrejenega območja (KSK) in je objavljen v nadrejenem območju. To rekurzivnim reševalcem omogoča, da preverijo, ali je zapis DNSKEY, ki ga predstavlja podrejeno območje, pristen in ni bil prirejen.
Z vzpostavitvijo te povezave zapis DS lastnikom domen omogoča, da razširijo zaupanje z nadrejenega območja na svoje podatke DNS in tako zagotovijo, da je vsak korak v postopku razreševanja potrjen. Ta mehanizem je bistven za ohranjanje celovitosti celotne infrastrukture DNS, saj napadalcem preprečuje, da bi na kateri koli točki verige vnesli goljufive podatke DNS. Za lastnike domen je pravilna konfiguracija zapisov podpisnika delegacije ključni korak pri uvajanju DNSSEC in zaščiti njihovih domen pred napadi, ki temeljijo na DNS.
Prednosti in omejitve DNSSEC
Glavna vrednost DNSSEC je obramba pred napadi na zastrupitev predpomnilnika DNS in podtikanjem DNS. S kriptografskim dokazovanjem avtentičnosti odgovorov preprečuje napadalcem, da bi uporabnike tiho preusmerili na lažne strani ali prestregli e-pošto prek lažnih zapisov MX. Ranljivost Kaminsky iz leta 2008 je pokazala, kako uničujoči so lahko takšni napadi; DNSSEC jih naredi v osnovi neučinkovite proti podpisanim območjem.
Poleg osnovne zaščite DNSSEC omogoča tudi napredne varnostne aplikacije. DANE (DNS-Based Authentication of Named Entities) omogoča lastnikom domen, da objavijo informacije o potrdilih TLS neposredno v DNS z zapisi TLSA. Tako je mogoče preveriti potrdila za strežnike SMTP ali spletne storitve, ne da bi se pri tem zanašali samo na tradicionalne organe za izdajo potrdil. Takšne aplikacije zahtevajo overjene podatke DNS – točno to, kar zagotavlja DNSSEC.
Enako pomembno je razumeti omejitve:
- Brez zaupnosti: DNSSEC avtentificira, vendar ne šifrira. Poizvedbe DNS in odgovori na poizvedbe DNS ostanejo vidni opazovalcem. Šifriranje zahteva DNS prek TLS ali DNS prek HTTPS.
- Ni zaščite pred napadi DDoS: DNSSEC ne more zaustaviti volumetričnih napadov na infrastrukturo DNS. Pravzaprav lahko večji podpisani odzivi potencialno poslabšajo napade z okrepitvijo.
- Ni zaščite pred legitimno videti grožnjami: DNSSEC ne more preprečiti tiposquattinga ali uporabnikov, ki zaupajo zavajajočim domenskim imenom, ki so zakonito registrirana in ustrezno podpisana.
Upoštevanje zmogljivosti vključuje bistveno večje odgovore DNS – podpisidodajo približno 500 bajtov na niz RRSet. To včasih sproži povratni odziv TCP (kar poveča zakasnitev) in poveča porabo pasovne širine. Odprti resolverji z DNSSEC lahko v primerjavi z navadnim DNS okrepijo napade z odsevom za 50-krat ali več.
Kljub tem kompromisom varnostne organizacije, vključno z ICANN in NIST, priporočajo DNSSEC za domene visoke vrednosti. Pretežni stroški so resnični, vendar je pri javnih storitvah, kjer bi ponarejanje DNS lahko omogočilo resne napade, zaščita upravičena zaradi zapletenosti.
Tveganja, izzivi in zakaj je sprejetje še vedno neenakomerno
DNSSEC prinaša operativna tveganja, ki pojasnjujejo večino zadržkov pri sprejemanju. Napačne konfiguracije – potekli podpisi, neujemanja DS/DNSKEY ali neveljavne verige podpisov – povzročajo napake pri potrjevanju. Za približno 30 % uporabnikov, ki uporabljajo validatorje, napačno konfigurirano območje preprosto preneha delovati. Ni postopne degradacije; poizvedbe vrnejo sporočilo SERVFAIL.
Več ovir upočasnjuje uvajanje DNSSEC:
- Večstransko usklajevanje: Podpisovanje zahteva usklajevanje med lastniki domen, registratorji in ponudniki gostovanja DNS. Zapisi DS se morajo pretočiti skozi sisteme registratorjev, da dosežejo nadrejeno območje.
- Vrzeli v strokovnem znanju: Mnoge organizacije nimajo izkušenj z DNSSEC. Zaradi strahu, da bi zaradi napačne konfiguracije povzročile izpade, se tega ne lotijo.
- Zapuščena infrastruktura: Nekatera okolja v podjetjih vključujejo resolverje ali naprave, ki ne podpirajo v celoti potrjevanja DNSSEC, kar povzroča težave z združljivostjo.
