{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hu\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"A DNS-over-TLS (DoT) \u00e9s a DNS-over-HTTPS (DoH) haszn\u00e1lat\u00e1nak kock\u00e1zatainak minimaliz\u00e1l\u00e1sa","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"AA kock\u00e1zatok minimaliz\u00e1l\u00e1sa DoH \u00e9s DoT haszn\u00e1latakor<\/p>\n

V\u00e9delem DoH \u00e9s DoT ellen<\/h2>\n

Kontroll\u00e1lja a DNS forgalm\u00e1t? A szervezetek rengeteg id\u0151t, p\u00e9nzt \u00e9s er\u0151fesz\u00edt\u00e9st fektetnek h\u00e1l\u00f3zataik biztons\u00e1g\u00e1ba. Ugyanakkor a DNS az a ter\u00fclet, amely gyakran nem kap megfelel\u0151 figyelmet. <\/p>\n

A DNS jelentette kock\u00e1zatok j\u00f3 \u00e1ttekint\u00e9se a Verisign el\u0151ad\u00e1s\u00e1ban<\/a><\/noindex> az Infosecurity konferenci\u00e1n. <\/p>\n

\"AA megk\u00e9rdezett ransomware oszt\u00e1lyok 31%-a haszn\u00e1lt DNS-t a kulcsok cser\u00e9j\u00e9re. A kutat\u00e1si meg\u00e1llap\u00edt\u00e1sok<\/p>\n

A megk\u00e9rdezett ransomware oszt\u00e1lyok 31%-a haszn\u00e1lt DNS-t a kulcsok cser\u00e9j\u00e9re.<\/p>\n

A probl\u00e9ma s\u00falyos. A Palo Alto Networks Unit 42 kutat\u00f3 laborat\u00f3rium\u00e1nak adatai szerint k\u00f6r\u00fclbel\u00fcl 85% a k\u00e1rtev\u0151k haszn\u00e1lj\u00e1k a DNS-t vez\u00e9rl\u00e9si \u00e9s ir\u00e1ny\u00edt\u00e1si csatorna l\u00e9trehoz\u00e1s\u00e1ra, megk\u00f6nny\u00edtve a k\u00e1rtev\u00f5k sz\u00e1m\u00e1ra, hogy k\u00f6nnyen bejuttass\u00e1k a k\u00e1rtev\u0151ket a h\u00e1l\u00f3zat\u00e1ba, \u00e9s adatokat lopjanak el. A DNS forgalom alapvet\u0151en titkos\u00edtatlan volt, \u00e9s k\u00f6nnyen elemezhett\u00e9k a NGFW v\u00e9delmi mechanizmusai. <\/p>\n

\u00daj DNS-protokollok jelentek meg, amelyek a DNS-kapcsolatok adatv\u00e9delm\u00e9t hivatottak n\u00f6velni. Ezeket akt\u00edvan t\u00e1mogatj\u00e1k a vezet\u0151 b\u00f6ng\u00e9sz\u0151szolg\u00e1ltat\u00f3k \u00e9s m\u00e1s szoftverszolg\u00e1ltat\u00f3k. Hamarosan a v\u00e1llalati h\u00e1l\u00f3zatokban n\u0151ni fog az SSL\/TLS titkos\u00edtott DNS-forgalom. Az ilyen titkos\u00edtott DNS-forgalom, amelyet nem elemeznek megfelel\u0151en \u00e9s nincs biztons\u00e1gosan enged\u00e9lyezve, biztons\u00e1gi fenyeget\u00e9st jelent a c\u00e9gek sz\u00e1m\u00e1ra. P\u00e9ld\u00e1ul a kriptol\u00f3ker is egy ilyen fenyeget\u00e9s, amely a DNS-t haszn\u00e1lja a titkos\u00edt\u00f3 kulcsok cser\u00e9j\u00e9re. A t\u00e1mad\u00f3k most t\u00f6bb milli\u00f3 doll\u00e1ros v\u00e1lts\u00e1gd\u00edjat k\u00f6vetelnek az adatok helyre\u00e1ll\u00edt\u00e1s\u00e1\u00e9rt. A Garmin v\u00e1llalat p\u00e9ld\u00e1ul 10 milli\u00f3 doll\u00e1rt fizetett.<\/p>\n

