DNSFS: İnternetin En Ürkütücü Depolama Hilesi

Şimdi şöyle bir senaryo hayal edin: Dosyalarınızı AWS S3'te veya süper bir dağıtık veritabanında tutmak yerine, tüm internet genelindeki sunucuların DNS önbelleklerinin içine gizleseniz. Verileriniz literal olarak dünyanın dört bir yanında, size ait olmayan cihazlarda, muhtemelen varlığından bile haberdar olmadığınız çözümleyicilerde parça parça dolaşıyor olur.

Siber punk romanlarından fırlamış gibi değil mi? İşin ilginç tarafı, bunu gerçekten yapan birileri var.

Her Şeyin Başladığı DNS Önbellek Keşfi

işin garip kısmına geçmeden önce, çoğu geliştiricinin göz ardı ettiği bir konuya değinelim: DNS TTL'leri. Bir alan adını sorguladığınızda, çözümleyici o sonucu belirli bir süre önbelleğinde tutar ve sonra tekrar kontrol eder. Çoğumuz bunun en fazla birkaç dakika veya saat sürdüğünü varsayıyoruz.

Ama işte asıl ilginç nokta: Bazı çözümleyiciler, kendilerinden düzgünce isterseniz, girişleri bir hafta boyunca önbelleğinde tutmaktan memnuniyet duyar.

Bu keşif, ilginç bir soruyu beraberinde getirdi: Eğer DNS önbellekleri bu kadar uzun süre veri tutabiliyorsa, kasıtlı olarak dosyaları içlerinde saklayamaz mıyız? Sadece alan adı sorguları değil, gerçek veriler?

Cevap şaşırtıcı bir şekilde evet.

Karşınızda DNSFS: Göz Önünde Saklanan Dosya Deposu

DNSFS, ICMP ping paketlerinin yük kısımlarında veri depolayan eski bir hack olan PingFS'den ilham alıyor. PingFS'in sorunu neydi? Verileri canlı tutmak için paketleri sürekli ileri geri pinglememiz gerekiyordu. İletimi bıraktığınız an, verileriniz de yok oluyordu.

DNSFS bu konsepti dramatik şekilde geliştiriyor. DNS çözümleyicileri cevapları önbelleğe aldığından, bir veri parçasını çözümleyicinin önbelleğine bir kez yerleştirdiğinizde, sürekli olarak sorgulamanıza gerek kalmadan kalıcı hale geliyor. Çözümleyici sizin yerinize çalışıyor.

Bunu bir an için düşünün. Başkalarının altyapısını, bilgileri olmadan, dağıtık ve yedekli bir dosya depolama sistemi olarak kullanıyorsunuz.

Gerçekte Nasıl Çalışıyor?

Teknik uygulama, bir o kadar da zekice ve rahatsız edici.

Bunu çalıştırmak için açık DNS çözümleyicilere ihtiyacınız var — yalnızca yetkili oldukları alanlar için değil, herhangi bir alan için sorguları yanıtlayan sunucular. Teknik olarak, bunlar genel internetten erişime kapatılmalıydı çünkü DDoS yansıtma riski taşıyorlar. Ama işte mesele şu: Milyonlarca cihaz, yanlış yapılandırılmış DNS hizmetleriyle sevk ediliyor ve bunlar neredeyse her yerden ulaşılabilir durumda.

Sistem şu şekilde çalışıyor: Dosyalar küçük parçalara bölünüyor, DNS sorgularına kodlanıyor ve internet üzerinden dağıtılıyor. Her sorguyu alan ve önbelleğine alan çözümleyici, artık dosyanızın bir parçasını tutmuş oluyor. Verileri geri almak için aynı çözümleyicileri sorgulayıp parçaları yeniden birleştirmeniz yeterli.

Bu sistemin güzelliği (ve dehşeti), verilerin TTL süresi dolana kadar önbellekte kalması — sürekli bağlantı gerekmiyor.

