DNS-beveiliging: DoH en DoT

Het Domain Name System zet menselijk leesbare domeinnamen om in IP-adressen. Standaard-DNS-verzoeken gebruiken UDP op poort 53 en worden volledig onversleuteld verstuurd. Elke domeinnaam die je apparaat opzoekt, is zichtbaar voor je router, je internetprovider en iedereen die het netwerkpad kan bewaken. Hierdoor ligt je surfactiviteit bloot, zelfs wanneer elke website die je bezoekt HTTPS gebruikt.

Internetproviders registreren routinematig de DNS-verzoeken van alle klanten als vorm van netwerkbewaking en om in veel rechtsgebieden te voldoen aan wetgeving voor het bewaren van gegevens. Deze registratie vormt een gedetailleerd overzicht van elke bezochte website, het tijdstip van elk bezoek en de bezoekfrequentie. Internetproviders hebben deze gegevens aan adverteerders verkocht en gereageerd op overheidsverzoeken om de surfgeschiedenis van abonnees, uitsluitend op basis van DNS-registraties.

Een aanvaller die DNS-verkeer kan onderscheppen of omleiden, kan de antwoorden aanpassen zodat gebruikers naar kwaadaardige servers worden gestuurd. DNS-kaping kan plaatsvinden op routerniveau, als de router is gecompromitteerd, via malafide DHCP-servers die adressen van DNS-resolvers onder controle van de aanvaller verstrekken, of door omleiding op het niveau van de internetprovider. Gebruikers die een legitieme domeinnaam invoeren, kunnen stilletjes naar een phishingsite worden gestuurd zonder enige aanwijzing dat de omleiding heeft plaatsgevonden.

Wanneer een apparaat verbinding maakt met een netwerk, vraagt het via DHCP om configuratie. DHCP verstrekt een IP-adres, gateway en DNS-server. Een aanvaller op het lokale netwerk die een malafide DHCP-server gebruikt, kan sneller antwoorden dan de legitieme server en het adres van een eigen DNS-server verstrekken. Alle daaropvolgende DNS-verzoeken van het slachtoffer gaan naar de resolver van de aanvaller, waardoor die gedurende de hele sessie verzoeken kan bewaken en antwoorden kan manipuleren.

In 2008 maakte onderzoeker Dan Kaminsky een kritieke kwetsbaarheid in DNS bekend. Door duizenden vervalste DNS-antwoorden met willekeurige transactie-ID's te versturen, kon een aanvaller de cache van een resolver statistisch gezien aantasten voordat deze het legitieme antwoord ontving. Dit staat bekend als cachevergiftiging volgens het principe van een verjaardagsaanval. Een aangetaste cache stuurt alle gebruikers van die resolver voor het vergiftigde domein door naar IP-adressen die door de aanvaller worden beheerd.

DNSSEC (DNS Security Extensions) pakt cachevergiftiging en vervalsing van antwoorden aan door cryptografische handtekeningen aan DNS-records toe te voegen. Elke DNS-zone ondertekent zijn records met een privésleutel; resolvers controleren de handtekeningen met de bijbehorende publieke sleutel die in DNSKEY-records is gepubliceerd. Een vervalst of gewijzigd antwoord faalt bij de handtekeningcontrole en wordt geweigerd. DNSSEC creëert een vertrouwensketen vanaf de DNS-rootzone tot aan afzonderlijke domeinrecords.

DNS-over-TLS (DoT) verpakt DNS-verzoeken in een standaard TLS-verbinding op poort 853. De resolver en client voeren een TLS-handshake uit voordat er DNS-verzoeken worden verstuurd, waarbij zowel het verzoek, inclusief de domeinnaam, als het antwoord wordt versleuteld. DoT voorkomt passieve bewaking door internetproviders en netwerkwaarnemers. Door het gebruik van een speciale poort, 853, kunnen firewalls DoT herkennen; sommige netwerken gebruiken dit om DoT te blokkeren.

DNS-over-HTTPS (DoH) codeert DNS-verzoeken als HTTPS-verzoeken op poort 443, dezelfde poort die voor al het webverkeer wordt gebruikt. Omdat DoH-verkeer niet te onderscheiden is van normaal HTTPS-verkeer, kan het niet eenvoudig door firewalls worden geblokkeerd zonder al het HTTPS-verkeer te blokkeren. DoH wordt standaard ondersteund in Firefox, Chrome en Windows 11. Aanbieders zoals Cloudflare (1.1.1.1) en Google (8.8.8.8) bieden DoH-eindpunten aan.

Met DoH of DoT worden je DNS-verzoeken tijdens de overdracht tussen je apparaat en de DNS-resolver versleuteld. Je internetprovider kan de afzonderlijke domeinnamen die je opvraagt niet lezen of registreren. Aanvallen met malafide DHCP-servers kunnen geen resolver injecteren die je verkeer leest, omdat de legitieme resolver vast is ingesteld. Netwerkaanvallers kunnen geen DNS-kaping uitvoeren door passief verkeer te onderscheppen. De DNS-resolver zelf ziet echter nog steeds al je verzoeken.

Internetproviders hebben gelobbyd tegen verplichte invoering van DoH, omdat hierdoor de zichtbaarheid van DNS-verzoeken verschuift van internetproviders naar een klein aantal resolvers van grote technologiebedrijven. Britse internetproviders klaagden bij het Parlement dat DoH filters voor ouderlijk toezicht zou verhinderen. Netwerkbeheerders stellen dat gecentraliseerde DoH het DNS-beleid van bedrijven en configuraties met split-horizon-DNS doorbreekt. De IETF heeft DoH gestandaardiseerd in RFC 8484, maar het beleid rond de invoering blijft omstreden.

DNSSEC vereist dat zowel de domeineigenaar zijn zone ondertekent als dat de resolver validatie uitvoert. Sleutelwisseling, waarbij ondertekeningssleutels worden gewijzigd zonder de dienstverlening te verstoren, is complex en heeft bij grote TLD's storingen veroorzaakt. Verkeerd geconfigureerde DNSSEC kan een domein volledig onbereikbaar maken. De TLD's .com en .net ondersteunen DNSSEC, maar slechts een minderheid van de afzonderlijke domeinen is ondertekend. DNSSEC versleutelt geen verzoeken; alleen DoH en DoT bieden privacy voor DNS-verzoeken.

Standaard-DNS via UDP-poort 53 is onversleuteld en wordt door internetproviders geregistreerd. DNS-kaping en Kaminsky-cachevergiftiging maken misbruik van deze zwakte. DNSSEC voegt cryptografische handtekeningen toe om vervalsing van antwoorden te voorkomen, maar versleutelt DNS-verzoeken niet. DoT op poort 853 en DoH op poort 443 versleutelen DNS-verzoeken tijdens de overdracht. DoH is moeilijker te blokkeren dan DoT. Versleutelde DNS verplaatst het vertrouwen van internetproviders naar resolverbeheerders, maar neemt de behoefte aan vertrouwen niet weg.