DNS Güvenliği: DoH ve DoT

Alan Adı Sistemi, insanların okuyabildiği alan adlarını IP adreslerine dönüştürür. Standart DNS sorguları, 53 numaralı bağlantı noktasında UDP kullanır ve tamamen şifrelenmeden gönderilir. Cihazınızın sorguladığı her alan adı yönlendiriciniz, ISP'niz ve ağ yolunu izleyebilen herkes tarafından görülebilir. Bu, ziyaret ettiğiniz her web sitesi HTTPS kullansa bile gezinme etkinliğinizin açığa çıkması anlamına gelir.

İnternet servis sağlayıcıları, ağ izleme amacıyla ve birçok yargı bölgesindeki veri saklama yasalarına uymak için tüm müşterilerin DNS sorgularını düzenli olarak günlüğe kaydeder. Bu günlük, ziyaret edilen her web sitesinin, her ziyaretin zamanının ve erişim sıklığının ayrıntılı bir kaydını oluşturur. ISP'ler bu verileri reklamcılara satmış ve yalnızca DNS günlüklerine dayanarak abonelerin gezinme geçmişleriyle ilgili hükümet taleplerine yanıt vermiştir.

DNS trafiğini ele geçirebilen veya yeniden yönlendirebilen bir saldırgan, kullanıcıları kötü amaçlı sunuculara yönlendirecek şekilde yanıtları değiştirebilir. DNS ele geçirme, yönlendirici ele geçirilmişse yönlendirici düzeyinde, saldırganın denetimindeki DNS çözümleyici adreslerini sağlayan sahte DHCP sunucuları aracılığıyla veya ISP düzeyinde yeniden yönlendirmeyle gerçekleşebilir. Kullanıcılar meşru bir alan adı yazdıklarında, herhangi bir yönlendirme belirtisi görmeden gizlice bir kimlik avı sitesine yönlendirilebilir.

Bir cihaz ağa katıldığında DHCP üzerinden yapılandırma ister; DHCP bir IP adresi, ağ geçidi ve DNS sunucusu sağlar. Yerel ağdaki saldırgan, sahte bir DHCP sunucusu çalıştırarak meşru sunucudan daha hızlı yanıt verebilir ve kendi DNS sunucusunun adresini sağlayabilir. Bundan sonraki tüm DNS sorguları saldırganın çözümleyicisine gider; böylece saldırgan oturum boyunca sorguları gözetleyebilir ve yanıtları değiştirebilir.

2008 yılında araştırmacı Dan Kaminsky, DNS'de kritik bir güvenlik açığını açıkladı. Saldırgan, rastgele işlem kimliklerine sahip binlerce sahte DNS yanıtı göndererek meşru yanıt alınmadan önce bir çözümleyicinin önbelleğini istatistiksel olarak bozabiliyordu. Bu yöntem, doğum günü saldırısı türü önbellek zehirlenmesi olarak bilinir. Bozulmuş bir önbellek, söz konusu alan adını kullanan tüm çözümleyici kullanıcılarını saldırganın denetimindeki IP adreslerine yönlendirir.

DNSSEC (DNS Güvenlik Uzantıları), DNS kayıtlarına kriptografik imzalar ekleyerek önbellek zehirlenmesini ve sahte yanıtları önler. Her DNS bölgesi kayıtlarını özel bir anahtarla imzalar; çözümleyiciler, DNSKEY kayıtlarında yayımlanan karşılık gelen genel anahtarı kullanarak imzaları doğrular. Sahte veya değiştirilmiş bir yanıt imza doğrulamasından geçemez ve reddedilir. DNSSEC, DNS kök bölgesinden tek tek alan adı kayıtlarına kadar uzanan bir güven zinciri oluşturur.

