{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"DNS-over-TLS (DoT) ja DNS-over-HTTPS (DoH) kasutamise riskide minimeerimine","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DNS-over-TLSDoH ja DoT kasutamise riskide v\u00e4hendamine<\/p>\n

Kaitse DoH ja DoT eest<\/h2>\n

Kas te kontrollite oma DNS-i liiklust? Organisatsioonid investeerivad palju aega, raha ja ressursse oma v\u00f5rkude turvalisusse. Kuid \u00fcks valdkond, millele sageli piisavalt t\u00e4helepanu ei p\u00f6\u00f6rata, on DNS. <\/p>\n

Hea \u00fclevaate DNS-i riskidest annab Verisign'i esitlus<\/a><\/noindex> Infosecurity konverentsil. <\/p>\n

\"DNS-over-TLS31% uuritud lunavarade klassidest kasutas DNS-i v\u00f5tmete vahetamiseks. Uuringu j\u00e4reldused<\/p>\n

31% uuritud lunavarade klassidest kasutas DNS-i v\u00f5tmete vahetamiseks.<\/p>\n

Probleem on t\u00f5sine. Palo Alto Networks Unit 42 uurimislabori andmetel kasutab ligikaudu 85% pahavara DNS-i juhtimise ja kontrollimise kanali loomiseks, v\u00f5imaldades kurjategijatel kergesti pahavara teie v\u00f5rku siseneda ning andmeid varastada. Alates oma loomisest on DNS-i liiklus enamasti olnud kr\u00fcpteerimata ja seda on kergesti anal\u00fc\u00fcsitud NGFW kaitsemeetmete abil. <\/p>\n

Ilmnes on uusi DNS-protokolle, mis on suunatud DNS-\u00fchenduste privaatsuse suurendamisele. Neid toetavad aktiivselt tuntud brauseritootjad ja teised tarkvarapakkujad. Kohe on ettev\u00f5tetes oodata kr\u00fcpteeritud DNS-i liikluse suurenemist. Kr\u00fcpteeritud DNS-i liiklus, mida ei anal\u00fc\u00fcsita n\u00f5uetekohaselt ja mis on lubatud, kujutab endast ettev\u00f5tte jaoks turvariski. N\u00e4iteks on selliseks ohuks kr\u00fcptolukustajad, kes kasutavad DNS-i \u0161ifrimiste v\u00f5tmete vahetamiseks. R\u00fcndajad n\u00f5uavad n\u00fc\u00fcd teie andmete taastamise eest mitme miljoni dollari suurust lunna. N\u00e4iteks maksis Garmin ettev\u00f5te 10 miljonit dollarit.<\/p>\n

\u00d5ige seadistusega NGFW-d v\u00f5ivad keelata v\u00f5i kaitsta DNS-over-TLS (DoT) kasutamist ning neid saab kasutada DNS-over-HTTPS (DoH) kasutamise keeldumiseks, v\u00f5imaldades anal\u00fc\u00fcsida kogu teie v\u00f5rgu DNS-i liiklust.<\/p>\n

Mis on kr\u00fcpteeritud DNS?<\/h2>\n

Mis on DNS<\/p>\n

Domeenide nimetuste s\u00fcsteem (DNS) muudab inimeste jaoks loetavad domeeninimed (nt aadress www.paloaltonetworks.com<\/a><\/noindex> ) IP-aadresside (n\u00e4iteks 34.107.151.202) m\u00e4\u00e4ramine. Kui kasutaja sisestab domeeninime veebibrauserisse, saadab brauser DNS-p\u00e4ringu DNS-serverile, paludes selle domeeninimega seotud IP-aadressi. Vastuseks tagastab DNS-server IP-aadressi, mida brauser kasutab.<\/p>\n

