DNS सुरक्षा: DoH और DoT

डोमेन नाम प्रणाली मानव-पठनीय डोमेन नामों को IP पतों में बदलती है। मानक DNS क्वेरी पोर्ट 53 पर UDP का उपयोग करती हैं और पूरी तरह बिना कूटबद्धता के भेजी जाती हैं। आपके उपकरण द्वारा खोजे जाने वाले हर डोमेन नाम को आपका राउटर, आपका ISP और नेटवर्क मार्ग की निगरानी करने में सक्षम कोई भी व्यक्ति देख सकता है। इसका अर्थ है कि आपके द्वारा देखी जाने वाली हर वेबसाइट एचटीटीपीएस का उपयोग करे, तब भी आपकी ब्राउज़िंग गतिविधि उजागर रहती है।

इंटरनेट सेवा प्रदाता नेटवर्क निगरानी के एक रूप के रूप में और अनेक अधिकार-क्षेत्रों में डेटा-संग्रहण कानूनों का पालन करने के लिए सभी ग्राहकों की DNS क्वेरी का नियमित रूप से अभिलेख रखते हैं। यह अभिलेख देखी गई हर वेबसाइट, हर बार देखे जाने का समय और पहुँच की आवृत्ति का विस्तृत विवरण होता है। ISP ने यह डेटा विज्ञापनदाताओं को बेचा है और केवल DNS अभिलेखों के आधार पर ग्राहकों के ब्राउज़िंग इतिहास के संबंध में सरकारी अनुरोधों का जवाब दिया है।

जो हमलावर DNS ट्रैफ़िक को रोक या पुनर्निर्देशित कर सकता है, वह प्रतिक्रियाओं में हेरफेर करके उपयोगकर्ताओं को दुर्भावनापूर्ण सर्वरों तक भेज सकता है। DNS अपहरण राउटर स्तर पर हो सकता है (यदि राउटर से छेड़छाड़ की गई हो), ऐसे अनधिकृत DHCP सर्वरों के माध्यम से हो सकता है जो हमलावर-नियंत्रित DNS रिज़ॉल्वर पतों की जानकारी देते हैं, या ISP स्तर पर पुनर्निर्देशन के ज़रिए हो सकता है। वैध डोमेन नाम टाइप करने वाले उपयोगकर्ताओं को पुनर्निर्देशन का कोई संकेत मिले बिना चुपचाप फ़िशिंग साइट पर भेजा जा सकता है।

जब कोई उपकरण नेटवर्क से जुड़ता है, तो वह DHCP के माध्यम से विन्यास का अनुरोध करता है। DHCP उसे IP पता, गेटवे और DNS सर्वर प्रदान करता है। स्थानीय नेटवर्क पर मौजूद कोई हमलावर अनधिकृत DHCP सर्वर चला सकता है, जो वैध सर्वर से अधिक तेज़ी से जवाब देकर अपना DNS सर्वर पता दे देता है। इसके बाद पीड़ित की सभी DNS क्वेरी हमलावर के रिज़ॉल्वर तक जाती हैं, जिससे पूरे सत्र के दौरान क्वेरी की निगरानी और प्रतिक्रियाओं में हेरफेर संभव हो जाता है।

2008 में शोधकर्ता डैन कामिन्स्की ने DNS की एक गंभीर कमज़ोरी का खुलासा किया। यादृच्छिक लेन-देन पहचानकर्ताओं वाली हज़ारों जाली DNS प्रतिक्रियाएँ भेजकर हमलावर वैध प्रतिक्रिया मिलने से पहले रिज़ॉल्वर का कैश सांख्यिकीय रूप से दूषित कर सकता था। इसे जन्मदिन-हमले जैसी कैश-विषाक्तकरण तकनीक कहा जाता है। दूषित कैश उस रिज़ॉल्वर का उपयोग करने वाले सभी उपयोगकर्ताओं को विषाक्त किए गए डोमेन के लिए हमलावर-नियंत्रित IP पतों पर भेज देता है।

DNSSEC (DNS सुरक्षा विस्तार) DNS रिकॉर्ड में क्रिप्टोग्राफ़िक हस्ताक्षर जोड़कर कैश विषाक्तकरण और जाली प्रतिक्रियाओं की समस्या का समाधान करता है। हर DNS ज़ोन अपनी निजी कुंजी से अपने रिकॉर्ड पर हस्ताक्षर करता है; रिज़ॉल्वर DNSKEY रिकॉर्ड में प्रकाशित संबंधित सार्वजनिक कुंजी का उपयोग करके हस्ताक्षरों की पुष्टि करते हैं। जाली या बदली हुई प्रतिक्रिया हस्ताक्षर-पुष्टि में विफल हो जाएगी और अस्वीकार कर दी जाएगी। DNSSEC मूल DNS ज़ोन से लेकर अलग-अलग डोमेन रिकॉर्ड तक विश्वास की एक शृंखला बनाता है।

