{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/et\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"DNS-over-TLS (DoT) ja DNS-over-HTTPS (DoH) kasutamise riskide minimeerimine","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"DNS-over-TLSDoH ja DoT kasutamise riski minimeerimine<\/p>\n

Kaitse DoH ja DoT eest<\/h2>\n

Kas te kontrollite oma DNS-i liiklust? Organisatsioonid investeerivad palju aega, raha ja ressursse oma v\u00f5rkude turvalisusesse. Siiski on DNS \u00fcks valdkondi, millele sageli piisavalt t\u00e4helepanu ei p\u00f6\u00f6rata. <\/p>\n

Hea \u00fclevaade DNS-i p\u00f5hjustatud riskidest on Verisigni esitlus<\/a><\/noindex> Infosecurity konverentsil. <\/p>\n

\"DNS-over-TLS31% uuritud lunavaravormidest kasutas DNS-i v\u00f5tmevahetuseks. Uuringu tulemused<\/p>\n

31% uuritud lunavaravormidest kasutas DNS-i v\u00f5tmevahetuseks.<\/p>\n

Probleem on t\u00f5sine. Palo Alto Networks Unit 42 teaduslabori andmetel kasutab umbes 85% pahavarast DNS-i haldamise ja kontrollimise kanali loomiseks, v\u00f5imaldades kurjategijatel kergesti pahavara teie v\u00f5rku sisestada ja andmeid varastada. Alates oma loomisest on DNS-i liiklus peamiselt olnud kr\u00fcpteerimata ja seda sai NGFW kaitses\u00fcsteemide abil kergesti anal\u00fc\u00fcsida. <\/p>\n

Ilmnes on uusi DNS-protokollide rida, mis on suunatud DNS-\u00fchenduste privaatsuse suurendamisele. Neid toetavad aktiivselt peamised brauserite tarnijad ja muud tarkvarapakkujad. K\u00f5rgete uuringute tulemuste kohaselt hakkab peagi ettev\u00f5ttev\u00f5rkudes suurenema kr\u00fcpteeritud DNS-i liiklus. Kr\u00fcpteeritud DNS-i liiklus, mida ei anal\u00fc\u00fcside korralikult, vaid on lubatud, kujutab endast ettev\u00f5tte turvahoone ohtu. N\u00e4iteks on selleks kr\u00fcptolocker, mis kasutab DNS-i kr\u00fcpteerimisv\u00f5tmete jagamiseks. R\u00fcndajad n\u00f5uavad praegu juurdep\u00e4\u00e4su taastamise eest mitmeid miljoneid dollareid. Ettev\u00f5ttes Garmin n\u00e4iteks maksti 10 miljonit dollarit.<\/p>\n

\u00d5igesti seadistatud NGFW-d v\u00f5ivad keelata v\u00f5i kaitsta DNS-over-TLS (DoT) kasutamist ning neid saab kasutada DNS-over-HTTPS (DoH) kasutamise keelamiseks, v\u00f5imaldades seega anal\u00fc\u00fcsida kogu DNS-i liiklust teie v\u00f5rgus.<\/p>\n

Mis on kr\u00fcpteeritud DNS?<\/h2>\n

Mis on DNS<\/p>\n

Domeenide nimede s\u00fcsteem (DNS) muundab inimkeele arusaadavaks domeeninimeks (nt aadress www.paloaltonetworks.com<\/a><\/noindex> ) IP-aadressides (n\u00e4iteks 34.107.151.202). Kui kasutaja sisestab domeeninime veebibrauserisse, saadab brauser DNS-p\u00e4ringu DNS-serverile, k\u00fcsides selle domeeninimega seotud IP-aadressi. Vastuseks tagastab DNS-server IP-aadressi, mida brauser kasutatakse.<\/p>\n