Megfelel\u0151 be\u00e1ll\u00edt\u00e1s eset\u00e9n a NGFW megtilthatja vagy v\u00e9dheti a DNS-over-TLS (DoT) haszn\u00e1lat\u00e1t, \u00e9s haszn\u00e1lhat\u00f3 a DNS-over-HTTPS (DoH) haszn\u00e1lat\u00e1nak megtilt\u00e1s\u00e1ra, lehet\u0151v\u00e9 t\u00e9ve az eg\u00e9sz DNS-forgalom elemz\u00e9s\u00e9t a h\u00e1l\u00f3zat\u00e1ban.<\/p>\n

Mi az a titkos\u00edtott DNS?<\/h2>\n

Mi az a DNS<\/p>\n

A Domain Name System (DNS) a felhaszn\u00e1l\u00f3k sz\u00e1m\u00e1ra olvashat\u00f3 domain neveket (p\u00e9ld\u00e1ul c\u00edmet www.paloaltonetworks.com<\/a><\/noindex> ) az IP-c\u00edmekhez (p\u00e9ld\u00e1ul: 34.107.151.202). Amikor egy felhaszn\u00e1l\u00f3 domain nevet \u00edr be a webb\u00f6ng\u00e9sz\u0151be, a b\u00f6ng\u00e9sz\u0151 DNS-lek\u00e9rdez\u00e9st k\u00fcld a DNS-kiszolg\u00e1l\u00f3nak, k\u00e9rve az ehhez a domain n\u00e9vhez tartoz\u00f3 IP-c\u00edmet. A DNS-kiszolg\u00e1l\u00f3 v\u00e1laszk\u00e9nt visszak\u00fcldi az IP-c\u00edmet, amelyet a b\u00f6ng\u00e9sz\u0151 haszn\u00e1lni fog.<\/p>\n

A DNS-lek\u00e9rdez\u00e9sek \u00e9s v\u00e1laszok sima sz\u00f6veg form\u00e1j\u00e1ban ker\u00fclnek tov\u00e1bb\u00edt\u00e1sra a h\u00e1l\u00f3zaton, titkos\u00edtatlan form\u00e1ban, ami sebezhet\u0151v\u00e9 teszi \u0151ket a lehallgat\u00e1s vagy a v\u00e1lasz m\u00f3dos\u00edt\u00e1sa \u00e9s a b\u00f6ng\u00e9sz\u0151 \u00e1tir\u00e1ny\u00edt\u00e1sa miatt rosszindulat\u00fa kiszolg\u00e1l\u00f3kra. A DNS titkos\u00edt\u00e1sa megnehez\u00edti a DNS-lek\u00e9rdez\u00e9sek nyomon k\u00f6vet\u00e9s\u00e9t vagy azok m\u00f3dos\u00edt\u00e1s\u00e1t az \u00e1tvitel sor\u00e1n. A DNS-lek\u00e9rdez\u00e9sek \u00e9s v\u00e1laszok titkos\u00edt\u00e1sa megv\u00e9d a Man-in-the-Middle t\u00e1mad\u00e1sokt\u00f3l, mik\u00f6zben ugyanazokat a funkci\u00f3kat l\u00e1tja el, mint a hagyom\u00e1nyos, titkos\u00edtatlan DNS protokoll. <\/p>\n

Az ut\u00f3bbi n\u00e9h\u00e1ny \u00e9vben k\u00e9t DNS titkos\u00edt\u00e1si protokollt vezettek be:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Ezeknek a protokolloknak egy k\u00f6z\u00f6s jellemz\u0151je van: sz\u00e1nd\u00e9kosan elrejtik a DNS-lek\u00e9rdez\u00e9seket mindenf\u00e9le lehallgat\u00e1s el\u0151l... bele\u00e9rtve a szervezetek biztons\u00e1gi szem\u00e9lyzet\u00e9t is. A protokollok f\u0151k\u00e9nt TLS (Transport Layer Security) protokollt haszn\u00e1lnak a titkos\u00edtott kapcsolat l\u00e9trehoz\u00e1s\u00e1ra a lek\u00e9rdez\u00e9seket v\u00e9gz\u0151 kliens \u00e9s a DNS-lek\u00e9rdez\u00e9seket enged\u00e9lyez\u0151 szerver k\u00f6z\u00f6tt, egy olyan porton, amelyet \u00e1ltal\u00e1ban nem haszn\u00e1lnak DNS-forgalomra.<\/p>\n

