為何我們需要DNSSEC?

ICANN(Internet Corporation for Assigned Names and Numbers)是全球網域名稱系統(Domain Name System,DNS)的管理者,其使命之一便是「維護DNS的安全、穩定及靈活性」。為履行這個使命,ICANN始終從多個面向盡力維護DNS的安全,除了防治域名濫用等相關努力,ICANN也希望從根本,也就是DNS基礎建設上保護全球DNS使用者的安全。網域名稱系統安全擴充程式(Domain Name System Security Extension,DNSSEC)就是這樣的技術,但DNSSEC要發揮功能,實質上保護DNS與使用者,仍須仰賴相關方共同的努力。

有鑑於此,ICANN技術長辦公室(Office of the Chief Technology Officer,OCTO)特地發布《DNSSEC:保護DNS的安全》報告(DNSSEC: Securing the DNS),說明DNSSEC如何運作、DNSSEC的好處,以及如何建置DNSSEC,期能進一步推動DNSSEC全球部署普及率,加強DNS的安全、穩定及靈活性。

什麼是DNSSEC

任何使用網際網路或連網裝置的人,無論是否知情,都會使用到DNS。以最簡化的概念來解釋,DNS的任務是透過搜尋(lookup)或解析(resolution)的自動化流程,配對人腦容易記得的域名(如example.com)和電腦使用但人類難以記住、由數字組成的網際網路協定(Internet Protocol,IP)位址(如192.0.2.189或2001:DB8:107A:61F7),藉此將使用者送達正確目的地。

我們也可將DNS理解為網際網路上的路標:有了路標,我們才知道如何循路前往目的地。但是,若有惡意人士刻意置換路標或更改路標方向,我們就會走錯路,甚至可能到達危險的地方。DNSSEC可以防止上述情形發生,確保我們不會偏離正確的道路。

DNSSEC如何運作

當一個人或組織註冊取得域名後,這個人或團體就會成為這筆域名的註冊人。透過DNSSEC,註冊人可以數位簽署持有域名的相關資訊,在此同時,來自其他客戶端(如使用者網頁瀏覽器)的查詢在取得回應後,也會因為回應中含有註冊人的數位簽章,從而確認回應正確無誤,沒有中途被人掉包偷換過。

2010年,ICANN在DNS根區(Root Zone)啟動DNSSEC,從此以後所有根區的資料都含有DNSSEC數位簽章。照理而言,此舉應能進一步促使全球的DNSSEC部署,但直至10年後的今天,全球DNSSEC部署率仍相當低迷

建置DNSSEC的好處

啟用DNSSEC到底有哪些好處?OCTO報告中列出以下幾點:

  • 保護網際網路:保護DNS資料就是保護DNS,而DNS是網際網路的骨幹,因此DNSSEC也保護了網際網路。
  • 保護使用者:DNSSEC確保使用者收到的域名資料並未經過變造。換句話說,有了DNSSEC,使用者若想在網站上觀覽內容或取得服務,他們能成功到達欲前往的網站。
  • 保護企業、組織或政府:有了DNSSEC,企業組織可以確保使用者正確抵達自己的網站,而不被誤導至其他假冒或偽造的網頁。
  • 促進創新:透過數位簽章,DNSSEC確保DNS資料正確無誤,因此安全可信。越多人使用DNSSEC,就越能保證全球DNS資料庫正確、值得信賴。越多人信任網際網路的安全,就越多人願意在此基礎上創新,發明新技術、服務或功能。舉例而言,DANE(DNS-based Authentication of Named Entitie)憑證技術就是利用DNSSEC驗證的安全資料,解決網際網路安全連線的其中一個弱點。

如何實際使用DNSSEC

粗略而言,DNS包含兩個面向:發布(publish)與查詢(lookup,也就是解析/ resolution)。發布由註冊人(或代理人)負責,查詢則由網路營運方,如網際網路服務供應業者(Internet Service Provider,ISP)執行。要實現DNSSEC真正的效益,雙方都必須啟用DNSSEC。

以域名持有人的面向而言,註冊人必須確保註冊域名的DNS資料有DNSSEC簽章。以前這個步驟一般人很難自己操作,也因此常有錯誤狀況出現。然而隨著時代演進,現在許多受理註冊機構或ISP提供包含DNSSEC的服務套裝,或代理DNSSEC的加值服務,註冊人只須提供必要資料,後續操作就可直接交給專業人士處理。

在網路營運業者方面,則僅須在解析器開啟DNSSEC驗證就大功告成。現在大部分的解析器軟體也都預設啟動DNSSEC功能。

為何DNSSEC全球部署率始終無法提升

根據APNIC首席科學家Geoff Huston今(2020)年3月發表的部落格文章(DNSSEC validation revisited),截至今年2月為止,全球的DNSSEC部署率約仍只有3成,3成中更有3分之1屬於僅「部分部署」的使用者。

如前所述,自ICANN於DNS根區啟用DNSSEC起,至今已長達10年。如果DNSSEC真如ICANN說的那麼好,為什麼過了這麼久還無法普及?Geoff在他的文章中分析原因,提出三點常見的DNSSEC缺點。

首先,對DNS區域(zone)管理人員而言,安裝DNSSEC只是多了個「不知何時會出錯」的不確定因素。DNSSEC不只會讓DNS回應封包變大,進而增加傳輸錯誤的機率,要求「驗證簽名」的額外步驟也會拉長回應和處理DNS查詢的時間。

不僅如此,很多人認為DNSSEC並未真正解決「確保DNS回應未被變造」的問題:大部分的終端系統都沒有親自執行DNSSEC,而是仰賴DNS解析器幫他們執行。這表示用戶端解析器(stub resolver)和負責驗證的解析器之間,仍充分可能發生中間人攻擊(Man-in-the-Middle Attack,MitM)。

最後,未通過DNSSEC的DNS查詢回應也只會回傳「SERVFAIL」訊息。收到訊息的遞迴解析器根本不會知道這代表回應未通過驗證,只會繼續嘗試向其他授權伺服器送出一樣的查詢。

一言以蔽之,DNSSEC作為一個安全技術並不完善,而且安裝成本遠高於效益。這也是許多業者對此技術卻步的原因。

針對類似抱怨,OCTO報告中也回應,部署DNSSEC的成本及風險已經隨著技術發展大幅減低,而且唯有越來越多的網路啟用DNSSEC,才能真正發揮DNSSEC的保護效用,進一步確保網際網路的安全。報告中也建議讀者反向思考:都已經花力氣把資料放進DNS了,為何不再多花點力氣確保這些資料的安全呢?

OCTO的使命是推廣、鑽研ICANN負責管理的單一識別碼系統(unique identifier system)相關知識,並持續加強ICANN的技術深度。OCTO所有發布過的研究報告,都可在ICANN網站中的OCTO出版頁面中找到。

圖片來源:freepik

Leave a Comment

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

Scroll to Top