DNS postittua kyyhkysillä: Täysin absurdin protokolla­pinon ylistys

Aloitetaan tunnustuksella: käytin aivan liian paljon aikaa lukemalla IETF:n luonnosta otsikolla "DNS over Avian Carriers" enkä kadu mitään.

Jos et ole törmännyt, IETF on se organisaatio, joka vastaa internetin teknisten standardien kehittämisestä. Heidän dokumenttinsa ovat tyypillisesti tiheitä, metodisia ja vakavia. Siksi kun törmää luonnokseen, joka vakavissaan ehdottaa kotkapäisten kyyhkysten käyttöä hostname-resoluutioon, kiinnittää huomiota — ei siksi että se olisi käytännöllinen, vaan koska se paljastaa jotain kiehtovaa siitä, miten verkkoprotokollia ylipäätään ajattelemme.

Protokolla, jonka aikajana meni rikki

Tarina alkaa vuonna 1990, jolloin RFC 1149 esitteli IP over Avian Carriersin (IPoAC). Jep, IETF julkaisi virallisen spesifikaation IP-pakettien lähettämisestä kuriiripigeonien avulla. Dokumentti sisältää paketinhukkariskiarvioita ("noin 55 % painottamattomana") ja latenssilaskelmia. Sitä päivitettiin vuonna 2001 (RFC 2549, palvelunlaadun tuki) ja uudelleen vuonna 2011 (RFC 6214, IPv6-yhteensopivuus).

Nämä eivät olleet vitsejä. Kyseessä olivat legitiimit kokeelliset protokollat, täydellisinä toteutuksina ja todellisilla testauksilla. Yliopistot ja hakkeriryhmät ovat oikeasti ottaneet käyttöön pigeon-pohjaisia verkkoja huvin ja oppimisen vuoksi.

Mutta tässä on ongelma: kolmen vuosikymmenen ajan tällä protokolla­pinolla oli valtava aukko. IP-paketteja saattoi lähettää kyyhkysillä, mutta domaineja ei voinut resolvoida. Ilman DNS:ää jokainen kohde piti koodata suoraan IP-osoitteena linnulle. Kuvittele selittäväsi verkko-operaattoreille, että uuden palvelimen lisääminen vaati kyyhkysten uudelleenkoulutusta.

DoAC astuu esiin: DNS linnuille

DoAC-luonnos yrittää ratkaista tämän tyypillisellä teknisen vakavuudella. Se määrittelee:

• Viestiformaatit DNS-kyselyille ja -vastauksille, jotka voidaan kiinnittää kyyhkysiin
• AA (Avian Authority) -resurssitietueen sijaintitietojen julkaisuun
• Uudelleenlähetyskäyttäytymisen ennakoimattoman lintukuljetuksen huomioimiseksi
• Bootstrap-toimintatavat, mukaan lukien "Viimeisen vaihtoehdon kyyhkynen" ensimmäistä resolveria varten

Huomion kiinnittäminen yksityiskohtiin on aidosti vaikuttavaa. Kohta 5.2 käsittelee "Resolver Discovery Without Prior State" -aihetta ja myöntää, ettei ensimmäinen kyyhkynes voi tietää, mistä DNS-palvelin löytyy, koska DNS:ää ei ole kyselyn tekemiseen. Ratkaisu? Ennalta määritetty hätäkyyhky.

Tietoturva­näkökohdat, jotka kuulostavat luonto­dokumentilta

Siinä missä DoAC todella loistaa, on sen tietoturva-analyysi. Luonnos tunnistaa uhkia:

• Haukka-välissä-hyökkäykset (Hawk-in-the-Middle), joissa petolintu kaappaa kyselysi kesken lennon
• KyyhkynenSpoofing ja ehdotettu ratkaisu: "Höyhenpohjainen autentikointi"
• Siippaan kaappaus, jossa hyökkääjä ottaa kohteesi haltuunsa
• Lentokieltohyökkäykset (DoF) — käytännössä DDoS, mutta linnuille
• Nälkäinen kissa fyysisenä kerroksen uhkana (otsikko kertoo kaiken)
• Uudelleentoistohyökkäykset täytetyn kuriiripigeonin avulla (joku lähettää kuolleen kyyhkysen vanhoilla välimuistivastauksilla)

Maksaisin oikeasti rahaa nähdäkseni, kun joku red team yrittää hyödyntää näitä hyökkäysvektoreita.

Mitä tämä oikeasti opettaa

Tässä on pointti absurdeista teknisistä dokumenteista: ne ovat usein opettavaisempia kuin järkevät. DoAC pakottaa kohtaamaan oletuksia, joita et edes tajunnut tekeväsi.

Kun käytät DNS:ää tänään, luotat implisiittisesti siihen, että:

• ISP:n resolverit eivät valheta sinulle
• Paketteja ei siepata tai muokata matkalla
• Palvelimet ovat käytettävissä tarvittaessa
• Fyysinen infrastruktuuri ei romahda

DoAC tekee kaikista näistä implisiittisistä luottamuksista eksplisiittisiä — ja naurettavia. Kyyhkysverkko ei ole järkevä tuotantoympäristöissä, mutta sen suunnittelu paljastaa, kuinka paljon riippumme infrastruktuurista, jonka otamme itsestäänselvyytenä.

Varsinainen opetus

Tässä on opetus kehittäjille, jotka rakentavat nykyaikaisia järjestelmiä — etenkin niille, jotka työskentelevät edge-laskennan, mesh-verkkojen tai katkonaisen yhteyden parissa:

Jokainen protokolla olettaa taustalla tietynlaisen kuljetusmekanismin. Kun nämä ominaisuudet muuttuvat, tarvitset uusia protokollia.

DNS TCP/IP:n päällä olettaa luotettavaa, nopeaa paketinkuljetusta. DNS kuriiripigeonien päällä olettaa... no, että paketit saapuvat joskus, ehkä. DoAC ei ole pelkkä vitsi — se muistuttaa, että "aina päällä, matala latenssi, korkea luotettavuus" on luksusta, ei vakiovaltio.

Startupeille, jotka rakentavat sovelluksia nouseville markkinoille, maaseudulle tai katastrofiskenaarioihin, näiden trade-offien ymmärtäminen on merkityksellistä. IETF käytti 30 vuotta pohtimalla, mitä tapahtuu kun verkkosi on parvellinen kyyhkysiä. Tämä työ saattaa olla relevantimpaa kuin arvaatkaan.

Löysitkö joskus protokollan, joka sai sinut kyseenalaistamaan käsityksesi verkottumisesta? Jaa suosikki-absurdi RFC kommenteissa. Ja jos löysit täytetyn kyyhkysen DNS-tietueilla, kerro miten kävi.