DNS Aman: DNSSEC dan DNS melalui HTTPS (DoH)

Domain Name System (DNS) menerjemahkan nama domain yang mudah dibaca manusia menjadi alamat IP. Dirancang pada 1980-an, DNS dibuat tanpa keamanan — Query dan jawaban berjalan melalui port UDP/TCP 53 dalam bentuk teks biasa tanpa autentikasi. Hal ini menciptakan dua kerentanan utama: keracunan cache DNS (menyisipkan jawaban DNS palsu untuk mengarahkan pengguna ke Server berbahaya) dan penyadapan DNS (mengamati domain yang di-Query pengguna dapat mengungkap aktivitas penjelajahan mereka). Dua standar mengatasi hal ini: DNSSEC mencegah pemalsuan, dan DNS melalui HTTPS (DoH) mencegah penyadapan.

Keracunan cache DNS (serangan Kaminsky) mengeksploitasi kurangnya autentikasi pada protokol DNS. Resolver mengirimkan Query ke Server DNS otoritatif dan menyimpan jawabannya selama durasi TTL. Attacker yang dapat menebak ID transaksi (16-bit, mudah diprediksi) dan port sumber (digunakan sebagai entropi tambahan sejak RFC 5452) dapat mengirim jawaban palsu yang disimpan oleh Resolver, sehingga mengarahkan semua pengguna yang melakukan Query ke Resolver tersebut ke Server milik Attacker. Setelah cache diracuni, pengguna diarahkan ke Server palsu meskipun mereka mengetikkan domain yang benar. DNSSEC mencegah hal ini dengan menandatangani jawaban DNS secara digital.

DNSSEC menambahkan tanda tangan kriptografis ke record DNS, sehingga Resolver dapat memverifikasi bahwa jawaban berasal dari otoritas zona yang sah dan belum diubah. DNSSEC memperkenalkan jenis record baru: RRSIG (tanda tangan resource record, yaitu tanda tangan sebenarnya atas sekumpulan record), DNSKEY (kunci publik yang digunakan untuk memverifikasi tanda tangan), DS (delegation signer, yang menghubungkan kunci zona induk dan anak), serta NSEC/NSEC3 (penolakan keberadaan terautentikasi — membuktikan bahwa suatu nama tidak ada). DNSSEC membuat rantai kepercayaan dari zona akar (ditandatangani oleh ICANN) hingga zona TLD dan zona otoritatif.

DNSSEC menggunakan dua jenis kunci penandatanganan. Zone Signing Key (ZSK) menandatangani setiap kumpulan record DNS (RRSIG) dan sering dirotasi (setiap bulan atau setiap kuartal) demi keluwesan operasional. Key Signing Key (KSK) menandatangani kumpulan record DNSKEY dan menjadi jangkar kepercayaan untuk zona tersebut. KSK dirotasi lebih jarang (setahun sekali) karena zona induk harus diperbarui dengan record DS baru setiap kali KSK berubah — proses yang memerlukan koordinasi. KSK memverifikasi ZSK; ZSK menandatangani data. Struktur dua lapis ini menyeimbangkan keamanan (rotasi ZSK yang sering) dengan beban operasional (rotasi KSK yang jarang).

DNSSEC memiliki keterbatasan penting. DNSSEC tidak mengenkripsi Query DNS — DNSSEC hanya menandatangani jawaban untuk menjaga integritas. Penyadap tetap dapat melihat semua Query DNS, tetapi tidak dapat memalsukan jawaban. Enumerasi zona: record NSEC (yang membuktikan ketidakberadaan) memungkinkan Attacker menelusuri zona dan mencantumkan semua nama domain di dalamnya; NSEC3 mengurangi risiko ini dengan nama yang di-hash, tetapi tidak sempurna. Kompleksitas operasional: pengelolaan kunci, kedaluwarsa tanda tangan, dan koordinasi dengan zona induk menimbulkan beban operasional yang signifikan. Penerapan DNSSEC masih belum lengkap — banyak TLD dan registrar mendukungnya, tetapi banyak organisasi belum menerapkannya.

DNS melalui HTTPS (DoH) mengenkripsi queries DNS di dalam HTTPS (RFC 8484), sehingga isi queries tersembunyi dari pengamat jaringan. Queries dikirim ke resolver yang mendukung DoH melalui URL HTTPS standar, sehingga lalu lintas DNS tidak dapat dibedakan dari lalu lintas HTTPS lainnya. Hal ini mencegah ISP, pemberi kerja, dan penyerang yang berada di jalur komunikasi melihat domain mana yang ditanyakan pengguna—menutup celah privasi yang tidak ditangani oleh DNSSEC. Namun, DoH memindahkan kepercayaan dari resolver DNS jaringan ke penyedia DoH (biasanya Google 8.8.8.8, Cloudflare 1.1.1.1, atau resolver DoH milik organisasi sendiri). Kini DoH didukung secara bawaan oleh sebagian besar peramban utama.

