Η ανάγκη για κρυπτογράφηση DNS: Πέρα από τις ερωτήσεις απλού κειμένου

Το Domain Name System (DNS) είναι ένα θεμελιακό πρωτόκολλο που μεταφράζει τα ανθρώπινα αναγνώσιμα ονόματα τομέα σε διευθύνσεις IP. Παρά τον κρίσιμο ρόλο του, η παραδοσιακή κυκλοφορία DNS έχει ιστορικά σταλεί σε απλό κείμενο πάνω από UDP ή TCP, αφήνοντας ευάλωτο σε υπαγόρευση, χειραγώγηση και δηλητηρίαση cache. Οι επιτιθέμενοι στο ίδιο δίκτυο ή μέσα στη διαδρομή ενός ερωτήματος μπορούν να αναχαιτίσουν τις απαντήσεις DNS για να ανακατευθύνουν τους χρήστες σε κακόβουλους ιστότοπους ή να συλλέξουν μεταδεδομένα περιήγησης. Καθώς οι ανησυχίες για το διαδίκτυο έχουν κλιμακωθεί, έχουν προκύψει δύο συμπληρωματικά πρωτόκολλα κρυπτογράφησης για την προστασία της κίνησης DNS: DNS πάνω από HTTPS (DoH) και DNS πάνω από TLS (DOT)[LT:3].

Και τα δύο πρωτόκολλα κρυπτογραφούν τα δεδομένα ερωτήματος και απάντησης, προστατεύοντάς τα από την παρατήρηση και την παραποίηση. Ωστόσο, διαφέρουν στην εφαρμογή, τη χρήση θύρας και τον τρόπο ενσωμάτωσής τους με τις υπάρχουσες στοίβες δικτύου. Η κατανόηση αυτών των διαφορών είναι απαραίτητη για την επιλογή της σωστής προσέγγισης για μεμονωμένους χρήστες, διαχειριστές δικτύου και προγραμματιστές εφαρμογών.

DNS over HTTPS (DoH): Ενσωματώνοντας αναζητήσεις στην κυκλοφορία του διαδικτύου

Το DNS over HTTPS τυλίγει τα παραδοσιακά ερωτήματα και απαντήσεις DNS μέσα στα πρότυπα αιτήματα και απαντήσεις HTTPS, χρησιμοποιώντας την ίδια θύρα 443 που χρησιμοποιείται για την τακτική κυκλοφορία του διαδικτύου. Αυτός ο σχεδιασμός καθιστά την κυκλοφορία DoH δυσδιάκριτη από άλλες HTTPS κυκλοφορίας σε παρατηρητές δικτύου, εκτός αν εκτελούν βαθιά επιθεώρηση πακέτου ή αναλύουν διευθύνσεις IP διακομιστή. Το DoH τυποποιήθηκε σε [[LFT:0]]RFC 8484[[LFT:1] και έχει υιοθετηθεί από μεγάλους περιηγητές όπως Mozilla Firefox και Google Chrome

Πώς λειτουργεί το DoH

Όταν ένας πελάτης (browser ή εφαρμογή) θέλει να επιλύσει ένα domain, στέλνει ένα HTTP POST ή GET αίτημα σε ένα συμβατό με DoH disliver (όπως το 1.1.1.1 του Cloudflare ή το 8.8.8) της Google). Το ερώτημα DNS κωδικοποιείται στο σώμα αίτησης ή τη συμβολοσειρά ερωτημάτων, και ο disliver απαντά με μια απάντηση DNS κωδικοποιημένη στο HTTP όργανο απόκρισης. Επειδή ολόκληρη η συναλλαγή συμβαίνει πάνω από HTTPS, όλη η κρυπτογράφηση, η πιστοποίηση και η επικύρωση πιστοποιητικού που παρέχεται από TLS κληρονομούνται.