DNS-p\u00e4ringud ja -vastused edastatakse v\u00f5rgus lihttekstsena ja kr\u00fcpteerimata kujul, mis muudab need nuhkimise v\u00f5i vastuste muutmise ja brauseri suunamise pahatahtlikele serveritele haavatavaks. DNS-i kr\u00fcpteerimine muudab DNS-p\u00e4ringute j\u00e4lgimise v\u00f5i nende muutmise k\u00fcsimaski. DNS-p\u00e4ringute ja -vastuste kr\u00fcpteerimine kaitseb teid Man-in-the-Middle r\u00fcnnakute eest, samas teostades samu funktsioone nagu traditsiooniline avatud tekstiga DNS-protokoll (domeenide s\u00fcsteem). <\/p>\n

Viimase paari aasta jooksul on kasutusele v\u00f5etud kaks DNS-i kr\u00fcpteerimise protokolli:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Need protokollid omavad \u00fchte \u00fchist joont: nad varjavad kavatsuslikult DNS-p\u00e4ringud k\u00f5igi vahelesegamisest… sealhulgas organisatsiooni turvameestest. Protokollid kasutavad peamiselt TLS-protokolli (Transport Layer Security), et luua kr\u00fcpteeritud \u00fchendus p\u00e4ringud esitava kliendi ja DNS-i p\u00e4ringud lahendava serveri vahel, kasutades porti, mida tavaliselt DNS-i liikluses ei kasutata.<\/p>\n

    The privacy of DNS requests is a significant advantage of these protocols. However, they pose challenges for security personnel who must monitor network traffic and detect and block malicious connections. Because protocols differ in their implementation, analysis methods will vary between DoH and DoT.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"DNS-over-TLSDNS within HTTPS<\/p>\n

    DoH uses the well-known port 443 for HTTPS, which is specifically outlined in the RFC as a means to \"mix DoH traffic with other HTTPS traffic in the same connection,\" making DNS traffic analysis more difficult and, thus, bypassing corporate control measures ( RFC 8484 DoH, Section 8.1<\/a><\/noindex> ). DoH protokoll kasutab TLS-i kr\u00fcptimist ja p\u00e4ringute s\u00fcntaksit, mida pakuvad \u00fcldised HTTPS ja HTTP\/2 standardid, lisades DNS-i p\u00e4ringud ja vastused standardsete HTTP p\u00e4ringute peale.<\/p>\n

    DoH-iga seotud riskid<\/h2>\n

    Kui te ei suuda tavalist HTTPS-i liiklust DoH p\u00e4ringutest eristada, v\u00f5ivad teie organisatsiooni rakendused (ja nad t\u00f5en\u00e4oliselt teevad seda) muuta kohalikke DNS-i seadeid, suunates p\u00e4ringud kolmandatele osapooltele, mis vastavad DoH p\u00e4ringutele, mis k\u00f5rvaldab k\u00f5ik j\u00e4lgimise v\u00f5imalused, st h\u00e4vitab DNS-i liikluse kontrollimise v\u00f5imaluse. Ideaalses olukorras peaksite DoH kontrollima, kasutades HTTPS-i dekr\u00fcpteerimise funktsioone. <\/p>\n

    JA Google ja Mozilla on rakendanud DoH v\u00f5imalusi<\/a><\/noindex> oma brauserite viimases versioonis ning m\u00f5lemad ettev\u00f5tted t\u00f6\u00f6tavad selle nimel, et DoH oleks vaikimisi k\u00f5igi DNS-i p\u00e4ringute puhul. Microsoft t\u00f6\u00f6tab samuti<\/a><\/noindex> DoH integreerimise plaanide kallal oma operatsioonis\u00fcsteemides. Miinus on see, et mitte ainult mainekad tarkvara arendajad, vaid ka kurjategijad on hakanud kasutama DoH-i kui vahendit traditsiooniliste ettev\u00f5tte tulem\u00fc\u00fcride meetmete m\u00f6\u00f6da hiilimiseks. ( N\u00e4iteks vaadake j\u00e4rgmisi artikleid: PsiXBot kasutab n\u00fc\u00fcd Google DoH-i<\/a><\/noindex> , PsiXBot j\u00e4tkab arenemist uuendatud DNS-infrastruktuuriga<\/a><\/noindex> ja Godlua tagavarakoopiate anal\u00fc\u00fcs<\/a><\/noindex> .) Igal juhul j\u00e4\u00e4vad nii hea kui ka pahatahtlik DoH liiklus m\u00e4rkamatuks, j\u00e4ttes organisatsiooni pimedaks pahatahtliku DoH kasutamise osas pahavarakanali (C2) ja konfidentsiaalsete andmete varguse jaoks.<\/p>\n