DNS melalui TLS (DoT) (RFC 7858) mengenkripsi queries DNS menggunakan TLS melalui port TCP khusus 853, bukan dengan melakukan tunneling melalui HTTPS. DoT memberikan manfaat privasi yang sama seperti DoH—menyembunyikan isi queries dari penyadap—tetapi lebih mudah dikenali dan disaring oleh administrator jaringan (port 853 dibandingkan port 443). Ini menjadi pedang bermata dua: DoT terlihat jelas dan dapat diblokir oleh firewall perusahaan, sedangkan DoH lebih sulit diblokir tanpa memengaruhi lalu lintas HTTPS secara umum. Resolver stub (tingkat OS) lebih umum menggunakan DoT; peramban lebih umum menggunakan DoH.

DNS terenkripsi menimbulkan tantangan bagi lingkungan perusahaan yang bergantung pada penyaringan berbasis DNS dan sinkhole. Ketika peramban menggunakan resolver DoH eksternal, kontrol DNS internal dapat dilewati. Tindakan penanggulangan di lingkungan perusahaan: gunakan resolver DoH/DoT internal (Cisco Umbrella, Pi-hole dengan DoH) dan konfigurasikan semua perangkat untuk menggunakannya; blokir IP resolver DoH eksternal di firewall (Google 8.8.8.8, Cloudflare 1.1.1.1) pada port 443; gunakan Group Policy untuk menonaktifkan DoH tingkat peramban pada Endpoint yang dikelola; serta gunakan aturan proxy transparan yang mencegat DNS-over-TLS pada port 853. Tujuannya adalah merutekan semua DNS melalui resolver yang dikendalikan tanpa memblokir DNS terenkripsi sepenuhnya.

Strategi keamanan DNS yang lengkap menggabungkan beberapa kontrol. DNSSEC untuk zona otoritatif Anda mencegah keracunan cache pada domain Anda. Penyaringan berbasis DNS (Cisco Umbrella, Cloudflare Gateway) memblokir domain berbahaya pada tingkat resolver. DoH/DoT ke resolver yang dikendalikan memberikan privasi queries tanpa menghilangkan visibilitas penyaringan. Pencatatan DNS ke SIEM merekam semua queries untuk perburuan ancaman—log DNS mengungkap lalu lintas C2, eksfiltrasi data melalui tunneling DNS, dan aktivitas algoritma pembangkitan domain (DGA) dari malware. Telemetri DNS merupakan salah satu sumber data keamanan dengan nilai tertinggi yang tersedia.

Tunneling DNS menyandikan data di dalam queries dan respons DNS untuk mengekfiltrasi data atau membangun kanal C2 melalui jaringan yang memblokir lalu lintas keluar lainnya. Alat seperti iodine, DNScat, dan dnscat2 menyandikan payload dalam label subdomain (melakukan query untuk EXFILTRATEDDATA.evil.com) atau catatan TXT. Deteksi: nama query DNS yang sangat panjang (>100 karakter), volume query yang tinggi dari satu host, queries untuk domain induk yang tidak ada, jenis catatan yang tidak biasa (TXT, NULL), serta analisis entropi label domain (data yang disandikan memiliki entropi Shannon yang tinggi). Platform analitik keamanan DNS secara otomatis menandai pola tunneling.

Zona Kebijakan Respons DNS (RPZ) memungkinkan resolver DNS menerapkan kebijakan penggantian lokal pada respons DNS—pada dasarnya membuat sinkhole lokal pada tingkat resolver tanpa mengubah infrastruktur DNS global. Ketika Client menanyakan domain yang diketahui berbahaya, kebijakan RPZ mengembalikan NXDOMAIN, mengarahkan ulang ke IP sinkhole, atau mengembalikan respons passthrough. Umpan RPZ tersedia dari penyedia intelijen ancaman (Spamhaus, SURBL) dan dapat diimpor langsung ke resolver BIND atau Unbound. RPZ merupakan alat pertahanan yang ampuh karena menerapkan penyaringan pada lapisan DNS untuk semua perangkat di jaringan tanpa konfigurasi di sisi Client.

Uji pemahaman Anda tentang konsep CompTIA Security+ (SY0-701) dari lesson ini.

Dalam lesson ini Anda mempelajari: DNSSEC menambahkan tanda tangan kriptografis ke catatan DNS menggunakan pasangan kunci KSK/ZSK untuk mencegah keracunan cache, tetapi tidak mengenkripsi queries; DNS melalui HTTPS (DoH) mengenkripsi queries DNS di dalam HTTPS untuk mencegah penyadapan, tetapi menimbulkan risiko dilewatinya penyaringan perusahaan; dan tunneling DNS menyandikan data dalam queries DNS dan dapat dideteksi melalui analisis panjang, volume, serta entropi queries. Selanjutnya kita akan membahas IPsec, protokol VPN, dan keamanan akses jarak jauh.