[議題探討]DNS的資安危機

DNS的資安危機

2013年完成的專案中,其中有一項業務是接受客戶委託開發網域註冊系統的專案,並且代為建置 DNS Server。

協助客戶完成網域註冊系統的專案後,我們也開始思考將公司委託ISP業者代管的域名,改為自己建置 DNS Server,畢竟委外代管仍有一定的成本,而且每個域名只能增加20筆域名紀錄(不同的委外業者有不同的限制),於是試著自己來管理公司的 DNS Server,同時也提供本公司的客戶可以申請代管域名。雖然是一項小業務,收益也不能和軟體開發相比,但是其重要的程度,卻是首當其衝。

建置過程中,剛好遇到幾則與 DNS 有關的資安新聞。例如Google的公開 DNS 服務8.8.8.8遭受攻擊,以及去年的菲律賓國家 DNS Server被駭客攻擊,進而破解了網站的帳密資訊,被公布在網路上。

隨著接觸 DNS 系統越深入,同時也為了消除客戶的 DNS 安全的疑慮,設計了一系列防堵可能被攻擊的漏洞。只是 DNS 開放網際網路查詢域名,常見的攻擊仍然很難完全避免對UDP 53進行DDoS的阻斷攻擊。或是大量的垃圾域名查詢。

其實DDoS攻擊並不是最近才出現的攻擊手法,但過去的目標除了是癱瘓網路頻寬,在應用層的攻擊對象大多是網站伺服器,根據DDoS防護產品的廠商Prolexic的年度DDoS攻擊報告來看,DNS 攻擊的比例在去年第4季達到史上最顛峰,達到9.58%。在另一家DDoS防護產品廠商Arbor Networks的全球2013年度基礎架構安全報告中,也有類似的觀察,他們發現有10%的DDoS大量攻擊是來自UDP 53埠。僅次於最常被攻擊的HTTP網站服務所採用的80埠(29%)。

在過去兩年之間,將 DNS 作為攻擊目標的比例逐漸超越了SMTP,成為應用層DoS/DDoS攻擊的第二大面向,而在Arbor Networks對於應用層DDoS攻擊的統計分析中,也看到 DNS 以77%的高比例,贏過HTTPS(54%)成為第二大目標,而且僅次於HTTP(82%),至於SMTP只有25%,擠不上前三名。

DNS-picture01

類似的 DNS 網路服務受攻擊的事件層出不窮,發生頻率越來越密集,但出錯的原因千奇百怪,強化 DNS 自身安全性的需求也因此增長。常見的 DNS 攻擊手法請參考下圖:

DNS-picture02

知道 DNS 服務是不安全的,現在已經有很多線上網站,包括DNS-OARC、DNSstuff.com、Kaminsky都已經提供線上的 DNS 漏洞檢測工具,我們可以透過這些工具經常檢視並了解自己網路服務所使用的 DNS 伺服器是否有漏洞?或是透過作業系統發布的修補程式,盡快的修補漏洞,保護 DNS 伺服器。

除了透過線上檢測 DNS 漏洞,要完全杜絕此一漏洞,現在看來安裝DNSsec(DNS安全擴充)會是一個好方案,DNSsec是一個針對 DNS 傳送網域資料做金鑰加密的擴充通訊協定,在DNSsec的規範中,每個區域都有用來加密與解密數位簽章的私密金鑰與公開金鑰,用這樣的方式,沒有擁有金鑰的惡意攻擊者,即便用上述的攻擊手法,也無法成功的假冒主要 DNS 伺服器,這將能有效杜絕這種猜號的攻擊模式。

DNSsec也許解決了假冒 DNS 的問題,但是並無法完全解決所有的安全問題,我們仍舊必須對於系統本身勤加保護,包括漏洞修補、權限控管、駭客攻擊入侵防禦等才是最佳的保護機制。

資料參考:iThome


發佈留言

這個網站採用 Akismet 服務減少垃圾留言。進一步了解 Akismet 如何處理網站訪客的留言資料