DNSSEC: مصادقة استجابات DNS

في عام 2008، كشف الباحث Dan Kaminsky عن هجوم خطير يستهدف محللات DNS. استغل الهجوم حقل معرّف المعاملة ذي الحجم الصغير، وهو 16 بت، في استجابات DNS. ومن خلال إغراق محلل DNS باستجابات مزورة تتضمن معرّفات معاملات عشوائية، كان بإمكان المهاجم أن ينجح إحصائيًا في مطابقة معرّف المعاملة الشرعي قبل وصول الاستجابة الحقيقية. وتعيد ذاكرة التخزين المؤقت المسمومة توجيه جميع مستخدمي ذلك المحلل إلى خوادم يتحكم فيها المهاجم لأسابيع، حتى تنتهي صلاحية الإدخالات المخزنة مؤقتًا.

يضيف DNSSEC (امتدادات أمان DNS) مصادقة تشفيرية إلى استجابات DNS. ويرافق كل مجموعة سجلات DNS في منطقة موقعة باستخدام DNSSEC توقيع رقمي. ويتحقق المحللون الذين يدعمون التحقق من صحة هذه التوقيعات قبل قبول السجلات. وتكون للاستجابة المزورة أو المعدلة توقيع غير صالح، فيُرفض قبولها. ويحمي DNSSEC من تسميم ذاكرة التخزين المؤقت وتزوير الاستجابات، لكنه لا يشفّر استعلامات DNS.

يستخدم DNSSEC تسلسلًا هرميًا من مفتاحين لكل منطقة. ويُستخدم مفتاح توقيع المنطقة (ZSK) لتوقيع مجموعات سجلات DNS الفردية في العمليات اليومية. أما مفتاح توقيع المفاتيح (KSK) فلا يوقّع إلا مجموعة سجلات DNSKEY، التي تحتوي على المفتاحين العامين لكل من ZSK وKSK. ويمكن تدوير ZSK بوتيرة متكررة، مثلًا شهريًا، بينما يتغير KSK بوتيرة أقل، مثلًا سنويًا، لأن تجزئة KSK يجب تسجيلها في المنطقة الأصلية ولأن عملية التدوير معقدة من الناحية التشغيلية.

لكل مجموعة سجلات DNS موقعة، وتسمى RRset، سجل RRSIG مناظر يحتوي على التوقيع التشفيري الخاص بمجموعة السجلات تلك. عندما يطلب محلل DNS سجل DNS، تتضمن الاستجابة السجل وRRSIG الخاص به. ويتحقق المحلل من RRSIG باستخدام المفتاح العام للمنطقة. ويغطي التوقيع محتوى السجل ونوعه وفئته ووقت انتهاء صلاحيته، مما يمنع تعديل التوقيعات القديمة الصالحة وإعادة استخدامها.

تُبنى سلسلة الثقة في DNSSEC من خلال سجلات Delegation Signer (DS). عندما تفوّض منطقةٌ إلى منطقة فرعية، تنشر المنطقة الأصلية سجل DS يحتوي على تجزئة KSK الخاص بالمنطقة الفرعية. ويستطيع المحلل الذي يثق بالمنطقة الأصلية التحقق من أن تجزئة KSK للمنطقة الفرعية تطابق سجل DS، وبذلك يثبت الثقة في توقيعات المنطقة الفرعية. وتمتد هذه السلسلة من منطقة جذر DNS، مرورًا بنطاقات المستوى الأعلى، وصولًا إلى مناطق النطاقات الفردية.

تنشر كل منطقة موقعة باستخدام DNSSEC مفاتيح التوقيع العامة الخاصة بها في سجلات DNSKEY. وعادةً ما يكون هناك سجلان من نوع DNSKEY: أحدهما لـ ZSK والآخر لـ KSK. وتُسجَّل تجزئة المفتاح العام لـ KSK كسجل DS في المنطقة الأصلية، مما يربط ثقة المنطقة بالمنطقة الأصلية. وتكون تجزئة KSK الخاصة بمنطقة الجذر مضمّنة مسبقًا في المحللات التي تتحقق من الصحة بوصفها مرساة الثقة النهائية، وتسمى Root Zone Trust Anchor.

