DNS-suojauslaajennukset (DNSSEC) ja kyberturvallisuusriskit

Käyttäjätietoja keräävät toimialat, kuten rahoitus, terveydenhuolto ja hallinto, ovat korkean profiilin kohteita DNS-hyökkäyksille, koska tiedot ovat houkuttelevia haitallisille toimijoille. Erilaisten tietoturvan lieventämisten sisällyttäminen, mukaan lukien verkkotunnusjärjestelmän suojauslaajennukset huijaushyökkäysten estämiseksi, voi auttaa organisaatiota estämään tietomurtoja ja suojaamaan käyttäjiään ja heidän tietojaan väärinkäytöltä.

Tässä artikkelissa kuvataan, miten DNSSEC (DNS Security Extensions) luo lisäsuojaa toimialueellesi, selventää DNSSEC-käyttöönoton sääntelytarvetta ja arvioi DNSSEC:n käyttöön liittyviä riskejä.

Mikä on DNSSEC?

DNS eli Domain Name System tarjoaa reititysinfrastruktuurin, jonka avulla verkkosivuston kävijä voidaan yhdistää verkkotunnusta vastaavaan IP-osoitteeseen. DNS-suojauslaajennukset, jotka tunnetaan myös nimellä DNSSEC, tarjoavat DNS-tietueiden aitouden ratkaisun ja tarkistavat resurssitietueen allekirjoituksen ([.rt-script]RRSIG[.rt-script]) tietueeseen tallennetulla julkisella avaimella ([.rt-script]DNSKEY[.rt-script]). Tietyssä mielessä DNSSEC hakee DNS-tietueen allekirjoituksen, joka vahvistaa verkkosivuston aitouden julkisen avaimen salauksen avulla. DNSSEC laajentaa DNS-protokollaa salaustodennuksella.

Kun DNSSEC on käytössä toimialueellasi, DNS-selvitysohjelma tarkistaa DNS-tiedoista verkkotunnuksesi todennusasetuksiin liittyvän luottamusketjun. Resolveri varmistaa, että digitaaliset allekirjoitukset ovat peräisin luotetulta vyöhykkeeltä, joka voidaan vahvistaa kryptografisesti, jota kutsutaan tietojen alkuperän todennukseksi. Lisäksi DNSSEC tarjoaa tietojen eheyden suojauksen DNS-välimuistin myrkytyshyökkäyksiä vastaan vahvistaakseen, että siirrettäviä tietoja ei ole muokattu, jotta DNS-selvitys voi palauttaa vahvistetun sivuston asiakasselaimeen. Jos todennus ja vahvistus epäonnistuvat, selvitys palauttaa virheen verkkosivuston sijaan.

Ilman näitä suojausehtoja ratkaisija voisi ohjata käyttäjän hyökkääjän valitsemalle sivustolle DNS-huijauksen tai DNS-välimuistin myrkytyksen avulla. DNSSEC:n toiminta tietojen alkuperän todentamisen ja eheyden kanssa on kuvattu yksityiskohtaisesti Internet Engineering Task Forcen (IETF) kommenttipyynnössä 4033 (RFC 4033.

DNSSEC käyttää luottamusketjua vahvistaakseen ylhäältä alaspäin suuntautuvan aitouden juurivyöhykkeeltä. Ylätason verkkotunnuksen (TLD) operaattorit luovat luottamusankkurin DNS-päävyöhykkeelle. Internet Assigned Numbers Authority (IANA) koordinoi DNS-resursseja, mukaan lukien päävyöhykkeen hallintaa ja avainten allekirjoitusavaintoimintoja TLD-luottamusankkuriyhteyksille. Kun TLD:t tarjoavat luottamusankkurin DNS-päävyöhykkeelle, kaikki kyseiselle TLD:lle rekisteröityneet verkkotunnuksen omistajat voivat määrittää DNSSEC:n luottamusketjulla, joka ratkeaa takaisin allekirjoitetulle ja vahvistetulle päävyöhykkeelle. Lisätietoja vyöhykkeiden allekirjoittamisesta ja ratkaisemisesta löytyy IETF:n RFC 4035:stä. Jos allekirjoitettu vyöhyke vaaditaan (kuten DNSSEC:n käyttöönotossa), pääsy verkkotunnukseen on rajoitetumpi, koska se on todennettava mutta se on myös suojattu väliintulohyökkäyksiltä.

