ความปลอดภัยของ DNS: DoH และ DoT

ระบบชื่อโดเมนแปลงชื่อโดเมนที่มนุษย์อ่านได้ให้เป็นที่อยู่ IP คำขอ DNS มาตรฐานใช้ UDP ที่พอร์ต 53 และส่งโดยไม่เข้ารหัสเลย ชื่อโดเมนทุกชื่อที่อุปกรณ์ของคุณค้นหาจะปรากฏให้เราเตอร์ของคุณ ISP และทุกคนที่สามารถตรวจสอบเส้นทางเครือข่ายเห็นได้ ซึ่งหมายความว่ากิจกรรมการท่องเว็บของคุณถูกเปิดเผย แม้ทุกเว็บไซต์ที่คุณเยี่ยมชมจะใช้การเชื่อมต่อเว็บเข้ารหัสก็ตาม

ผู้ให้บริการอินเทอร์เน็ตมักบันทึกคำขอ DNS ของลูกค้าทุกคนเป็นส่วนหนึ่งของการตรวจสอบเครือข่าย และเพื่อปฏิบัติตามกฎหมายการเก็บรักษาข้อมูลในหลายเขตอำนาจศาล บันทึกนี้เป็นหลักฐานโดยละเอียดของเว็บไซต์ทุกแห่งที่มีการเยี่ยมชม เวลาของการเยี่ยมชมแต่ละครั้ง และความถี่ในการเข้าถึง ISP เคยขายข้อมูลนี้ให้ผู้ลงโฆษณา และตอบสนองคำขอจากรัฐบาลด้วยการมอบประวัติการท่องเว็บของผู้สมัครใช้บริการโดยอาศัยเพียงบันทึก DNS

ผู้โจมตีที่สามารถดักจับหรือเปลี่ยนเส้นทางทราฟฟิก DNS ได้ อาจดัดแปลงการตอบกลับให้ชี้ไปยังเซิร์ฟเวอร์อันตราย การจี้ DNS อาจเกิดขึ้นที่ระดับเราเตอร์ (หากเราเตอร์ถูกเจาะระบบ) ผ่านเซิร์ฟเวอร์ DHCP ปลอมที่แจกที่อยู่ของตัวแก้ไข DNS ซึ่งผู้โจมตีควบคุมอยู่ หรือผ่านการเปลี่ยนเส้นทางในระดับ ISP ผู้ใช้ที่พิมพ์ชื่อโดเมนที่ถูกต้องอาจถูกนำไปยังเว็บไซต์หลอกลวงแบบฟิชชิงอย่างเงียบ ๆ โดยไม่มีสัญญาณใดบ่งบอกว่ามีการเปลี่ยนเส้นทาง

เมื่ออุปกรณ์เข้าร่วมเครือข่าย อุปกรณ์จะขอการกำหนดค่าผ่าน DHCP ซึ่งจัดหาที่อยู่ IP เกตเวย์ และเซิร์ฟเวอร์ DNS ให้ ผู้โจมตีบนเครือข่ายในพื้นที่ซึ่งเปิดเซิร์ฟเวอร์ DHCP ปลอม สามารถตอบกลับได้เร็วกว่าเซิร์ฟเวอร์จริงและส่งที่อยู่เซิร์ฟเวอร์ DNS ของตนเองให้ คำขอ DNS ทั้งหมดจากเหยื่อหลังจากนั้นจะถูกส่งไปยังตัวแก้ไขของผู้โจมตี ทำให้ผู้โจมตีเฝ้าสังเกตคำขอและดัดแปลงการตอบกลับได้ตลอดช่วงการเชื่อมต่อ

ในปี 2008 นักวิจัยแดน คามินสกีเปิดเผยช่องโหว่ร้ายแรงใน DNS ผู้โจมตีสามารถส่งการตอบกลับ DNS ปลอมหลายพันรายการพร้อมรหัสธุรกรรมแบบสุ่ม เพื่อทำให้แคชของตัวแก้ไขเสียหายในเชิงสถิติก่อนที่ตัวแก้ไขจะได้รับการตอบกลับที่ถูกต้อง เหตุการณ์นี้เรียกว่าการวางยาพิษแคชแบบการโจมตีวันเกิด แคชที่เสียหายจะเปลี่ยนเส้นทางผู้ใช้ทั้งหมดของตัวแก้ไขนั้นไปยังที่อยู่ IP ที่ผู้โจมตีควบคุมอยู่สำหรับโดเมนที่ถูกวางยาพิษ

DNSSEC (ส่วนขยายความปลอดภัย DNS) รับมือกับการวางยาพิษแคชและการปลอมแปลงการตอบกลับด้วยการเพิ่มลายเซ็นการเข้ารหัสให้กับระเบียน DNS แต่ละโซน DNS จะลงลายเซ็นให้ระเบียนของตนด้วยคีย์ส่วนตัว ตัวแก้ไขจะตรวจสอบลายเซ็นโดยใช้คีย์สาธารณะที่สอดคล้องกันซึ่งเผยแพร่ไว้ในระเบียน DNSKEY การตอบกลับที่ปลอมหรือถูกดัดแปลงจะไม่ผ่านการตรวจสอบลายเซ็นและถูกปฏิเสธ DNSSEC สร้างห่วงโซ่ความน่าเชื่อถือตั้งแต่โซนราก DNS ลงไปจนถึงระเบียนของแต่ละโดเมน

