本APNIC文摘原標題為Why don’t we have DNS-security policy for context-full threat protection?,由資深網路安全工程師Asad Ali撰文。

網際網路是在無條件互信的基礎上誕生的。也因此,即使面臨的安全威脅逐年增長,手法更是花樣百出,網際網路納用安全措施的速度仍相對緩慢,而網域名稱系統(Domain Name System,DNS)更是慢中之慢的最佳範例。

本文作者對此情形有感而發,特地以DNS重新綁定(DNS rebinding)攻擊為例,深入剖析DNS架構如何缺乏全方位、顧及所有脈絡的安全對策,並提出建議的解決方案。

DNS重新綁定攻擊近年來益發常見,透過這種攻擊手法,駭客得以進入受害者的網路,並進一步入侵與控制同一網路所連結的裝置。最常見的DNS重新綁定攻擊手法中,駭客首先會將受害者誘導至事前設下的陷阱網站,並設定極短的網站DNS伺服器存活時間(time to live,TTL),同時在受害者的瀏覽器中植入一個惡意的Java Script。

由於網站的DNS TTL非常短(通常只有1秒),受害者裝置中的瀏覽器幾乎馬上就需要再次送出DNS查詢。這會觸動植入瀏覽器的惡意Java Script,並把DNS查詢偷換成與內部的網頁伺服器位址綁定,就此完成未來連入此裝置的跳板。一旦此步驟成功,後續駭客就可直接繞過防火牆、閘道甚至瀏覽器等安全關卡,長驅直入受害裝置。

作者指出,DNS重新綁定攻擊之所以容易成功,是因為現有的信任模型中,各系統、軟體服務和負責處理訊務的作業端之間,存在技術落差。另一方面,DNS是網際網路信任基礎中的基礎,可說是無條件互信的終極對象。即使是DNS專屬的安全技術「DNS安全擴充程式」(DNS Security Extension,DNSSEC),也只能防止駭客中途攔截假冒目的地,完全無法防衛DNS重新綁定攻擊。

作者認為,最重要的問題在於DNS中缺乏負責安全政策的單一權威來源,也無法統整、連貫管理網際網路中的網頁伺服器和本地瀏覽器。確認DNS伺服器是否素行良好不應是任何單一網路管理者的責任,作者主張應有一個貫徹DNS安全政策的機制,其中決策和執行單位分別獨立負責,如網路服務層級的WS-security 政策就是很好的範例。

作者提議,為達成這個目標,應建立一個可由統一的政策系統施行、非廠商導向的解決方案。在此同時,市面上的各種安全解決方案,如防火牆等,也將相得益彰,進一步提升整體的DNS安全意識。在此方案下,瀏覽器若在DNS解析過程中遇到可疑情形,就可以馬上啟動電腦防火牆或通知使用者的本地路由,及時阻斷惡意訊務或駭客攻擊。

最後,作者強調,今天的網際網路和過去大相逕庭,不再只是單純的客戶端和伺服器互傳訊息,而是多個系統主機、裝置互相蒐集、傳輸訊息,其中還要經過雲端。隨著物聯網逐步從願景變成現實生活,不只是一般家庭的智慧冰箱或電燈,更嚴重的,是關鍵基礎建設,如油廠、發電廠的安全感測器或溫度閥門,隨時可能淪為網路攻擊的目標。

只有單點的安全方案無法解決這種系統性的問題。我們需要的,是從設計、技術、協定及標準入手,打造全方位、無死角的網路安全對策。而DNS安全也同等適用此概念。作者提醒大家,若繼續無視此威脅,也不設法推動DNS安全進化,對未來世代的網路,尤其是物聯網,帶來的傷害將遠高於益處。

*台灣網路資訊中心(TWNIC)與亞太網路資訊中心(APNIC)合作,定期精選APNIC Blog文章翻譯摘要,提供中心部落格讀者了解目前亞太地區網路發展之最新趨勢。原文標題為Why don’t we have DNS-security policy for context-full threat protection?

圖片來源:APNIC網站

Scroll to Top