Açık Çözümleyicileri Tarama

İşte burası hem etkileyici hem de biraz tedirgin edici hale geliyor.

DNSFS oluşturmak için internet genelinde açık çözümleyiciler bulmak gerekiyor. Bu, milyarlarca IP adresini tarayarak hangilerinin rastgele alanlar için DNS sorgularını yanıtlayacağını belirlemeyi gerektiriyor.

Bir geliştirici, masscan'ı akıllıca BPF (Berkeley Packet Filter) kurallarıyla birleştirerek yalnızca işe yarar çözümleyicileri verimli şekilde tespit etti — yetkili-only sunucuları ve diğer gürültüyü filtreleyerek. Sonuç? Dünya genelinde yaklaşık 4 milyon açık DNS çözümleyici.

Coğrafi dağılım oldukça dikkat çekici. Çin, 1.4 milyonun üzerinde açık çözümleyiciyle başı çekiyor, ardından Amerika Birleşik Devletleri, Güney Kore, Rusya ve Brezilya geliyor. Ama daha ilginç metrik şu: İnternet kullanıcı başına normalize ettiğinizde, Saint Kitts ve Nevis gibi küçük ülkelerde çözümleyici yoğunluğu dikkat çekici derecede yüksek — yaklaşık her 51 kişiye bir çözümleyici düşüyor.

Neden Önemli (Sadece "Vay be" Dışında)

Netleştirelim: DNSFS kesinlikle bir üretim depolama çözümü değil. Yavaş, güvenilmez, tamamen denetimsiz ve argüman olarak bir güvenlik kabusu. Açık çözümleyiciler için kapsamlı internet taraması yapmak da rıza ve ağ sınırları konusunda ciddi etik soruları gündeme getiriyor.

Ama mesele bu değil.

DNSFS, ağ sistemleri anlayışımızı ilerleten yaratıcı, sınırları zorlayan düşünceyi temsil ediyor. İnternette ne kadar yanlış yapılandırılmış altyapı olduğunu ortaya koyuyor ve güvenlik sertleştirme konusunda önemli konuşmaları tetikliyor. Dağıtık sistemlerde önbelleğe alınan verilerin şaşırtıcı kalıcılığını gösteriyor. Ve görünüşe göre katı protokollerin beklenmedik şekillerde yeniden kullanılabileceğini kanıtlıyor.

Aynı zamanda internetin çoğumuzun sandığından çok daha dağınık olduğunu hatırlatıyor. Bu milyonlarca açık çözümleyici mi? Ev yönlendiricilerinde, IoT cihazlarında, kurumsal ekipmanlarda ve daha bir sürü yerde çalışıyorlar. Çoğu yönetici, DNS hizmetlerinin dışarıdan erişilebilir olduğundan habersiz.

Geliştiriciler İçin Çıkarım

DNSFS yakın zamanda uygulama verilerinizi depolamayacak, ama değerli dersler sunuyor:

Protokoller sadece başlangıç noktaları. DNS, alan adı çözümlemesi için tasarlandı. Bu, onun sadece bu amaçla sınırlı olduğu anlamına gelmiyor.

Güvenlik varsayımları önemli. Açık çözümleyiciler, birileri bir şeyi yanlış yapılandırdığı için var. Altyapınızın maruz kalma durumunu her zaman denetleyin.

Yaratıcı kısıtlamalar yenilik doğurur. En iyi hileler genellikle beklenmedik sınırlar içinde çalışmaktan doğar. DNSFS, "ya çözümleyiciyi depolama alanı olarak kullansak?" diye soran biri sayesinde var.

İnternet, çoğumuzun sandığından çok daha tuhaf ve şekillendirilebilir bir yer. Bazen en ilginç sistemler, aslında hiç çalışmaması gerekenler oluyor.

Garip protokol istismarları veya yaratıcı altyapı hileleriyle karşılaştınız mı? NameOcean ekibi, geliştiricilerin teknolojiyi sınırlarına kadar zorlamasının en sevdiğimiz yanı.