DNS-p\u00e4ringud ja -vastused edastatakse v\u00f5rgu kaudu lihttekstina ja kr\u00fcpteerimata, mis muudab need spionaa\u017ei v\u00f5i vastuse muutmise ja brauseri suunamise jaoks pahatahtlikele serveritele haavatavaks. DNS-i kr\u00fcpteerimine raskendab DNS-p\u00e4ringute j\u00e4lgimist v\u00f5i nende muutmist edastamise ajal. DNS-i p\u00e4ringute ja vastuste kr\u00fcpteerimine kaitseb teid Man-in-the-Middle r\u00fcnnakute eest, t\u00e4ites samal ajal samu funktsioone, mis traditsioonilisem DNS-protokoll (domeeninime s\u00fcsteem) selges tekstis. <\/p>\n

Viimastel aastatel on rakendatud kahte DNS-i kr\u00fcpteerimise protokolli:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Neil protokollidel on \u00fcks \u00fchine omadus: nad peidavad DNS-i p\u00e4ringud tahtlikult igasuguse pealtkuulamise eest... sh ka organisatsiooni turvameeste eest. Protokollid kasutavad peamiselt TLS-i (Transport Layer Security) protokolli, et luua kr\u00fcpteeritud \u00fchendus p\u00e4ringute saatva kliendi ja DNS-i p\u00e4ringute lubava serveri vahel porti kaudu, mida tavaliselt DNS-i liikluseks ei kasutata.<\/p>\n

    DNS-p\u00e4ringute privaatsus on nende protokollide suur pluss. Kuid need tekitavad probleeme turvat\u00f6\u00f6tajatele, kes peavad j\u00e4lgima v\u00f5rgu liiklust ja tuvastama ning blokeerima pahatahtlikke \u00fchendusi. Kuna protokollid erinevad oma rakenduse poolest, erinevad ka anal\u00fc\u00fcsimeetodid DoH ja DoT puhul.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"DNS-over-TLSDNS HTTPS-i kaudu<\/p>\n

    DoH kasutab h\u00e4sti tuntud porti 443 HTTPS-i jaoks, mille jaoks on RFC-s konkreetselt m\u00e4\u00e4ratud, et eesm\u00e4rk on \"segada DoH liiklus koos muu HTTPS-i liiklusega samas \u00fchenduses\", \"raske DNS-i liikluse anal\u00fc\u00fcsimine\" ja seel\u00e4bi \u00fcletada ettev\u00f5tte kontrollimeetmeid ( RFC 8484 DoH, jaotis 8.1<\/a><\/noindex> ). Protokoll DoH kasutab TLS-i kr\u00fcpteerimist ja p\u00e4ringus\u00fcntaksit, mille pakuvad tavalised HTTPS-i ja HTTP\/2 standardid, lisades DNS-p\u00e4ringud ja -vastused standardsete HTTP-p\u00e4ringute peale.<\/p>\n

    DoH-iga seotud riskid<\/h2>\n

    Kui te ei suuda tavap\u00e4rast HTTPS-i liiklust DoH p\u00e4ringutest eristada, siis v\u00f5ivad teie organisatsioonis olevad rakendused (ja nad seda kindlasti teevad) m\u00f6\u00f6da minna lokaalsetest DNS-seadetest, suunates p\u00e4ringud kolmandate osapoolte serveritele, mis vastavad DoH p\u00e4ringutele, mis takistab igasugust j\u00e4lgimist ja seega h\u00e4vitab kontrolli DNS-liikluse \u00fcle. Ideaalis peaksite kontrollima DoH-i, kasutades HTTPS-i dekodeerimise funktsioone. <\/p>\n

    ma saan kasutada Google ja Mozilla on rakendanud DoH-i v\u00f5imalusi<\/a><\/noindex> oma brauserite viimases versioonis ning m\u00f5lemad ettev\u00f5tted t\u00f6\u00f6tavad selle nimel, et DoH oleks vaikimisi kasutusel k\u00f5igi DNS-p\u00e4ringute jaoks. Microsoft arendab samuti plaane<\/a><\/noindex> DoH-i integreerimiseks oma operatsioonis\u00fcsteemidesse. Miinus on see, et mitte ainult austatud tarkvaraarendajad, vaid ka kurjategijad on hakanud DoH-i kasutama traditsiooniliste ettev\u00f5tte tulem\u00fc\u00fcrimeetmete \u00fcletamiseks. (N\u00e4iteks vaadake j\u00e4rgmisi artikleid: PsiXBot kasutab n\u00fc\u00fcd Google DoH-i<\/a><\/noindex> , PsiXBot j\u00e4tkab oma DNS-i infrastruktuuri arendamist<\/a><\/noindex> ja Godlua tagauksi anal\u00fc\u00fcs<\/a><\/noindex> .) Igal juhul j\u00e4\u00e4b nii hea kui kahjulik DoH-i liiklus m\u00e4rkamata, j\u00e4ttes organisatsiooni pimedaks pahatahtliku DoH-i kasutamise osas pahavara juhtimiseks (C2) ja konfidentsiaalsete andmete varguseks.<\/p>\n