Vaikka DNSSEC lisää hyödyllisen todennusominaisuuden verkkotunnuksille, sitä ei ole vielä otettu laajalti käyttöön. APNIC Labs raportoi, että maailmanlaajuiset DNSSEC-validointiasteet ovat yhteensä 40 %, joista 8,35 % on vain osittaista validointia.

DNSSEC ja Yhdysvaltojen sääntelyvaatimukset

Vaikka monet vaatimustenmukaisuusmääräykset eivät edellytä DNS-suojauslaajennuksia, se on välttämätön kokoonpano Yhdysvaltain liittovaltion sääntelytarpeisiin. Federal Information Security Management Act (FISMA) -lain ja NIST:n julkaisemien standardien (mukaan lukien Special Publication 800-53 ja Federal Information Processing Standard 140-2) välillä Yhdysvaltain liittovaltion virastoilla ja näiden liittovaltion virastojen kolmannen osapuolen palveluntarjoajilla on saavutettavana erilaisia tietoturvan perustasoja. NIST SP 800-81-2 sisältää suojatun DNS:n käyttöönotto-oppaan, joka sisältää DNS-suojauslaajennusten käyttöä koskevat osiot.

NIST SP 800-53 sisältää joukon järjestelmän ja viestinnän suojaukseen liittyviä säätimiä, joita kutsutaan nimellä "SC". SC-21 ja SC-22 asettavat odotukset DNS-ratkaisulle, mukaan lukien validointi DNSSEC:n tai muun SC-21:n todennetun kanavan kautta. Tässä kontrollissa ei näytä olevan merkittävää muutosta versiosta 4 äskettäin toteutettuun versioon 5 (versio 5).

FedRAMP (Federal Risk and Authorization Management Program) -sertifiointi sisältää DNSSEC:n vaaditussa valvonta-alueella, ja sertifiointiprosessin läpi kulkevien organisaatioiden on todistettava DNSSEC-määrityksensä tai hyväksyttävä DNSSEC:n toteuttamatta jättämisen riskikynnys. FedRAMP-valmiuden arviointiraportti sisältää seuraavat organisaatiosi DNSSEC-määrityksiin liittyvät kysymykset:

  • "Tukeeko järjestelmän ulkoinen DNS-ratkaisu DNS-suojausta (DNSSEC) alkuperän todennuksen ja eheyden todentamisen varmistamiseksi? Tämä koskee SSP:n hallintalaitteita SC-20, SC-21 ja SC-22." (4.1 kohta)
  • "Varmistiko 3PAO [kolmannen osapuolen arviointiorganisaatio], että ulkoinen DNS-palvelin vastaa kelvollisilla DNSSEC-vastauksilla ja että rekursiivinen palvelin on FedRAMP:n valtuutetun rajan sisällä, tekee DNSSEC-pyyntöjä rajan ulkopuolella oleville toimialueille ja että DNS-kutsut säilyttävät DNSSEC-todennuksen ja eheyden? [SC-20, SC-21]" (kohta 4.2)

National Institute of Standards and Technology (NIST) arvioi, että alle 1100 Yhdysvaltain hallituksen IPv6-verkkotunnusta, joissa on toimiva DNSSEC-käyttöönotto, 73 operatiivista toimialan käyttöönottoa ja 30 operatiivista yliopistokäyttöönottoa, joista suurin osa yliopistojen DNSSEC-käyttöönotoista on allekirjoittamatta (8. tammikuuta 2023).

DNSSEC:n rajallinen käyttöönotto maailmanlaajuisesti voi johtua osittain siitä, että kaikki vaatimustenmukaisuustodistukset eivät ole velvoittaneet sitä. Voi myös olla, että verkkotunnusten omistajat ja järjestelmänvalvojat ovat hyväksyneet DNSSEC:n käyttämättä jättämiseen liittyvän riskitason, koska heillä voi olla vaihtoehtoisia turvatoimia riskeiltä suojautumiseksi.