TLS üzerinden DNS (DoT), DNS sorgularını 853 numaralı bağlantı noktasındaki standart bir TLS bağlantısının içine sarar. Çözümleyici ile istemci, herhangi bir DNS sorgusu gönderilmeden önce TLS el sıkışması gerçekleştirir; böylece hem sorgu (alan adı dahil) hem de yanıt şifrelenir. DoT, ISP'lerin ve ağ gözlemcilerinin pasif gözetlemesini önler. Özel bir bağlantı noktası olan 853, güvenlik duvarları tarafından tanınabilir; bazı ağlar bu özelliği DoT'yi engellemek için kullanır.

HTTPS üzerinden DNS (DoH), DNS sorgularını tüm web trafiğinde kullanılan 443 numaralı bağlantı noktasındaki HTTPS istekleri olarak kodlar. DoH trafiği normal HTTPS trafiğinden ayırt edilemediği için, tüm HTTPS trafiğini de engellemeden güvenlik duvarları tarafından kolayca engellenemez. DoH, Firefox, Chrome ve Windows 11'de yerleşik olarak desteklenir; Cloudflare (1.1.1.1) ve Google (8.8.8.8) gibi sağlayıcılar DoH uç noktaları sunar.

DoH veya DoT kullanıldığında DNS sorgularınız, cihazınız ile DNS çözümleyicisi arasındaki aktarım sırasında şifrelenir. ISP'niz, sorguladığınız tek tek alan adlarını okuyamaz veya günlüğe kaydedemez. Meşru çözümleyicinin adresi sabit olarak tanımlı olduğundan sahte DHCP saldırıları, trafiğinizi okuyacak bir çözümleyici yerleştiremez. Ağ saldırganları pasif müdahale yoluyla DNS ele geçirme gerçekleştiremez. Ancak DNS çözümleyicisinin kendisi tüm sorgularınızı görmeye devam eder.

ISP'ler, zorunlu DoH kullanımına karşı lobi faaliyeti yürütmüştür; çünkü bu, DNS görünürlüğünü ISP'lerden az sayıdaki büyük teknoloji şirketinin çözümleyicilerine taşır. Birleşik Krallık'taki ISP'ler, DoH'nin ebeveyn denetimi filtrelemesini engelleyeceğini Parlamento'ya bildirmiştir. Ağ yöneticileri, merkezileştirilmiş DoH'nin kurumsal DNS politikalarını ve bölünmüş görünüm DNS yapılandırmalarını bozduğunu savunur. IETF, DoH'yi RFC 8484'te standartlaştırmıştır, ancak kullanım politikası hâlâ tartışmalıdır.

DNSSEC, hem alan adı sahibinin bölgesini imzalamasını hem de çözümleyicinin doğrulama yapmasını gerektirir. Anahtar yenileme, yani hizmet kesintisi olmadan imzalama anahtarlarını değiştirme işlemi, karmaşıktır ve büyük TLD'lerde kesintilere neden olmuştur. DNSSEC'nin yanlış yapılandırılması, bir alan adını tamamen erişilemez hâle getirebilir. .com ve .net TLD'leri DNSSEC'yi destekler, ancak bireysel alan adlarının yalnızca küçük bir bölümü imzalanmıştır. DNSSEC sorguları şifrelemez; sorgu gizliliğini yalnızca DoH ve DoT sağlar.

53 numaralı UDP bağlantı noktasındaki standart DNS şifrelenmez ve ISP'ler tarafından günlüğe kaydedilir. DNS ele geçirme ve Kaminsky önbellek zehirlenmesi saldırıları bu zayıflıktan yararlanır. DNSSEC, sahte yanıtları önlemek için kriptografik imzalar ekler, ancak sorguları şifrelemez. 853 numaralı bağlantı noktasındaki DoT ve 443 numaralı bağlantı noktasındaki DoH, aktarım sırasında DNS sorgularını şifreler. DoH'nin engellenmesi DoT'ye göre daha zordur. Şifrelenmiş DNS, güveni ISP'lerden çözümleyici işletmecilerine taşır, ancak güven gereksinimini ortadan kaldırmaz.