DNS ผ่าน TLS (ดีโอที) ห่อหุ้มคำขอ DNS ไว้ภายในการเชื่อมต่อ TLS มาตรฐานที่พอร์ต 853 ตัวแก้ไขและไคลเอนต์จะทำการจับมือ TLS ก่อนส่งคำขอ DNS ใด ๆ จึงเข้ารหัสทั้งคำขอ (รวมถึงชื่อโดเมน) และการตอบกลับ ดีโอทีป้องกันการเฝ้าระวังแบบแฝงโดย ISP และผู้สังเกตการณ์เครือข่าย การใช้พอร์ตเฉพาะคือพอร์ต 853 ทำให้ไฟร์วอลล์ตรวจพบได้ และบางเครือข่ายใช้คุณสมบัตินี้เพื่อบล็อกดีโอที

DNS ผ่านเอชทีทีพีเอส (ดีโอเอช) เข้ารหัสคำขอ DNS เป็นคำขอเว็บที่พอร์ต 443 ซึ่งเป็นพอร์ตเดียวกับที่ทราฟฟิกเว็บทั้งหมดใช้ เนื่องจากทราฟฟิกดีโอเอชแยกไม่ออกจากการเชื่อมต่อเว็บเข้ารหัสทั่วไป ไฟร์วอลล์จึงบล็อกได้ยากโดยไม่บล็อกทราฟฟิกเว็บเข้ารหัสทั้งหมด ดีโอเอชมีให้ใช้ในไฟร์ฟอกซ์ โครม และวินโดวส์ 11 โดยมีผู้ให้บริการอย่างคลาวด์แฟลร์ (1.1.1.1) และกูเกิล (8.8.8.8) ให้บริการปลายทางดีโอเอช

เมื่อใช้ดีโอเอชหรือดีโอที คำขอ DNS ของคุณจะถูกเข้ารหัสระหว่างส่งจากอุปกรณ์ไปยังตัวแก้ไข DNS ISP จะไม่สามารถอ่านหรือบันทึกชื่อโดเมนแต่ละรายการที่คุณค้นหาได้ การโจมตีด้วย DHCP ปลอมไม่สามารถแทรกตัวแก้ไขที่อ่านทราฟฟิกของคุณได้ เพราะตัวแก้ไขที่ถูกต้องถูกกำหนดไว้ตายตัวแล้ว ผู้โจมตีบนเครือข่ายไม่สามารถจี้ DNS ผ่านการดักจับแบบแฝงได้ อย่างไรก็ตาม ตัวแก้ไข DNS เองยังคงเห็นคำขอทั้งหมดของคุณ

ISP วิ่งเต้นคัดค้านการใช้งานดีโอเอชแบบบังคับ เพราะทำให้การมองเห็น DNS ย้ายจาก ISP ไปยังตัวแก้ไขของบริษัทเทคโนโลยีขนาดใหญ่เพียงไม่กี่แห่ง ISP ใน UK ร้องเรียนต่อรัฐสภาว่าดีโอเอชจะขัดขวางการกรองเพื่อควบคุมโดยผู้ปกครอง ผู้ดูแลระบบเครือข่ายโต้แย้งว่าดีโอเอชแบบรวมศูนย์ทำให้นโยบาย DNS ขององค์กรและการกำหนดค่า DNS แบบแยกมุมมองใช้งานไม่ได้ IETF ทำให้ดีโอเอชเป็นมาตรฐานในเอกสารอาร์เอฟซี 8484 แต่นโยบายการใช้งานยังคงเป็นประเด็นโต้แย้ง

DNSSEC กำหนดให้ทั้งเจ้าของโดเมนลงลายเซ็นให้โซนของตน และตัวแก้ไขต้องตรวจสอบความถูกต้อง การเปลี่ยนคีย์ลงลายเซ็นโดยไม่ให้บริการหยุดชะงักมีความซับซ้อน และเคยทำให้โดเมนระดับบนสุดรายใหญ่หยุดให้บริการ DNSSEC ที่กำหนดค่าผิดพลาดอาจทำให้โดเมนไม่สามารถเข้าถึงได้โดยสิ้นเชิง โดเมนระดับบนสุด .com และ .net รองรับ DNSSEC แต่มีโดเมนรายบุคคลเพียงส่วนน้อยที่ลงลายเซ็น DNSSEC ไม่ได้เข้ารหัสคำขอ มีเพียงดีโอเอชและดีโอทีเท่านั้นที่ให้ความเป็นส่วนตัวแก่คำขอ

DNS มาตรฐานบน UDP พอร์ต 53 ไม่ได้เข้ารหัสและถูก ISP บันทึกไว้ การจี้ DNS และการวางยาพิษแคชแบบการโจมตีของคามินสกีใช้ประโยชน์จากจุดอ่อนนี้ DNSSEC เพิ่มลายเซ็นการเข้ารหัสเพื่อป้องกันการปลอมแปลงการตอบกลับ แต่ไม่เข้ารหัสคำขอ ดีโอทีที่พอร์ต 853 และดีโอเอชที่พอร์ต 443 เข้ารหัสคำขอ DNS ระหว่างส่ง ดีโอเอชบล็อกได้ยากกว่าดีโอที DNS ที่เข้ารหัสย้ายความไว้วางใจจาก ISP ไปยังผู้ดำเนินการตัวแก้ไข แต่ไม่ได้ขจัดความจำเป็นในการไว้วางใจ