Βασικά Πλεονεκτήματα του DoH

  • Μετατροπή ολοκλήρωσης: Με τη χρήση της θύρας 443 και HTTPS frameting, η κυκλοφορία DoH αναμειγνύεται με την κανονική κυκλοφορία ιστού, καθιστώντας δυσκολότερο το φιλτράρισμα δικτύου ή το μπλοκάρισμα για να στοχεύσουν ερωτήματα DNS χωρίς να προκαλέσουν παράπλευρες απώλειες στην περιήγηση ιστού.
  • Εύκολη ανάπτυξη σε εφαρμογές: Οι περιηγητές και οι εφαρμογές μπορούν να υλοποιήσουν το DoH χωρίς να απαιτούν αλλαγές στις ρυθμίσεις DNS του λειτουργικού συστήματος. Οι χρήστες μπορούν απλά να ενεργοποιήσουν μια ρύθμιση ή να εγκαταστήσουν μια επέκταση.
  • Ποτέ δεν υπάρχει υποδομή HTTPS: Το DoH μπορεί να επαναχρησιμοποιήσει τις ίδιες συνδέσεις HTTP/2 ή HTTP/3 και να ασκήσει μόχλευση για την εξισορρόπηση του ώριμου φορτίου, την εξισορρόπηση και τα δίκτυα διανομής περιεχομένου (CDNs) που τροφοδοτούν το σύγχρονο ιστό.

Στοχασμοί και Κριτικές

Παρά τα οφέλη της ιδιωτικής ζωής, DoH έχει πυροδοτήσει συζήτηση. Οι διαχειριστές του δικτύου συχνά χάνουν την ορατότητα στην κυκλοφορία DNS, επειδή μεμονωμένες εφαρμογές μπορούν να παρακάμψουν ρυθμίσεις DNS επίπεδο συστήματος. Αυτό μπορεί να εμποδίσει φιλτράρισμα περιεχομένου, γονικούς ελέγχους, και πολιτικές ασφάλειας επιχειρήσεων. Επιπλέον, DoH εισάγει μια μικρή απόδοση πάνω από το ύψος λόγω HTTP διαμόρφωση και την ανάγκη για ξεχωριστές χειραψίες TLS (αν και HTTP/2 πολλαπλασιάζοντας μετριάζει αυτό).

DNS over TLS (DOT): Ασφάλεια επιπέδου συστήματος σε μια ειδική θύρα

Το DNS over TLS (DoT) χρησιμοποιεί το πρωτόκολλο TLS αλλά επικοινωνεί πάνω από μια ειδική θύρα (853) και όχι με την piggybacking στο HTTP. Η προσέγγιση αυτή καθορίστηκε στο [[LFT:0]]RFC 7858[[LFT:1]] και τυπικά διαμορφώνεται στο επίπεδο του λειτουργικού συστήματος ή στους δρομολογητές, εξασφαλίζοντας ότι όλη η κυκλοφορία DNS από κάθε εφαρμογή είναι κρυπτογραφημένη.

Πώς λειτουργεί το dot

Ένας πελάτης DoT καθιερώνει μια σύνδεση TCP σε ένα disliver στη θύρα 853 και εκτελεί μια χειραψία TLS. Μετά την επιτυχή πιστοποίηση του πιστοποιητικού του disliver, τα μηνύματα DNS ανταλλάσσονται απευθείας μέσω της συνεδρίας TLS, χρησιμοποιώντας την ίδια μορφή σύρματος με την παραδοσιακή DNS αλλά μέσα σε μια κρυπτογραφημένη σήραγγα. Επειδή η DoT χρησιμοποιεί μια μοναδική θύρα, μπορεί να αναγνωριστεί και να διαχειριστεί εύκολα από τα τείχη προστασίας δικτύου και τις πολιτικές δρομολόγησης.

Βασικά πλεονεκτήματα της dot

  • Αναγκαστική εφαρμογή σε όλο το σύστημα: Μόλις ρυθμιστεί η DoT στο επίπεδο OS ή δρομολογητή, όλες οι εφαρμογές επωφελούνται από κρυπτογράφηση χωρίς να χρειάζονται ατομική υποστήριξη. Αυτό είναι ιδιαίτερα πολύτιμο για κινητές συσκευές, συσκευές IoT, και δίκτυα επιχειρήσεων.
  • Απλό για την παρακολούθηση και το φίλτρο: Οι διαχειριστές μπορούν να επιτρέπουν ή να μπλοκάρουν την κυκλοφορία DOT με βάση την ειδική θύρα και τα γνωστά IPs solider, καθιστώντας ευκολότερη τη διατήρηση πολιτικών σε σύγκριση με την κρυφή φύση του DoH.
  • Αποτελεσματική μορφή σύρματος: Το DoT δεν προσθέτει κεφαλές HTTP ή υπερυψωμένες κεφαλές, με αποτέλεσμα χαμηλότερη ανά-κεραία λανθάνουσα τάση σε πολλά σενάρια. Το δυαδικό πρωτόκολλο DNS διατηρείται, μειώνοντας τις απαιτήσεις επεξεργασίας.