    A DNS-lek\u00e9rdez\u00e9sek mag\u00e1nszf\u00e9r\u00e1ja nagy el\u0151ny ezeknek a protokolloknak. Azonban probl\u00e9m\u00e1t okoznak a biztons\u00e1gi szakembereknek, akiknek nyomon kell k\u00f6vetni\u00fck a h\u00e1l\u00f3zati forgalmat \u00e9s fel kell ismerni\u00fck, valamint blokkolniuk kell a rosszindulat\u00fa kapcsol\u00f3d\u00e1sokat. Mivel a protokollok k\u00fcl\u00f6nb\u00f6znek a megval\u00f3s\u00edt\u00e1sukban, a DoH \u00e9s a DoT analitikai m\u00f3dszerei is elt\u00e9rnek.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"ADNS HTTPS-en kereszt\u00fcl<\/p>\n

    A DoH a j\u00f3l ismert 443-as portot haszn\u00e1lja, amely a HTTPS-hez tartozik, \u00e9s amelyre az RFC kifejezetten azt mondja, hogy a c\u00e9lja a \"DoH forgalom vegy\u00edt\u00e9se m\u00e1s HTTPS forgalommal ugyanabban a kapcsolatban\", \"megnehez\u00edtve ezzel a DNS-mentes forgalom nyomon k\u00f6vet\u00e9s\u00e9t\" \u00e9s ezzel megker\u00fclni a v\u00e1llalati ellen\u0151rz\u00e9si int\u00e9zked\u00e9seket ( RFC 8484 DoH, 8.1. szakasz<\/a><\/noindex> ). A DoH protokoll TLS titkos\u00edt\u00e1st \u00e9s a HTTPS \u00e9s HTTP\/2 \u00e1ltal biztos\u00edtott lek\u00e9rdez\u00e9si szintaxist haszn\u00e1lja, lehet\u0151v\u00e9 t\u00e9ve a DNS-lek\u00e9rdez\u00e9sek \u00e9s v\u00e1laszok hozz\u00e1ad\u00e1s\u00e1t a standard HTTP lek\u00e9rdez\u00e9sek f\u00f6l\u00e9.<\/p>\n

    A DoH-hoz kapcsol\u00f3d\u00f3 kock\u00e1zatok<\/h2>\n

    Ha nem tudja megk\u00fcl\u00f6nb\u00f6ztetni a szok\u00e1sos HTTPS-forgalmat a DoH-lek\u00e9rdez\u00e9sekt\u0151l, akkor a szervezet\u00e9be telep\u00edtett alkalmaz\u00e1sok kiker\u00fclhetik (\u00e9s ki is fogj\u00e1k) a helyi DNS-be\u00e1ll\u00edt\u00e1sokat az\u00e1ltal, hogy a DoH-lek\u00e9rdez\u00e9seket harmadik f\u00e9l szerverekre ir\u00e1ny\u00edtj\u00e1k, amely elker\u00fcli a b\u00e1rmilyen megfigyel\u00e9st, \u00edgy megsz\u00fcnteti a DNS-forgalom ellen\u0151rz\u00e9s\u00e9nek lehet\u0151s\u00e9g\u00e9t. Ide\u00e1lis esetben tornyos\u00edtani kell a DoH-t a HTTPS-dek\u00f3dol\u00e1si funkci\u00f3k seg\u00edts\u00e9g\u00e9vel. <\/p>\n

