Problem DNS, o którym mało kto mówi

Większość dyskusji o bezpieczeństwie DNS skupia się na tym, co widzi użytkownik – na szyfrowaniu zapytań między przeglądarką a resolverem. Tymczasem prawdziwe ryzyko często leży gdzie indziej.

Pomiędzy Twoim resolverem a serwerami autorytatywnymi istnieje odcinek, który zwykle pozostaje niezaszyfrowany. To właśnie tam, w tak zwanym „middle mile”, dane mogą zostać przechwycone lub podmienne.

Dlaczego to ma znaczenie w praktyce

Atakujący z dostępem do sieci może podsłuchiwać zapytania wysyłane do serwerów DNS Twojej domeny i wstrzykiwać fałszywe odpowiedzi. Skutki bywają poważniejsze niż się wydaje:

• przekierowanie ruchu zanim jeszcze dotrze do resolvera
• wyciek informacji o strukturze Twojej infrastruktury
• zatruwanie cache’a wpływające na wielu użytkowników naraz
• rozpoznanie wzorców ruchu przed atakiem DDoS

Dla firm korzystających z NameOcean to nie jest teoretyczne zagrożenie. DNS to dosłownie mapa Twoich usług. Jeśli ktoś ją zmieni, użytkownicy trafią gdzie indziej.

Jak branża próbuje to rozwiązać

Rozmowy na spotkaniach OARC pokazują, że szyfrowanie tego fragmentu komunikacji jest już na stole. Rozważane są dwa główne kierunki:

DoT dla zapytań autorytatywnych – TLS między resolverem a serwerem źródłowym, dostosowany do specyfiki tego ruchu.

DoH dla serwerów autorytatywnych – wykorzystanie HTTP/2 lub HTTP/3, co daje lepszą wydajność i łatwiejszą integrację z istniejącą infrastrukturą.

Trudność polega na tym, że każdy dodatek szyfrowania oznacza większe opóźnienia i większe obciążenie procesora. Przy resolverach obsługujących miliony zapytań na sekundę te koszty stają się realnym problemem.

Nie da się tego zrobić samemu

W przeciwieństwie do DoH czy DoT po stronie klienta, tutaj nie wystarczy decyzja jednej firmy. Potrzebna jest współpraca:

• operatorów serwerów autorytatywnych
• operatorów resolverów rekurencyjnych
• rejestratorów i dostawców hostingu
• całej reszty ekosystemu DNS

Twoja domena nie skorzysta z szyfrowania, dopóki wszystkie ogniwa w łańcuchu nie będą gotowe.

Co możesz zrobić już teraz

Jeśli hostujesz domeny w NameOcean, nie musisz czekać bezczynnie:

1. Śledź rozwój standardów – to nie jest kwestia „czy”, tylko „kiedy”
2. Regularnie sprawdzaj logi DNS pod kątem nietypowych zapytań
3. Włącz DNSSEC jako dodatkową warstwę ochrony
4. Korzystaj z analityki dostępnej w panelu, żeby wychwytywać anomalie

Co nas czeka

Rozmowy w OARC pokazują jedno: społeczność DNS rozumie problem i pracuje nad rozwiązaniem. Pytanie nie dotyczy już tego, czy szyfrowanie między resolverami a serwerami autorytatywnymi stanie się standardem, ale jak szybko to nastąpi i jak bardzo wpłynie na wydajność.

W NameOcean patrzymy na te zmiany z bliska. Nasze rozwiązania hostingowe, w tym Vibe Hosting, są projektowane z myślą o nadchodzących wymaganiach bezpieczeństwa. Twoja infrastruktura powinna działać niezawodnie – nawet wtedy, gdy większość użytkowników nie zdaje sobie sprawy, co dzieje się pod spodem.

Szyfrowanie DNS na całej trasie to kolejny krok w stronę naprawdę bezpiecznej infrastruktury domenowej. Warto wiedzieć, że ten temat jest już na agendzie.