Domeny Internetowe Zbigniew Jasioski

DNS • Domain Name System • Rozproszona baza danych – Informacje o komputerach w sieci znajdują się na wielu serwerach DNS rozproszonych po całym świecie (.pl to: 6 serwerów unicast, 2 serwery anycast )

• Główne zastosowanie: mapowanie nazw domenowych na adresy IP hostów • Doskonałe środowisko do przechowywania innych informacji, np. danych teleadresowych – ENUM • Duża niezawodnośd – Osiągnięta dzięki nadmiarowości serwerów DNS (minimalnie dwa)

• Doskonała skalowalnośd

Mapa serwerów

http://www.dns.pl/map.html

Struktura DNS root

””

C:\

ccTLD

Moje dokumenty

poziom I

pl

de

com

org

arpa

gTLD Zdjęcia

priv

poziom II

etykieta

max 127

węzeł kowalscy.jpg

poziom III

kowalscy

zdjecia C:\Moje dokumenty\Zdjęcia\kowalscy.jpg

zdjecia.kowalscy.priv.pl

Domena jest poddrzewem przestrzeni nazw domen

max 63 0-9,a-z,-

Domeny IDN (Internationalized Domain Name)

www.różyczka.pl www.xn--ryczka-bxa01i.pl „xn--” ASCII Compatible Encoding prefix

Internet

DNS • DNS ma już prawie 25 lat; wymyślony w 1986r • DNS (RFC 1034, RFC 1035) nie jest doskonały – Pierwsza luka odkryta w 1990r

• Wiele aplikacji zależy od DNS’u • Zagrożenia w DNS są dobrze znane – RFC 3833

• W sieci istnieją gotowe narzędzia do pobrania, umożliwiające przeprowadzenie różnych ataków na infrastrukturę DNS

Przechowywanie i utrzymywanie danych

Przegląd zagrożeo związanych z DNS modyfikacja pliku strefy

nieautoryzowana dynamcizne aktualizacja

dynamiczne aktualizacje

Zabezpieczenie serwera TSIG lub SIG0

podszywanie się pod serwer podstawowy modyfikacja pliku strefy zmodyfikowany plik strefy

plik strefy

serwer podstawowy

serwery zapasowe

Ochrona przesyłanych danych - DNSSEC

Rozwiązywanie nazw

cache poisoning spoofing

„Caching” serwer

cache poisoning spoofing

cache impersonation spoofing resolver

Przegląd zagrożen związanych z DNS

DNSSEC Experiences of .SE Anne-Marie Eklund Löwinder

Przepływ danych • Odpowiedzi przychodzą na ten sam port UDP z którego zostały wysłane • Sekcja ‘question’ duplikowana w odpowiedzi zgadza się z tą z zapytania • Query ID odpowiedzi zgadza się z QID zapytania • Sekcje ‘authority’ i ‘additional’ zawierają nazwy domenowe znajdujące się w domenie z zapytania

Przepływ danych • Problem: – QID = 16bit

• Obejście problemu: – Randomizacja portów

Przegląd zagrożeo związanych z DNS • Cache poisoning autorytatywny nameserver QID=1001, IP dla www.jakisbank.pl =10.0.0.1 ???

atakujący QID=1000, QID=1001, IP dla IP www.jakisbank.pl =10.1.1.1 ???

podatny nameserver CACHE: IP www.jakisbank.pl =10.1.1.1

Przegląd zagrożeo związanych z DNS • Kaminsky bug autorytatywny nameserver QID=1001 IP dla www123456.jakisbank.pl ??? QID=1001, Qu: www1234567.jakisbank.pl A? An: empty Au: jakisbank.pl NS ns1.jakisbank.pl Ad: ns1.jakisbank.pl A 10.0.0.1

atakujący IP dla www1234567.jakisbank.pl ??? QID=1001 QID=1000 Qu: www1234567.jakisbank.pl A? An: empty Au: jakisbank.pl NS ns1.jakisbank.pl Ad: ns1.jakisbank.pl A 10.1.1.1

podatny nameserver CACHE: jakisbank.pl NS ns1.jakisbank.pl ns1.jakisbank.pl A 10.1.1.1

Co nam daje DNSSEC • Zapewnia integralnośd odpowiedzi DNS • Daje możliwośd weryfikacji odpowiedzi negatywnych • Nie szyfruje danych w pakietach DNS

Jak działa DNSSEC • DNSSEC opiera się na kryptografii kluczy asymetrycznych • Zabezpieczona strefa posiada swój klucz prywatny i klucz publiczny • Klucz prywatny wykorzystywany jest do podpisywania danych przechowywanych w DNS • Klucz publiczny jest używany do weryfikacji podpisanych danych i jest publikowany w zabezpieczonej strefie

Nowe rekordy DNS • DNSKEY – rekord zawiera klucz publiczny do weryfikacji podpisów (rekordów RRSIG) • RRSIG – podpis grupy rekordów • NSEC/NSEC3 – umożliwia weryfikację informacji o nieistnieniu rekordu lub o braku zabezpieczeo • DS – wskazuje na klucz podpisujący dane w strefie podrzędnej

Łaocuch zaufania • Ufamy danym podpisanym przez ZSK • Możemy zaufad ZSK jeśli jest podpisany przez KSK • Ufamy KSK, jeśli jest wskazany przez rekord DS. w strefie nadrzędnej • Ufamy rekordowi DS ze strefy nadrzędnej jeśli jest podpisany przez klucz ZSK z tej strefy, itd. • Jeśli trafimy na klucz SEP (Secure Entry Point), któremu ufamy (jest zapisany w pliku konfiguracyjnym) to oznacza, że zbudowaliśmy łaocuch zaufania i dane są zweryfikowane poprawnie.

