Keselamatan DNS: DoH dan DoT

Sistem Nama Domain menterjemahkan nama domain yang boleh dibaca manusia kepada alamat IP. Pertanyaan DNS standard menggunakan UDP pada port 53 dan dihantar tanpa sebarang penyulitan. Setiap nama domain yang dicari oleh peranti anda dapat dilihat oleh penghala, ISP dan sesiapa sahaja yang mampu memantau laluan rangkaian. Ini bermakna aktiviti pelayaran anda terdedah walaupun setiap laman sesawang yang anda lawati menggunakan HTTPS.

Penyedia Perkhidmatan Internet (ISP) lazimnya mencatat pertanyaan DNS untuk semua pelanggan sebagai bentuk pemantauan rangkaian dan bagi mematuhi undang-undang penyimpanan data di banyak bidang kuasa. Catatan ini menjadi rekod terperinci tentang setiap laman sesawang yang dilawati, masa setiap lawatan dan kekerapan capaian. ISP pernah menjual data ini kepada pengiklan dan memenuhi permintaan kerajaan untuk mendapatkan sejarah pelayaran pelanggan hanya berdasarkan catatan DNS.

Penyerang yang dapat memintas atau mengubah hala trafik DNS boleh memanipulasi respons supaya pengguna diarahkan ke pelayan berniat jahat. Rampasan DNS boleh berlaku pada peringkat penghala jika penghala telah dicerobohi, melalui pelayan DHCP penyangak yang memberikan alamat penyelesai DNS yang dikawal penyerang, atau melalui pengalihan pada peringkat ISP. Pengguna yang menaip nama domain yang sah boleh diarahkan secara senyap ke laman pancingan data tanpa sebarang petunjuk tentang pengalihan itu.

Apabila peranti menyertai rangkaian, peranti itu meminta konfigurasi melalui DHCP, yang memberikan alamat IP, get laluan dan pelayan DNS. Penyerang pada rangkaian setempat yang menjalankan pelayan DHCP penyangak boleh memberikan respons lebih pantas daripada pelayan yang sah dan membekalkan alamat pelayan DNS mereka sendiri. Semua pertanyaan DNS seterusnya daripada mangsa pergi kepada penyelesai penyerang, lalu membolehkan pengawasan pertanyaan dan manipulasi respons sepanjang sesi.

Pada tahun 2008, penyelidik Dan Kaminsky mendedahkan kerentanan kritikal dalam DNS. Dengan menghantar ribuan respons DNS palsu yang mengandungi pengenal transaksi rawak, penyerang boleh merosakkan cache penyelesai secara statistik sebelum penyelesai itu menerima respons yang sah. Kaedah ini dikenali sebagai keracunan cache gaya serangan hari jadi. Cache yang rosak mengarahkan semua pengguna penyelesai tersebut kepada alamat IP yang dikawal penyerang untuk domain yang diracuni.

DNSSEC (Sambungan Keselamatan DNS) menangani keracunan cache dan pemalsuan respons dengan menambahkan tandatangan kriptografi pada rekod DNS. Setiap zon DNS menandatangani rekodnya menggunakan kunci peribadi; penyelesai mengesahkan tandatangan menggunakan kunci awam yang sepadan dan diterbitkan dalam rekod DNSKEY. Respons palsu atau yang telah diubah akan gagal dalam pengesahan tandatangan lalu ditolak. DNSSEC membentuk rantaian kepercayaan daripada zon akar DNS hingga ke rekod domain individu.

DNS melalui TLS (DoT) membungkus pertanyaan DNS di dalam sambungan TLS standard pada port 853. Penyelesai dan klien menjalankan jabat tangan TLS sebelum sebarang pertanyaan DNS dihantar, lalu menyulitkan pertanyaan, termasuk nama domain, serta responsnya. DoT menghalang pengawasan pasif oleh ISP dan pemerhati rangkaian. Penggunaan port khusus, iaitu 853, menjadikannya mudah dikenal pasti oleh tembok api, dan sesetengah rangkaian menggunakannya untuk menyekat DoT.

DoH mengekodkan pertanyaan DNS sebagai permintaan HTTPS pada port 443, iaitu port yang sama digunakan untuk semua trafik sesawang. Oleh sebab trafik DoH tidak dapat dibezakan daripada HTTPS biasa, trafik ini tidak dapat disekat dengan mudah oleh tembok api tanpa turut menyekat semua trafik HTTPS. DoH disokong secara terbina dalam oleh Firefox, Chrome dan Windows 11, manakala penyedia seperti Cloudflare (1.1.1.1) dan Google (8.8.8.8) menawarkan titik akhir DoH.

Dengan DoH atau DoT, pertanyaan DNS anda disulitkan semasa penghantaran antara peranti anda dengan penyelesai DNS. ISP tidak dapat membaca atau mencatat nama domain individu yang anda pertanyakan. Serangan DHCP penyangak tidak dapat menyuntik penyelesai yang membaca trafik anda kerana penyelesai yang sah telah ditetapkan secara kekal. Penyerang rangkaian tidak dapat melakukan rampasan DNS melalui pemintasan pasif. Namun, penyelesai DNS itu sendiri masih dapat melihat semua pertanyaan anda.

ISP telah melobi menentang penggunaan DoH secara wajib kerana langkah ini mengalihkan keterlihatan DNS daripada ISP kepada sebilangan kecil penyelesai milik syarikat teknologi besar. ISP di UK mengadu kepada Parlimen bahawa DoH akan menghalang penapisan kawalan ibu bapa. Pentadbir rangkaian berhujah bahawa DoH berpusat menjejaskan dasar DNS perusahaan dan konfigurasi DNS ufuk berasingan. IETF menyeragamkan DoH dalam RFC 8484, tetapi dasar penggunaannya masih dipertikaikan.

DNSSEC memerlukan pemilik domain menandatangani zon mereka dan penyelesai melakukan pengesahan. Penukaran kunci, iaitu menukar kunci tandatangan tanpa mengganggu perkhidmatan, adalah rumit dan telah menyebabkan gangguan pada TLD utama. DNSSEC yang dikonfigurasi dengan salah boleh menyebabkan domain tidak dapat dicapai langsung. TLD .com dan .net menyokong DNSSEC, tetapi hanya sebahagian kecil domain individu yang ditandatangani. DNSSEC tidak menyulitkan pertanyaan; hanya DoH dan DoT yang memberikan privasi pertanyaan.

DNS standard pada port UDP 53 tidak disulitkan dan dicatat oleh ISP. Serangan rampasan DNS dan keracunan cache Kaminsky mengeksploitasi kelemahan ini. DNSSEC menambahkan tandatangan kriptografi untuk menghalang pemalsuan respons tetapi tidak menyulitkan pertanyaan. DoT pada port 853 dan DoH pada port 443 menyulitkan pertanyaan DNS semasa penghantaran. DoH lebih sukar disekat berbanding DoT. DNS disulitkan mengalihkan kepercayaan daripada ISP kepada pengendali penyelesai, tetapi tidak menghapuskan keperluan untuk mempercayai pihak tertentu.