    DoH liikluse n\u00e4htavuse ja kontrolli tagamine<\/h2>\n

    Parimaks lahenduseks DoH kontrollimiseks soovitame seadistada NGFW HTTPS-liikluse dekr\u00fcpteerimise ja DoH liikluse blokeerimise (rakenduse nimi: dns-over-https). <\/p>\n

    Esiteks veenduge, et NGFW oleks seadistatud HTTPS-i dekr\u00fcpteerimiseks, vastavalt parimate praktika dekr\u00fcpteerimise juhendile<\/a><\/noindex>.<\/p>\n

    Teiseks looge reegel rakenduse 'dns-over-https' jaoks, nagu allpool n\u00e4idatud:<\/p>\n

    \"DNS-over-TLSPalo Alto Networks NGFW reegel DNS-over-HTTPS blokeerimiseks<\/p>\n

    Vahealternatiivina (kui teie organisatsioon ei ole t\u00e4ielikult rakendanud HTTPS-i dekr\u00fcpteerimist) saab NGFW-i seadistada rakenduse identifikaatori \u201edns-over-https\u201d jaoks tegevuse \u201ekeelda\u201d rakendamiseks, kuid m\u00f5ju on piiratud teatud h\u00e4sti tuntud DoH-serverite domeeninime kaudu blokeerimisega, kuna ilma HTTPS-i dekr\u00fcpteerimiseta ei saa DoH-i liiklust t\u00e4ielikult kontrollida (vt.  Palo Alto Networks Applipedia<\/a><\/noindex>   ja otsige fraasi \u201edns-over-https\u201d).<\/p>\n

    DNS \u00fcle TLS (DoT)<\/h2>\n

    \"DNS-over-TLSDNS TLS-i sees<\/p>\n

    Kuigi DoH-protokoll p\u00fc\u00fcab seguneda sama sadama teise liiklusega, kasutab DoT vaikimisi spetsiaalset sadamat, mis on reserveeritud selleks ainukeseks otstarbeks, keelates isegi sama sadama kasutamise traditsioonilise kr\u00fcpteerimata DNS-i liikluse jaoks ( RFC 7858, jaotis 3.1<\/a><\/noindex> ).<\/p>\n

    DoT-protokoll kasutab TLS-i protokolli \u0161ifreerimise tagamiseks, mis kapseldab standardseid DNS-i protokolli p\u00e4ringuid, liiklusele, mis kasutab h\u00e4sti tuntud sadamat 853 ( RFC 7858, jaotis 6<\/a><\/noindex> ).  DoT-protokoll loodi selleks, et lihtsustada organisatsioonidel liikluse blokeerimist sellel porti kaudu, v\u00f5i siis selle kasutuselev\u00f5tt koos dekr\u00fcpteerimise lubamisega sellel porti.<\/p>\n

    Seotud riskid DoT-iga<\/h2>\n

    Google rakendas DoT oma kliendis Android 9 Pie ja uuemates versioonides<\/a><\/noindex> , samas on vaikimisi aktiveeritud automaatse DoT kasutamise seade, kui see on saadaval. Kui olete riskid hinnanud ja olete valmis kasutama DoT tasemel organisatsioonis, peavad v\u00f5rguadministraatorid selgelt lubama v\u00e4ljuvat liiklust sadamale 853 l\u00e4bi nende perimeetri selle uue protokolli jaoks.<\/p>\n

    DoT liikluse n\u00e4htavuse ja kontrolli tagamine<\/h2>\n

    Parimate praktikate kohaselt DoT-i kontrollimiseks soovitame \u00fchte j\u00e4rgmist, olenevalt teie organisatsiooni n\u00f5uetest:<\/p>\n