Statistični podatki o posvojitvah kažejo neenakomeren napredek. Korensko območje DNS je podpisano od leta 2010, DNSSEC pa zdaj podpira več kot 1400 vrhnjih domen. Vendar pa se sprejetje druge ravni zelo razlikuje. V območju .nl je podpisanih več kot 95 % podatkov, kar je posledica spodbud registrov in obveznih politik. V nasprotju s tem je v coni .compodpisanih približno 1,5 %domen – na milijonedomen je še vedno nepodpisanih.
Na strani resolverjev meritve APNIC kažejo, da približno 30 % resolverjev DNS izvaja preverjanje DNSSEC po vsem svetu, kar je več kot leta 2018, ko je bilo takih približno 10 %. Napredek se nadaljuje, vendar večina končnih uporabnikov še vedno prejema nepreverjene odgovore DNS.
DNSSEC predstavlja tudi druge varnostne vidike, ki presegajo napake pri potrjevanju. Zaradi velikih podpisanih odzivov so avtoritativni strežniki privlačni za napade DNS z okrepitvijo. Operaterji morajo uvesti omejitev hitrosti odzivov in upoštevati najboljše prakse za konfiguracijo resolverjev, da ne postanejo nezavestna infrastruktura za napade.
Glavne organizacije se še naprej zavzemajo za širšo uporabo. ICANN objavlja priročnike za uporabo, nacionalne agencije za kibernetsko varnost pa vse pogosteje priporočajo DNSSEC za vladne domene in domene kritične infrastrukture. Projekcije kažejo, da bi lahko do leta 2030 sprejetost druge ravni dosegla 50 %, saj avtomatizacija s CDS/CDNSKEY zmanjšuje trenja pri delovanju.
Operacije v resničnem svetu: Obred podpisovanja korenskega območja DNS in sidra zaupanja
Korensko območje DNS ima v arhitekturi DNSSEC edinstven položaj. Ker nadrejeno območje ne zagotavlja zapisa DS, je treba korenskemu KSK zaupati zunaj pasu kot končnemu sidru zaupanja. Pravilna izbira je izredno pomembna – vsakaveriga zaupanja DNSSEC izvira od tu.
ICANN štirikrat do šestkrat na leto v varnih prostorih v ZDA in Evropi izvede slovesnosti podpisovanja korenskih imen. Ti obredi vključujejo izredne postopkovne kontrole: V strojnih varnostnih modulih (HSM) je shranjen korenski zasebni ključ, do katerega lahko dostopa le več kriptografskih uradnikov, ki hkrati uporabljajo pametne kartice in kode PIN. Fizični zaščitni ukrepi vključujejo vrečke, ki jih je mogoče poškodovati, nadzorovane sefe in popolno video dokumentacijo.
Prvo podpisovanje korenskega območja julija 2010 je pomenilo prehod DNSSEC iz teorije v praktično globalno uporabo. S preobratom KSK 2018, s katerim je bil prvotni KSK iz leta 2010 nadomeščen s KSK-2016, je bila preizkušena sposobnost sistema za posodobitev temeljnega sidra zaupanja. Kljub obsežnemu nagovarjanju je imelo približno 0,2 % reševalcev težave zaradi zastarele programske opreme ali konfiguracije. Prihodnji prehodi so načrtovani za sredino leta 2020.
Rekurzivni reševalni strežniki pridobijo korensko sidro zaupanja prek distribucij programske opreme ali samodejnih protokolov za posodabljanje, ki jih vzdržuje IANA. Sodobna programska oprema za reševanje običajno vključuje trenutna sidra in mehanizme za pridobivanje posodobitev, kar zagotavlja, da veriga zaupanja ostane nedotaknjena, ko se ključi spremenijo.
Ti obredi se morda zdijo zapleteni, vendar dajejo upravičeno zagotovilo. Celovitost korenskega območja je temelj DNSSEC na svetovni ravni, dokumentiran in revidiran postopek pa krepi zaupanje, da ta kritična infrastruktura deluje z ustrezno strogostjo.
Uvajanje DNSSEC v domenah
Ste pripravljeni omogočiti DNSSEC za svoje domene? Postopek vključuje več faz, od preverjanja do stalnega vzdrževanja.
Predpogoji za potrditev:
- Vaša TLD podpira DNSSEC (preverite vire ICANN za uvajanje).
- Vaš registrar sprejema predložitve zapisov DS
- Ponudnik gostovanja DNS podpira podpisovanje območij in upravljanje DNSKEY.
Številni upravljani ponudniki DNS, kot sta Cloudflare in AWS Route 53, samodejno poskrbijo za podpisovanje. Za samoupravljana območja potrebujete orodja za podpisovanje, ki so združljiva s programsko opremo vašega avtoritativnega strežnika.
Tipični koraki uvajanja:
- Generiranje parov ZSK in KSK (ali omogočanje podpisovanja, ki ga upravlja ponudnik)
- Podpisovanje območja DNS in lokalno preverjanje podpisov DNSSEC
- Objava zapisov DNSKEY (in po želji CDS/CDNSKEY za avtomatizirano upravljanje DS)
- Pošiljanje zapisov DS prek vmesnika vašega registratorja
- Počakajte na razmnoževanje, nato preverite celotno verigo
Enako pomembno je tudi potrjevanje. Če vaša organizacija uporablja rekurzivne resolverje, omogočite preverjanje DNSSEC (npr. dnssec-validation yes v BIND). Preizkusite na znanih domenah: pravilno podpisana spletna mesta bi morala vrniti zastavico AD (avtentificirani podatki), dnssec-failed.org pa SERVFAIL.