DNSSEC ja kyberturvallisuusriskit

DNSSEC tarjoaa suojan useilta DNS-hyökkäyksiltä, mukaan lukien seuraavat:

  • DNS-huijaus ja DNS-välimuistin myrkytys, jossa DNS-ratkaisija palauttaa vääriä tietoja, kuten hyökkääjän haitallisen verkkosivuston.
  • DNS-kaappaus, jossa hyökkääjä ohjaa kyselyn uudelleen.
  • Väliintulohyökkäykset (joita kutsutaan joskus väliintulohyökkäyksiksi tai väliintulohyökkäyksiksi), joissa hyökkääjä sieppaa viestintää ja mahdollisesti muokkaa tietoja siirron aikana. Väliintulohyökkäykset ovat rajoitettuja DNSSEC-vahvistuksen vuoksi, koska hyökkääjä ei voi allekirjoittaa sieppaustaan tarvittavalla avaimella.

DNS-suojauslaajennusten tarjoama todennus ja validointi lisää suojaa tiettyjä hyökkäystyyppejä vastaan, mutta se ei ole lopullinen kyberhyökkäysten estostrategia. Esimerkiksi julkisen avaimen infrastruktuuri (PKI) verkossa, kuten SSL/TLS-varmenteet, auttaa suojaamaan verkkosivustoja ja parantamaan käyttäjien luottamusta vierailemaansa verkkosivustoon, joten verkon PKI syrjäyttää joskus DNSSEC:n tarpeen. DNSSEC kuitenkin suojaa verkkotunnuksen omistajaa hyökkääjän huijaushyökkäykseltä. DNSSEC:n yhdistäminen verkko-PKI:hen tarjoaa täydentäviä suojaustaktiikoita sekä järjestelmänvalvojan että käyttäjän mielenrauhan takaamiseksi.

DNSSEC tarjoaa myös suojauksen, joka voi auttaa suojaamaan DNS-tunneloinnilta, mutta se ei suoraan estä tietosisällön liitteitä DNS-kyselyihin. DNSSEC ei myöskään suojaa palvelunestohyökkäyksiltä tai kirjoitusvirheiltä, joten on tärkeää ottaa käyttöön erilaisia suojaustekniikoita, jotka ottavat huomioon hyökkäystyyppien laajuuden.

Koska DNSSEC luo allekirjoitetun vyöhykkeen verkkotunnuksellesi, se voi paljastaa kaikki allekirjoitetun vyöhykkeen aliverkkotunnukset. Vaikka jotkin vyöhyketiedot ovat hyvänlaatuisia (useimmilla verkkosivustoilla odotetaan olevan esimerkiksi [.rt-script]www[.rt-script]-aliverkkotunnus), utelias hakkeri voi tarkastaa kaikki yksityiset kirjautumissivut tai sisäiset aliverkkotunnukset ja ehkä hyökätä niiden kimppuun. DNS-vastaustiedot voidaan tarkistaa sekä verkkotunnuksen pää- että alivyöhykkeillä.

DNSSEC:n määrittäminen

DNSSEC-määritys tapahtuu verkkotunnuksen tarjoajan tasolla. Verkkotunnuksen omistaja ja kaikki palveluntarjoajat ovat mukana DNSSEC-prosessissa: verkkotunnuksen omistaja, verkkotunnuksen rekisteröijä, verkkotunnusrekisteri ja DNS-palveluntarjoaja. Sekä rekisterinpitäjän että rekisterin on tuettava DNSSEC:tä.

DNSSEC-määritysprosessi sisältää kolme tehtävää:

  1. Määritä DNSSEC DNS-isännöintipalveluntarjoajan kanssa ja luo tarvittavat tietueet.
  2. Aktivoi tietueet toimialueen rekisteröijän kanssa (joissakin tapauksissa isännöintipalveluntarjoaja ja toimialueen rekisteröijä voivat olla sama organisaatio, kuten Cloudflare).
  3. Ota allekirjoituksen vahvistus käyttöön DNS-palvelimissa.