Στοχασμός για το DoT

Η εξάρτηση του DoT σε μια ειδική θύρα καθιστά ευκολότερο το μπλοκάρισμα αν ένας διαχειριστής δικτύου ή ο ISP αποφασίσει να περιορίσει το κρυπτογραφημένο DNS. Επειδή το DoT είναι συνήθως ρυθμισμένο σε όλο το σύστημα, η υποστήριξη στις καταναλωτικές συσκευές εξακολουθεί να αυξάνεται. Android και iOS άρχισαν να υποστηρίζουν το DOT σε επίπεδο OS μόνο σε πρόσφατες εκδόσεις, και πολλοί δρομολογητές δεν έχουν ενσωματωμένες επιλογές για τη ρύθμιση του DOT ανάντη.

DoH εναντίον DoT: Μια σύγκριση πλευρά-προς-πλευρά

Feature DNS over HTTPS (DoH) DNS over TLS (DoT)
Standard RFC 8484 RFC 7858
Transport port 443 (HTTPS) 853 (reserved)
Traffic visibility Hidden among web traffic Distinguishable by port
Typical deployment Application level (browser, app) System level (OS, router)
Authentication HTTPS certificate validation TLS certificate validation
Performance overhead Higher due to HTTP framing Lower; binary wire format
Ease of blocking Difficult without breaking web Easier via port 853
Centralization risk Higher (browser defaults) Lower (admin-controlled)

Για μεμονωμένους χρήστες που έχουν επίγνωση της ιδιωτικής ζωής και ελέγχουν τις δικές τους συσκευές, το DoH παρέχει έναν βολικό τρόπο παράκαμψης των τοπικών DNS που κατασκοπεύουν χωρίς να αλλάζουν τις ρυθμίσεις του συστήματος. Για διαχειριστές δικτύου που απαιτούν συνεπή κρυπτογράφηση σε όλες τις συσκευές, το DoT προσφέρει μια πιο διαχειρίσιμη και ελεγχόμενη λύση.

Εφαρμογή κρυπτογραφημένο DNS: Πρακτικές σκέψεις

⁇ πελάτη- παρασκηνίου

Οι περισσότεροι σύγχρονοι περιηγητές έχουν ενσωματωμένη υποστήριξη DoH. Οι χρήστες του Firefox μπορούν να ενεργοποιήσουν το DoH στις ρυθμίσεις του δικτύου, ενώ οι χρήστες του Chrome σέβονται την πολιτική DNS-over-HTTPS του συστήματος αν έχουν ρυθμιστεί. Στα Windows 11, οι χρήστες μπορούν να ορίσουν το DoH ή το DoT για συγκεκριμένους διακανονιστές στις ιδιότητες προσαρμογέων δικτύου. οι χρήστες macOS και Linux μπορούν να ρυθμίσουν τα απομειωμένα αποκόμματα όπως [[LPT:0]] stubby[[LFT:1]] (DoT) ή να χρησιμοποιήσουν εργαλεία όπως [[LFT:2]]dnscrypt-proxy[LT:3]] που υποστηρίζουν και τα δύο πρωτόκολλα.

Επιλογή λύσης

Αξιόπιστοι δημόσιοι αποφασιστικότητα που προσφέρουν τόσο DoH όσο και DoT περιλαμβάνουν Cloudflare (1.1.1.1), Quad9 (9.9.9) και Google (8.8.8). Κάθε ένα έχει διαφορετικές πολιτικές απορρήτου: Cloudflare υποσχέσεις να μην καταγράφει προσωπικά αναγνωρίσιμες πληροφορίες, Quad9 μπλοκ κακόβουλων τομέων από προεπιλογή, και η Google χρησιμοποιεί τεχνικές ανωνυμοποίησης.