    DoH-i liikluse n\u00e4htavuse ja kontrolli tagamine<\/h2>\n

    Parimaks lahenduseks DoH-i kontrollimiseks soovitame seadistada NGFW-s HTTPS-i liikluse dekodeerimine ja DoH-i liikluse blokeerimine (rakenduse nimi: dns-over-https). <\/p>\n

    Esiteks veenduge, et NGFW on seadistatud HTTPS-i dekodeerimiseks vastavalt parimate dekodeerimise praktikate juhendile<\/a><\/noindex>.<\/p>\n

    Teiseks looge reegel rakenduse \"dns-over-https\" liiklusele, nagu on n\u00e4idatud allpool:<\/p>\n

    \"DNS-over-TLSPalo Alto Networks NGFW reegel DNS-over-HTTPS-i blokeerimiseks<\/p>\n

    Vahealternatiivina (kui teie organisatsioon ei ole t\u00e4ielikult rakendanud HTTPS-i dekodeerimist) saab NGFW seadistada rakenduse identifikaatorile \"dns-over-https\" keelu rakendamiseks, kuid m\u00f5ju j\u00e4\u00e4b piiratuks teatud tuntud DoH-serverite blokeerimisega nende domeeninime kaudu, kuna ilma HTTPS-i dekodeerimiseta ei saa DoH-i liiklust t\u00e4ielikult kontrollida (vt.  Palo Alto Networks'i Applipedia<\/a><\/noindex>   ja otsige fraasi \"dns-over-https\").<\/p>\n

    DNS over TLS (DoT)<\/h2>\n

    \"DNS-over-TLSDNS TLS-i sees<\/p>\n

    Kuigi DoH protokoll p\u00fc\u00fcdleb selle poole, et seguneda sama porte kasutava muu liiklusega, kasutab DoT vaikimisi eraldi porti, mis on reserveeritud vaid selleks eesm\u00e4rgiks, isegi kui see keelab traditsioonilise kr\u00fcpteerimata DNS liikluse kasutamise samal pordil ( RFC 7858, jaotis 3.1<\/a><\/noindex> ).<\/p>\n

    DoT protokoll kasutab TLS protokolli, et tagada kr\u00fcpteerimine, mis kapseldab standardseid DNS protokolla p\u00e4ringuid, kasutades tuntud porti 853 ( RFC 7858, jaotis 6<\/a><\/noindex> ). Protokoll DoT loodi selleks, et lihtsustada organisatsioonide v\u00f5imalust blokeerida liiklus porti kaudu, v\u00f5i leppida kokku selle kasutamises, kuid lisada sellel pordil dekr\u00fcptimine.<\/p>\n

    DoT riskid<\/h2>\n

    Google on rakendanud DoT oma kliendis Android 9 Pie ja uuemates versioonides<\/a><\/noindex> , samas on vaikimisi sisse l\u00fclitatud automaatne DoT kasutamise seadistus, kui see on saadaval. Kui olete riske hinnanud ja olete valmis DoT-i kasutama organisatsioonitasandil, peavad v\u00f5rguhaldurid selgelt lubama v\u00e4ljamineva liikluse pordile 853 oma perimeetrites selle uue protokolli jaoks.<\/p>\n

    DoT liikluse n\u00e4htavuse ja kontrolli tagamine<\/h2>\n

    Parimaks praktikaks DoT-i kontrollimiseks soovitame m\u00f5nda eelnevalt loetletud, l\u00e4htudes teie organisatsiooni n\u00f5uetest:<\/p>\n