DNSSEC-toteutuksen resurssitietueita ovat IP-osoitteesi [.rt-script]A[.rt-script]- tai [.rt-script]AAAA[.rt-script]-tietueet, [.rt-script]DNSKEY[.rt-script]-tietue, [.rt-script]DS[.rt-script]-tietue delegoinnin allekirjoittajalle ja [.rt-script]RRSIG[.rt-script]-tietue. Jos haluat luoda [.rt-script]DS[.rt-script]-tietueen toimialueen rekisteröijän kanssa, tarvitset myös DNS-vyöhykkeesi avainallekirjoitukset, yleensä avaimen allekirjoitusavaimen (KSK) ja vyöhykkeen allekirjoitusavaimen (ZSK), sekä avaintunnisteen, algoritmin, koostetyypin ja koosteen.

Verkkotunnusten rekisteröijät ja isännöintipalveluntarjoajat tarjoavat usein DNSSEC:n tukidokumentaatiota. Voit etsiä suoraan palveluntarjoajan dokumentaatiosta tai käyttää näitä linkkejä suosittuihin palveluntarjoajiin:

  • Amazon Web Services (AWS): DNSSEC-allekirjoituksen määrittäminen Amazon Route 53:ssa
  • Cloudflare: Ota DNSSEC käyttöön
  • dnsimple: DNSSEC-opas
  • GoDaddy: DNSSEC:n laittaminen päälle tai pois päältä
  • Google Domains: DNSSEC:n ja DNS-suojauksen määrittäminen
  • Squarespace: Nimipalvelimet ja DNSSEC Squarespacen hallinnoimille verkkotunnuksille

Microsoft Azure ei kuitenkaan tällä hetkellä tue DNSSEC:tä.

Jatkuva valvonta voi auttaa sinua seuraamaan tietoturvatoteutuksiasi, mukaan lukien DNSSEC-määritysten nykyistä tilaa.

Muiden konfigurointiriskien ja ohjelmistohaavoittuvuuksien lisäksi UpGuard BreachSight skannaa ulkoisen hyökkäyspinnan arvioidakseen DNS-määritysasetukset. DNS:ään liittyvistä havainnoista BreachSight antaa kaksi ilmoitusta:

  • DNSSEC ei ole käytössä
  • DNS-portti auki

DNSSEC ei ole käytössä etsimässä raportteja, joiden mukaan toimialueen käyttöönottoa ei ole määritetty DNSSEC:llä. Määritä DNSSEC, jotta voit todentaa DNS-pyyntöjen vastaukset ja varmistaa, että käyttäjille palautetaan vain valtuutetut ratkaisut. Sisällyttämällä DNSSEC:n verkkotunnuksen määrityksiin voit estää hyökkääjiä lisäämästä omaa verkkotunnustaan DNS-selvityksen aikana.

Jos saat DNS-portin auki -löydöksen, palvelimesi ei ole suojannut DNS-porttia julkisilta uhilta, kuten DNS-välimuistin myrkytykseltä, vastakkainasetteluhyökkäyksiltä tai DNS-huijaukselta. DNS käyttää porttia [.rt-script]53[.rt-script] sekä UDP- että TCP-yhteydelle. Riskilöytösi UpGuardissa tunnistaa, mitä porttia DNS kuuntelee, jos se on alttiina julkiselle internetille. Voit estää DNS:n hyväksikäytön sulkemalla portin julkiseen Internetiin. Jos sinun on ylläpidettävä jonkin verran pääsyä julkisen Internetin ja DNS-palvelusi välillä, harkitse säännöllisesti ylläpidettyjen kovennettujen palvelimien käytön rajoittamista ja DNSSEC:n käyttöönottoa vyöhykkeen suojaamiseksi. Muista, että DNSSEC voi paljastaa aliverkkotunnuksesi arkkitehtuurin.

>

Nykyiset UpGuard-käyttäjät voivat kirjautua sisään ja käyttää riskiprofiiliaan BreachSightissa arvioidakseen, vaikuttavatko nämä DNS:ään liittyvät havainnot heidän organisaatioonsa. Lisätietoja muista palveluista, jotka UpGuard tunnistaa porttitarkistuksen avulla, on tukiartikkelissamme Mitä palveluita UpGuard tunnistaa porttien skannauksella.