Łaocuch zaufania . (root) KSK ZSK

.pl

DS

KSK ZSK

com.pl

DS

KSK ZSK DS

Łaocuch zaufania „.”

DS

DS

pl

com

firma

DS

RRset

ZSK

ZSK

ZSK

ZSK

KSK

KSK

KSK

KSK ZSK - Zone Signig Key KSK - Key Signing Key kierunek podpisywania rekordów DNS wskazania rekordów DS na klucz w strefie podrzędnej

kierunek weryfikacji

DNSSEC – problemy techniczne • • • •

Zwiększony rozmiar odpowiedzi Większy plik strefy Weryfikowanie podpisów (obciążenie resolverów) Przechowywanie materiału kryptograficznego w bezpieczny sposób • Oprogramowanie wspierające DNSSEC’a • Narzędzia do zarządzania kluczami • Monitorowanie podpisanej strefy

DNSSEC – problemy administracyjne • Role (oficer bezpieczeostwa, operator) • Transfer domeny (między Registrarami wspierającymi DNSSEC’a) • Transfer domeny (zabezpieczonej DNSSEC’iem do Registrara, który nie wspiera) • Ujednolicony model między Registrarami • Implementacja DNSSEC’a u ISP • Specjalistyczna wiedza wymagająca szkoleo

Wdrożenie na świecie

DNSSEC IN EUROPE – Wim Degezelle, CENTR, 21st CENTR Admisnitrative workshop

Wdrożenie na świecie • W chwili obecnej 28 rekordów DS znajduje się w strefie root: .be (Belgium), .bg (Bulgaria), .biz, .br (Brazil), .cat (Catalan community), .ch (Switzerland), .cz (Czech Republic), .dk (Denmark), .edu, .eu (European Union), .fr (France), .info, .li (Liechtenstein), .lk (Sri Lanka), .museum, .na (Namibia), .nu (Niue), .org, .pm (Saint Pierre and Miquelon), .pr (Puerto Rico), .re (Reunion), .se (Sweden), .tf (French Southern Territories), .th (Thailand), .tm (Turkmenistan), .uk (United Kingdom), .us (United States)

Wdrożenie na świecie

http://secspider.cs.ucla.edu/ SecSpider the DNSSEC Monitoring Project

Narzędzia • DNSViz (http://dnsviz.net/) Sandia National Laboratories

Narzędzia • ZoneCheck (http://www.zonecheck.fr/), wersja command line oraz CGI/WEB, licencja GPL przygotowana przez Rejestr .fr • DNSCheck (http://dnscheck.iis.se/), wersja comman line orac CGI/WEB, licencja GPL przygotowana przez Rejestr .se • DNSSEC Validator (http://www.dnssecvalidator.cz/), plugin do FireFox’a przygotowana przez Rejestr .cz

Polska na na tle EU 1 2 3 4 5 6 7 8 9 10

.de .uk .nl .it .pl .fr .es .dk .be .se

14 001 252 8 966 685 4 103 345 2 050 327 1 975 717 1 883 216 1 257 239 1 101 074 1 091 862 1 060 405

Jak zarejestrowad nazwę domeny? • Krajowy Rejestr Domen (Registry) – .pl rejestracja 9,90 pln, przedłużenie 40 pln

• Od Rejestratora (Registrar) – .pl rejestracja od 1 pln

Warunki przystąpienia do programu partnerskiego • Wpłata zaliczki na konto pre-paid (10000 pln) • Posiadanie technicznych warunków umożliwiających bezpieczne przechowywanie informacji o abonentach nazw domen internetowych • Niewystępowanie nieuregulowanych należności, co najmniej na miesiąc przed podpisaniem porozumienia [email protected]

Spory • Sąd Polubowny ds. Domen Internetowych przy Polskiej Izbie Informatyki i Telekomunikacji • Sąd Arbitrażowy przy Krajowej Izbie Gospodarczej w Warszawie • The World Intellectual Property Organization Arbitration and Mediation Center http://www.dns.pl/spory.html

Spory • • • •

2010 – 101 wniosków 2009 – 169 wniosków 2008 – 93 wnioski 2007 – 128 wniosków

Ciekawostki • Pierwsza zarejestrowana domena na świecie: symbolics.com • Najdłuższa polska domena: 31415926535897932384626433832795028841 9716939937510582097494459.pl • Milionowa zarejestrowana domena w .pl galeria.radom.pl

Pytania?

[email protected]