Android

Open Source-prosjektet har som mål å sikre sikker DNS-enklere

What is DNS and How Does It Work?

What is DNS and How Does It Work?
Anonim

En gruppe utviklere har gitt ut åpen programvare som gir administratorer en mulighet til å gjøre internets adressesystem mindre utsatt for hackere.

Programvaren, kalt OpenDNSSEC, automatiserer mange oppgaver knyttet til implementering av DNSSEC (Domain Name System Security Extensions), som er et sett et sett med protokoller som tillater DNS (Domain Name System) poster å bære en digital signatur, sa John A. Dickinson, en DNS-konsulent som jobber med prosjektet.

DNS-poster tillater at nettsteder oversettes fra et navn til en IP-adresse (Internet Protocol), som kan forespørres av en datamaskin. Men DNS-systemet har flere feil som daterer seg fra det opprinnelige designet som blir stadig mer målrettet av hackere.

[Videre lesing: Slik fjerner du skadelig programvare fra din Windows-PC]

Ved å manipulere med en DNS-server er det mulig for en brukeren skriver inn riktig nettside navn, men blir rettet til et falskt nettsted, en type angrep kalt cache forgiftning. Det er en av mange bekymringer som driver en bevegelse for Internett-leverandører og andre enheter som kjører DNS-servere, for å bruke DNSSEC.

Med DNSSEC er DNS-poster kryptografisk signert, og disse signaturene er verifisert for å sikre at informasjonen er nøyaktig. Vedtaket av DNSSEC har imidlertid blitt holdt tilbake av både kompleksiteten av implementering og mangel på enklere verktøy, sa Dickinson.

For å signere DNS-poster bruker DNSSEC offentlig nøkkelkryptografi, hvor signaturer opprettes ved hjelp av en offentlig og privat nøkkel og implementert på et sone nivå. En del av problemet er styring av disse nøklene, siden de må oppdateres regelmessig for å opprettholde et høyt sikkerhetsnivå, sa Dickinson. En feil i å administrere disse nøklene kan forårsake store problemer, noe som er en av utfordringene for administratorer.

OpenDNSSEC gjør at administratorer kan lage retningslinjer og deretter automatisere styringen av nøklene og signere postene, sa Dickinson. Prosessen innebærer nå mer manuell innblanding, noe som øker sjansen for feil.

OpenDNSSEC "sørger for at sonen forblir signert riktig og korrekt i henhold til politikken permanent," sa Dickinson. "Alt dette er helt automatisert, slik at administratoren kan konsentrere seg om å gjøre DNS og la sikkerheten fungere i bakgrunnen."

Programvaren har også en nøkkellagringsfunksjon som lar administratorer holde nøkler i enten en maskinvare- eller sikkerhetsprogrammodul, et ekstra lag med beskyttelse som sikrer at nøklene ikke ender i feil hender, sa Dickinson.

OpenDNSSEC-programvaren er tilgjengelig for nedlasting, selv om den blir tilbudt som en forhåndsvisning av teknologi og ikke skal brukes enda i produksjon, sa Dickinson. Utviklere vil samle tilbakemelding på verktøyet og slippe forbedrede versjoner i nær fremtid.

Fra og med i år ble de fleste toppnivå domener, som de som endte i ".com", ikke kryptografisk signert, og heller ikke de I DNS-rotsonen er hovedlisten over hvor datamaskiner kan gå for å slå opp en adresse i et bestemt domene. VeriSign, som er registret for ".com", sa i februar at det vil implementere DNSSEC på toppdomener, inkludert.com innen 2011.

Andre organisasjoner beveger seg også mot å bruke DNSSEC. Den amerikanske regjeringen har forpliktet seg til å bruke DNSSEC for sitt ".gov" -domener. Andre ccTLDs (landskode Top Level Domains) operatører i Sverige (.se), Brasil (.br), Puerto Rico (.pr) og Bulgaria (.bg) bruker også DNSSEC.

Sikkerhetseksperter hevder at DNSSEC skal brukes snarere enn senere på grunn av eksisterende sikkerhetsproblemer i DNS. En av de mer alvorlige ble avslørt av sikkerhetsforsker Dan Kaminsky i juli 2008. Han viste at DNS-servere raskt kunne fylles med unøyaktig informasjon, som kunne brukes til en rekke angrep på e-postsystemer, programvareoppdateringssystemer og passord gjenopprettingssystemer på nettsteder.

Selv om midlertidige patcher er utplassert, er det ikke en langsiktig løsning, siden det bare tar lengre tid å utføre et angrep, ifølge et vitbok som ble publisert tidligere i år av SurfNet, en nederlandsk forsknings- og utdanningsorganisasjon. SurfNet er blant OpenDNSSECs støttere, som også inneholder ".uk" -registret Nominet, NLnet Labs og SIDN, ".nl" -registret.

Med mindre DNSSEC brukes, "grunnleggende feilen i Domain Name System - det der Det er ingen måte å sikre at svar på spørringer er ekte - gjenstår, sier avisen.