Ενδεχόμενες αναδρομές

Το κρυπτογραφημένο DNS μπορεί να συγκρουστεί με εργαλεία ασφαλείας δικτύου όπως συστήματα ανίχνευσης εισβολών που βασίζονται σε διερευνητικά ερωτήματα DNS. Μπορεί επίσης να σπάσει τις δεσμευμένες πύλες (δημόσιες σελίδες σύνδεσης Wi-Fi) που απαιτούν το απλό κείμενο DNS για να ανακατευθύνουν τους χρήστες. Μερικά περιβάλλοντα επιχειρήσεων μπλοκάρουν όλα τα εξωτερικά κρυπτογραφημένα DNS για να επιβάλουν πολιτικές εταιρικής φιλτραρίσματος. Σε αυτές τις περιπτώσεις, οι διαχειριστές πρέπει να υιοθετήσουν μια στρατηγική ⁇ είτε χρησιμοποιώντας ένα ειδικό εσωτερικό κρυπτογραφημένο solider είτε χρησιμοποιώντας DANE (DNS-based Authentication of Named Operities) για DoT.

Το μέλλον της κρυπτογράφησης DNS

Πέρα από το DoH και το DoT, νέα πρωτόκολλα πιέζουν περαιτέρω το φάκελο. DNS over QUIC (DoQ) αξιοποιεί το πρωτόκολλο μεταφοράς QUIC για να μειώσει τη λαχειοφόροτητα και να βελτιώσει την ανθεκτικότητα σε αναξιόπιστα δίκτυα. Oblivious DoH (ODoH) προσθέτει ένα proxy layer για να αποτρέψει τον disliver να συνδέσει ερωτήματα με διευθύνσεις IP πελάτη, παρέχοντας ισχυρότερα μεταδεδομένα ιδιωτικότητα. Εν τω μεταξύ, το IETF's DNS over HTTPS Certificate Storage] επιτρέπει στην CAs να δημοσιεύει αρχεία καταγραφής διαφάνειας πιστοποιητικών μέσω DNS, ενισχύοντας την εμπιστοσύνη.

Οι μεγάλοι περιηγητές και τα λειτουργικά συστήματα ήδη στέλνουν κρυπτογραφημένα DNS ενεργοποιημένα από προεπιλογή σε ορισμένες περιοχές. Οι φορείς εκμετάλλευσης δικτύων και οι πάροχοι υποδομής DNS πρέπει να προετοιμαστούν για ένα μέλλον όπου το μη κρυπτογραφημένο DNS γίνεται η εξαίρεση και όχι ο κανόνας.

Συμπέρασμα

Και τα δύο πρωτόκολλα κρυπτογραφούν τη διαδικασία επίλυσης του τομέα, εμποδίζοντας πολλές κοινές επιθέσεις που εκμεταλλεύονται μη κρυπτογραφημένα DNS. Ενώ το DoH προσφέρει απρόσκοπτη ολοκλήρωση με εφαρμογές ιστού και καλύτερη μυστικότητα, το DoT παρέχει μια ισχυρή λύση σε όλο το σύστημα που είναι πιο εύκολη στη διαχείριση σε επαγγελματικά δίκτυα. Κατανόηση των διαφορών τους ενδυναμώνει τους χρήστες, τους προγραμματιστές και τους επαγγελματίες της πληροφορικής να κάνουν ενημερωμένες επιλογές που ευθυγραμμίζονται με τις απαιτήσεις ασφαλείας και τους επιχειρησιακούς περιορισμούς τους.

Για περαιτέρω ανάγνωση, ανατρέξτε στα επίσημα RFCs: RFC 8484 (DoH), RFC 7858 (DoT)], και Cloudflare's DoH do do domany]. Καθώς το διαδίκτυο συνεχίζει να εξελίσσεται, το κρυπτογραφημένο DNS θα παραμείνει ακρογωνιαίος λίθος ενός ασφαλέστερου, πιο ιδιωτικού ιστού.