DNSSEC: Mengesahkan Respons DNS

Pada tahun 2008, penyelidik Dan Kaminsky mendedahkan serangan kritikal terhadap penyelesai DNS. Serangan itu mengeksploitasi medan ID transaksi 16-bit yang kecil dalam respons DNS. Dengan membanjiri penyelesai menggunakan respons palsu yang mengandungi ID transaksi rawak, penyerang boleh berjaya secara statistik memadankan ID transaksi yang sah sebelum respons sebenar tiba. Cache yang telah diracuni mengubah hala semua pengguna penyelesai itu ke pelayan yang dikawal penyerang selama berminggu-minggu sehingga cache tersebut tamat tempoh.

DNSSEC (Sambungan Keselamatan DNS) menambahkan pengesahan kriptografi pada respons DNS. Setiap set rekod DNS dalam zon yang ditandatangani DNSSEC disertai tandatangan digital. Penyelesai yang melakukan pengesahan menyemak tandatangan ini sebelum menerima rekod. Respons yang dipalsukan atau diubah suai akan mempunyai tandatangan yang tidak sah lalu ditolak. DNSSEC melindungi daripada keracunan cache dan pemalsuan respons, tetapi tidak menyulitkan pertanyaan DNS.

DNSSEC menggunakan hierarki dua kunci bagi setiap zon. Kunci Penandatanganan Zon (ZSK) digunakan untuk menandatangani set rekod DNS individu secara rutin setiap hari. Kunci Penandatanganan Kunci (KSK) hanya menandatangani set rekod DNSKEY, yang mengandungi kedua-dua kunci awam ZSK dan KSK. ZSK boleh ditukar secara berkala, misalnya setiap bulan, manakala KSK lebih jarang ditukar, misalnya setiap tahun, kerana cincangan KSK perlu didaftarkan dalam zon induk dan proses pertukarannya rumit dari segi operasi.

Setiap set rekod DNS yang ditandatangani, yang dipanggil RRset, mempunyai rekod RRSIG yang sepadan dan mengandungi tandatangan kriptografi bagi RRset tersebut. Apabila penyelesai meminta rekod DNS, respons itu menyertakan kedua-dua rekod dan RRSIG-nya. Penyelesai mengesahkan RRSIG menggunakan kunci awam zon. Tandatangan meliputi kandungan rekod, jenis, kelas dan masa luput, sekali gus mencegah pengubahsuaian serta penggunaan semula tandatangan lama yang sah.

Rantaian kepercayaan dalam DNSSEC dibina melalui rekod Penandatangan Delegasi (DS). Apabila sesebuah zon mendelegasikan kepada zon anak, zon induk menerbitkan rekod DS yang mengandungi cincangan KSK zon anak. Penyelesai yang mempercayai zon induk boleh mengesahkan bahawa cincangan KSK anak sepadan dengan rekod DS, lalu membina kepercayaan terhadap tandatangan zon anak. Rantaian ini bermula daripada zon akar DNS dan merentasi TLD hingga ke zon domain individu.

Setiap zon yang ditandatangani DNSSEC menerbitkan kunci awam penandatanganannya dalam rekod DNSKEY. Biasanya terdapat dua rekod DNSKEY: satu untuk ZSK dan satu lagi untuk KSK. Cincangan kunci awam KSK didaftarkan sebagai rekod DS dalam zon induk, lalu mengaitkan kepercayaan zon dengan induknya. Cincangan KSK zon akar ditetapkan secara terbina dalam penyelesai yang melakukan pengesahan sebagai sauh kepercayaan muktamad, yang dipanggil Sauh Kepercayaan Zon Akar.

Pengesahan DNSSEC bermula pada zon akar, yang sauh kepercayaan KSK-nya ditetapkan secara terbina dalam penyelesai. DNSKEY zon akar digunakan untuk mengesahkan RRSIG bagi zon tersebut, yang mengesahkan rekod DS untuk TLD seperti .com. DNSKEY zon .com mengesahkan RRSIG bagi rekod DS untuk domain individu. Rantaian pengesahan kriptografi ini bermula dari akar hingga ke domain yang ditanya, sekali gus memastikan setiap pautan disahkan.

Apabila penyelesai yang melakukan pengesahan DNSSEC menerima respons, penyelesai itu melaksanakan pengesahan rantaian kepercayaan yang lengkap. Penyelesai mengambil rekod DNSKEY, mengesahkan tandatangan RRSIG, menjejaki rekod DS hingga ke sauh akar dan menyemak masa luput tandatangan. Jika pengesahan gagal, penyelesai mengembalikan ralat SERVFAIL dan bukannya rekod yang mungkin dipalsukan. Kebanyakan penyelesai awam utama, termasuk 1.1.1.1 milik Cloudflare dan 8.8.8.8 milik Google, melaksanakan pengesahan DNSSEC.

Pelaksanaan DNSSEC berjalan perlahan walaupun mempunyai manfaat keselamatan. Pertukaran kunci memerlukan penyelarasan antara pengendali zon dan registri induk. Kesilapan semasa pertukaran KSK boleh menyebabkan seluruh zon tidak dapat dicapai. Pertukaran KSK akar ICANN pada tahun 2019 memerlukan persediaan selama bertahun-tahun. Saiz zon meningkat dengan ketara akibat tandatangan. Pengendali perlu melaksanakan pertukaran kunci automatik dan pemantauan. Kerumitan operasi ini menyebabkan ramai pengendali domain yang lebih kecil mengelakkan DNSSEC.

Salah tanggapan umum ialah DNSSEC menyediakan privasi untuk pertanyaan DNS. Sebenarnya tidak. DNSSEC hanya mengesahkan respons; pertanyaan dan respons masih bergerak sebagai paket UDP teks biasa pada port 53. Sesiapa yang memantau rangkaian masih boleh melihat setiap nama domain yang ditanya. DNS-over-TLS (DoT) dan DNS-over-HTTPS (DoH) menyediakan privasi pertanyaan dengan menyulitkan trafik DNS. DNSSEC dan DoH/DoT saling melengkapi: satu menyediakan keaslian, manakala satu lagi menyediakan kerahsiaan.

Setakat tahun 2024, kira-kira 90 peratus zon akar DNS dan TLD utama ditandatangani dengan DNSSEC. Namun, hanya sekitar 20 hingga 30 peratus nama domain individu yang ditandatangani. Penggunaan pengesahan DNSSEC oleh pelayar dan aplikasi tidak seragam. Manfaat keselamatan DNSSEC paling besar apabila digabungkan dengan DANE (Pengesahan Entiti Bernama Berasaskan DNS), yang menggunakan DNSSEC untuk menerbitkan cap jari sijil TLS dan membolehkan klien mengesahkan sijil tanpa bergantung sepenuhnya pada pihak berkuasa sijil.

DNSSEC menambahkan tandatangan kriptografi pada respons DNS untuk mencegah keracunan cache dan pemalsuan respons. ZSK menandatangani set rekod; KSK menandatangani rekod DNSKEY; rekod DS merangkaikan kepercayaan antara zon induk dan zon anak. Pengesahan bermula daripada Sauh Kepercayaan Zon Akar yang ditetapkan secara terbina dalam. DNSSEC tidak menyulitkan trafik DNS; DoH dan DoT menyediakan privasi, manakala DNSSEC menyediakan keaslian. Kerumitan operasi, termasuk pertukaran kunci, telah memperlahankan penerimagunaan secara meluas.