يبدأ التحقق من DNSSEC عند منطقة الجذر، التي تكون مرساة الثقة KSK الخاصة بها مضمّنة مسبقًا في المحللات. ويُستخدم DNSKEY الخاص بمنطقة الجذر للتحقق من RRSIG الخاص بها، الذي يصادق على سجلات DS لنطاقات المستوى الأعلى مثل .com. ويتحقق DNSKEY الخاص بمنطقة .com من RRSIG الخاص بسجلات DS للنطاقات الفردية. وتمتد سلسلة التحقق التشفيري هذه من الجذر إلى النطاق المطلوب، مما يضمن مصادقة كل حلقة فيها.

عندما يتلقى محلل يتحقق من DNSSEC استجابةً، فإنه ينفذ عملية التحقق الكاملة من سلسلة الثقة. فهو يسترد سجلات DNSKEY، ويتحقق من توقيعات RRSIG، ويتتبع سجلات DS صعودًا حتى مرساة الجذر، ويفحص أوقات انتهاء صلاحية التوقيعات. وإذا فشل التحقق، يعيد المحلل خطأ SERVFAIL بدلًا من السجلات التي يحتمل أن تكون مزورة. وينفذ معظم المحللات العامة الكبرى، بما في ذلك Cloudflare's 1.1.1.1 وGoogle's 8.8.8.8، عملية التحقق من DNSSEC.

كان نشر DNSSEC بطيئًا رغم فوائده الأمنية. ويتطلب تدوير المفاتيح تنسيقًا بين مشغلي المناطق وسجلات المناطق الأصلية. وقد يؤدي خطأ أثناء تدوير KSK إلى جعل المنطقة بأكملها غير قابلة للوصول. وتطلب تدوير KSK لمنطقة الجذر لدى ICANN في عام 2019 سنوات من الاستعداد. كما يزداد حجم المنطقة بدرجة ملحوظة بسبب التوقيعات. ويجب على المشغلين تنفيذ تدوير المفاتيح والرصد آليًا. وقد دفعت هذه التعقيدات التشغيلية كثيرًا من مشغلي النطاقات الأصغر إلى تجنب DNSSEC.

من المفاهيم الخاطئة الشائعة أن DNSSEC يوفر الخصوصية لاستعلامات DNS. لكنه لا يفعل ذلك. إذ يقتصر DNSSEC على مصادقة الاستجابات؛ ولا تزال الاستعلامات والاستجابات تنتقل في صورة حزم UDP نصية عادية عبر المنفذ 53. لذلك يستطيع أي شخص يراقب الشبكة رؤية كل اسم نطاق جرى الاستعلام عنه. ويوفر DNS-over-TLS (DoT) وDNS-over-HTTPS (DoH) خصوصية الاستعلامات من خلال تشفير حركة مرور DNS. ويكمل DNSSEC وDoH/DoT أحدهما الآخر: إذ يوفر الأول الأصالة، بينما يوفر الآخر السرية.

اعتبارًا من عام 2024، كانت نسبة 90 بالمئة تقريبًا من منطقة جذر DNS ونطاقات المستوى الأعلى الرئيسية موقعة باستخدام DNSSEC. ومع ذلك، لم تكن موقعة سوى نسبة تتراوح بين 20 و30 بالمئة تقريبًا من أسماء النطاقات الفردية. كما يختلف تبني المتصفحات والتطبيقات للتحقق من DNSSEC. وتكون الفائدة الأمنية لـ DNSSEC أكبر عند دمجه مع DANE (المصادقة القائمة على DNS للكيانات المسماة)، الذي يستخدم DNSSEC لنشر بصمات شهادات TLS، ويتيح للعملاء التحقق من الشهادات دون الاعتماد فقط على سلطات الشهادات.

كيف ينشئ محلل يتحقق من DNSSEC الثقة في سجلات DNS الخاصة بنطاق، بدءًا من الصفر؟

يضيف DNSSEC توقيعات تشفيرية إلى استجابات DNS لمنع تسميم ذاكرة التخزين المؤقت وتزوير الاستجابات. وتوقّع ZSKs مجموعات السجلات، بينما توقّع KSKs سجلات DNSKEY، وتربط سجلات DS الثقة بين المناطق الأصلية والفرعية. ويبدأ التحقق من Root Zone Trust Anchor المضمّنة مسبقًا. ولا يشفّر DNSSEC حركة مرور DNS؛ إذ يوفر DoH وDoT الخصوصية، بينما يوفر DNSSEC الأصالة. وقد أدى التعقيد التشغيلي، بما في ذلك تدوير المفاتيح، إلى إبطاء التبني الواسع.