Najboljše operativne prakse:
- Spremljajte potek veljavnosti podpisa: RRSIG običajno traja 30 dni. Avtomatizirano odstopite precej pred iztekom veljavnosti.
- Preizkusite prevračanje ključev: Pred produkcijo vadite postopek prevrnitve v pripravljalnem okolju.
- Izvajanje opozarjanja: konfigurirajte spremljanje napak pri potrjevanju DNSSEC na vaših reševalnih strežnikih.
- Dokumentirajte postopke: Jasni dnevniki preprečujejo paniko med incidenti ali načrtovanimi preklopi.
Natančni vmesniki se razlikujejo glede na registratorja in ponudnika, zato se osredotočite na razumevanje osnovnih nalog in ne na pomnjenje posameznih klikov na gumbe. Cilj je uvajanje DNSSEC brez izpadov– s skrbnopripravo in testiranjem je to mogoče doseči.
Najboljše prakse za DNSSEC
Uspešna uvedba DNSSEC zahteva več kot le omogočanje podpisov – zahteva stalno pozornost do podrobnosti in upoštevanje najboljših industrijskih praks. Lastniki domen morajo dati prednost rednemu menjavanju ključev, da bi zmanjšali tveganje kompromitiranja ključev, in zagotoviti, da so vsi zasebni ključi varno shranjeni, najbolje z uporabo strojnih varnostnih modulov ali drugih zaščitenih okolij.
Nujno je stalno spremljanje potrjevanja DNSSEC; to vključuje spremljanje datumov izteka veljavnosti podpisa in takojšen umik zapisov pred iztekom veljavnosti. Pomembno je tudi preveriti, ali vse komponente vaše infrastrukture DNS – avtoritativni strežniki, rekurzivni resolverji in vmesniki registrarjev – v celoti podpirajo izvajanje in potrjevanje DNSSEC.
Naslednji ključni korak je testiranje. Lastniki domen morajo redno preverjati, ali so njihovi podatki DNS pravilno podpisani in potrjeni, ter pri tem uporabljati orodja in testne domene za simulacijo uspešnih in neuspešnih scenarijev potrjevanja. Z upoštevanjem teh najboljših praks lahko lastniki domen vzdržujejo odporno infrastrukturo DNS, zaščitijo svoje uporabnike pred napadi, ki temeljijo na DNS, ter zagotovijo stalno celovitost in zanesljivost svojega sistema domenskih imen.
Zaključek in naslednji koraki
DNSSEC preoblikuje sistem domenskih imen iz arhitekture, ki temelji na zaupanju vsemu, v arhitekturo s kriptografskim preverjanjem z digitalnimi podpisi in hierarhično verigo zaupanja, ki odpravlja ranljivosti, ki so obstajale od zasnove sistema DNS v 80. letih prejšnjega stoletja. Zaščitni mehanizmi – podpisi RRSIG, povezave DNSKEY/DS in overjena zavrnitev prek NSEC/NSEC3 – preprečujejo zastrupitev predpomnilnika DNS in napade z lažnimi podatki DNS, ki bi sicer lahko uporabnike nemo preusmerili. Pri obstoječih zapisih DNS, ki vsebujejo goljufive podatke DNS, potrjujoči resolverji preprosto v celoti zavrnejo zmanipulirane podatke DNS.
Kljub operativni zapletenosti je DNSSEC od podpisa korena leta 2010 precej napredoval. Široka podpora TLD, izboljšanje avtomatizacije s pomočjo CDS/CDNSKEY in naraščajoče stopnje potrjevanja resolverjev kažejo na zagon. Glavne varnostne organizacije ga podpirajo za domene, pri katerih bi lahko z lažnim prikazovanjem povzročili resno škodo.
Za tiste, ki so odgovorni za infrastrukturo DNS, so praktični naslednji koraki naslednji:
- popis domen in območij, ki so trenutno podpisane
- Načrtujte postopno uvajanje DNSSEC, ki se začne s kritičnimi storitvami za javnost.
- Omogočanje potrjevanja DNSSEC v notranjih reševalnikih, kjer je to izvedljivo.
- Vzpostavitev postopkov za spremljanje in odzivanje na incidente v primeru napak DNSSEC
Dodatni viri za učenje vključujejo osnovne RFC-je DNSSEC (4033, 4034, 4035), priročnike za uvajanje, ki jih pripravljajo ICANN in regionalni omrežni informacijski centri, ter orodja za testiranje, kot je Verisignov DNSSEC Analyzer. Pot od razumevanja do ukrepanja je jasnejša kot kdaj koli prej, varnostne koristi pa upravičujejo naložbo.