डीओटी DNS क्वेरी को पोर्ट 853 पर एक मानक TLS कनेक्शन के भीतर समाहित करता है। कोई DNS क्वेरी भेजे जाने से पहले रिज़ॉल्वर और क्लाइंट TLS हैंडशेक करते हैं, जिससे क्वेरी (डोमेन नाम समेत) और प्रतिक्रिया दोनों कूटबद्ध हो जाती हैं। डीओटी ISP और नेटवर्क पर्यवेक्षकों द्वारा की जाने वाली निष्क्रिय निगरानी रोकता है। समर्पित पोर्ट (853) के कारण फ़ायरवॉल इसे पहचान सकते हैं और कुछ नेटवर्क इसका उपयोग डीओटी को अवरुद्ध करने के लिए करते हैं।

डीओएच DNS क्वेरी को पोर्ट 443 पर एचटीटीपीएस अनुरोधों के रूप में कूटबद्ध करता है, जो सभी वेब ट्रैफ़िक के लिए उपयोग किया जाने वाला वही पोर्ट है। डीओएच ट्रैफ़िक को सामान्य एचटीटीपीएस से अलग पहचानना कठिन होता है, इसलिए सभी एचटीटीपीएस ट्रैफ़िक को अवरुद्ध किए बिना फ़ायरवॉल इसे आसानी से अवरुद्ध नहीं कर सकते। फ़ायरफ़ॉक्स, क्रोम और विंडोज़ 11 में डीओएच का मूल समर्थन है। क्लाउडफ़्लेयर (1.1.1.1) और गूगल (8.8.8.8) समेत कई प्रदाता डीओएच एंडपॉइंट उपलब्ध कराते हैं।

डीओएच या डीओटी के साथ, आपके उपकरण और DNS रिज़ॉल्वर के बीच आवागमन के दौरान आपकी DNS क्वेरी कूटबद्ध रहती हैं। आपका ISP आपके द्वारा पूछे गए अलग-अलग डोमेन नामों को पढ़ या उनका अभिलेख नहीं रख सकता। अनधिकृत DHCP हमले ऐसा रिज़ॉल्वर प्रविष्ट नहीं कर सकते जो आपका ट्रैफ़िक पढ़े, क्योंकि वैध रिज़ॉल्वर पहले से स्थिर रूप से निर्धारित होता है। नेटवर्क हमलावर निष्क्रिय अवरोधन के माध्यम से DNS अपहरण नहीं कर सकते। हालाँकि, DNS रिज़ॉल्वर स्वयं आपकी सभी क्वेरी देखता रहता है।

ISP ने अनिवार्य डीओएच लागू करने के विरुद्ध पैरवी की है, क्योंकि इससे DNS की दृश्यता ISP से हटकर बड़ी तकनीकी कंपनियों के कुछ रिज़ॉल्वर तक पहुँच जाती है। UK के ISP ने संसद से शिकायत की कि डीओएच अभिभावकीय नियंत्रण के लिए फ़िल्टर लगाने में बाधा डालेगा। नेटवर्क प्रशासकों का तर्क है कि केंद्रीकृत डीओएच उद्यम DNS नीतियों और विभाजित-क्षितिज DNS विन्यास को तोड़ देता है। IETF ने आरएफसी 8484 में डीओएच का मानकीकरण किया, लेकिन इसे लागू करने की नीति पर अब भी मतभेद हैं।

DNSSEC के लिए डोमेन स्वामी द्वारा अपने ज़ोन पर हस्ताक्षर करना और रिज़ॉल्वर द्वारा सत्यापन करना, दोनों आवश्यक हैं। कुंजी परिवर्तन (सेवा बाधित किए बिना हस्ताक्षर वाली कुंजियाँ बदलना) जटिल है और इसके कारण बड़े TLD में सेवा बाधित हुई है। गलत ढंग से विन्यस्त DNSSEC किसी डोमेन को पूरी तरह पहुँच से बाहर कर सकता है। .com और .net TLD DNSSEC का समर्थन करते हैं, लेकिन अलग-अलग डोमेन का केवल अल्पांश ही हस्ताक्षरित है। DNSSEC क्वेरी को कूटबद्ध नहीं करता; क्वेरी की गोपनीयता केवल डीओएच और डीओटी प्रदान करते हैं।

UDP पोर्ट 53 पर चलने वाला मानक DNS कूटबद्ध नहीं होता और ISP उसका अभिलेख रखते हैं। DNS अपहरण और कामिन्स्की कैश-विषाक्तकरण हमले इसी कमज़ोरी का लाभ उठाते हैं। DNSSEC प्रतिक्रियाओं में जालसाज़ी रोकने के लिए क्रिप्टोग्राफ़िक हस्ताक्षर जोड़ता है, लेकिन क्वेरी को कूटबद्ध नहीं करता। पोर्ट 853 पर डीओटी और पोर्ट 443 पर डीओएच आवागमन के दौरान DNS क्वेरी को कूटबद्ध करते हैं। डीओएच को डीओटी की तुलना में अवरुद्ध करना कठिन है। कूटबद्ध DNS का उपयोग करने पर ISP से भरोसा हटकर रिज़ॉल्वर संचालकों पर चला जाता है, लेकिन भरोसे की आवश्यकता समाप्त नहीं होती।