    \u00e9s A Google \u00e9s a Mozilla megval\u00f3s\u00edtotta a DoH lehet\u0151s\u00e9geit<\/a><\/noindex> legutols\u00f3 b\u00f6ng\u00e9sz\u0151verzi\u00f3ikban, \u00e9s mindk\u00e9t v\u00e1llalat dolgozik azon, hogy a DoH-t alap\u00e9rtelmezettk\u00e9nt haszn\u00e1lhass\u00e1k minden DNS-lek\u00e9rdez\u00e9shez. A Microsoft szint\u00e9n tervezi<\/a><\/noindex> a DoH integr\u00e1l\u00e1s\u00e1t oper\u00e1ci\u00f3s rendszereibe. A h\u00e1tr\u00e1ny az, hogy nemcsak tiszteletre m\u00e9lt\u00f3 szoftverfejleszt\u0151 c\u00e9gek, hanem a rosszindulat\u00fa szerepl\u0151k is kezdik felhaszn\u00e1lni a DoH-t a hagyom\u00e1nyos v\u00e1llalati t\u0171zfalak megker\u00fcl\u00e9s\u00e9re. (P\u00e9ld\u00e1ul n\u00e9zze meg az al\u00e1bbi cikkeket: A PsiXBot most a Google DoH-t haszn\u00e1lja<\/a><\/noindex> , A PsiXBot tov\u00e1bb fejl\u0151dik, friss DNS-infrastrukt\u00far\u00e1val<\/a><\/noindex> \u00e9s a Godlua h\u00e1ts\u00f3ajt\u00f3 elemz\u00e9se<\/a><\/noindex> .) B\u00e1rmelyik esetben a DoH j\u00f3 \u00e9s rosszindulat\u00fa forgalma egyar\u00e1nt \u00e9szrev\u00e9tlen marad, \u00edgy a szervezet vaks\u00e1ggal k\u00fczd a DoH rosszindulat\u00fa szoftver (C2) ir\u00e1ny\u00edt\u00e1sak\u00e9nt \u00e9s a bizalmas adatok ellop\u00e1s\u00e1hoz haszn\u00e1lat\u00e1val szemben.<\/p>\n

    A DoH-forgalom l\u00e1that\u00f3s\u00e1g\u00e1nak \u00e9s ellen\u0151rz\u00e9s\u00e9nek biztos\u00edt\u00e1sa<\/h2>\n

    A DoH ellen\u0151rz\u00e9s\u00e9nek legjobb megold\u00e1sak\u00e9nt javasoljuk, hogy \u00e1ll\u00edtson be NGFW-t a HTTPS-forgalom dek\u00f3dol\u00e1s\u00e1ra \u00e9s a DoH-forgalom blokkol\u00e1s\u00e1ra (alkalmaz\u00e1s neve: dns-over-https). <\/p>\n

    El\u0151sz\u00f6r is, gy\u0151z\u0151dj\u00f6n meg arr\u00f3l, hogy az NGFW be van \u00e1ll\u00edtva a HTTPS dek\u00f3dol\u00e1s\u00e1ra, a legjobb gyakorlatok dek\u00f3dol\u00e1s\u00e1r\u00f3l sz\u00f3l\u00f3 \u00fatmutat\u00f3 szerint<\/a><\/noindex>.<\/p>\n

    M\u00e1sodszor, hozzon l\u00e9tre egy szab\u00e1lyt a \"dns-over-https\" alkalmaz\u00e1s forgalm\u00e1ra, ahogy az al\u00e1bb l\u00e1that\u00f3:<\/p>\n

    \"AA Palo Alto Networks NGFW szab\u00e1lya a DNS-over-HTTPS blokkol\u00e1s\u00e1ra<\/p>\n

    K\u00f6zb\u00fcls\u0151 alternat\u00edvak\u00e9nt (ha a szervezete nem val\u00f3s\u00edtotta meg teljesen a HTTPS dek\u00f3dol\u00e1s\u00e1t) az NGFW-t be\u00e1ll\u00edthatja \u00fagy, hogy a \"dns-over-https\" alkalmaz\u00e1sazonos\u00edt\u00f3ra a \"megakad\u00e1lyoz\u00e1s\" m\u0171veletet alkalmazza, de a hat\u00e1s korl\u00e1tozott lesz a j\u00f3l ismert DoH szerverek domain nevei alapj\u00e1n t\u00f6rt\u00e9n\u0151 blokkol\u00e1s\u00e1ra, mivel HTTPS dek\u00f3dol\u00e1s n\u00e9lk\u00fcl a DoH forgalmat nem lehet teljesen ellen\u0151rizni (l\u00e1sd:  A Palo Alto Networks Applipedia<\/a><\/noindex>   keresse meg a \"dns-over-https\" kifejez\u00e9st).<\/p>\n

    DNS over TLS (DoT)<\/h2>\n

    \"ADNS TLS-en bel\u00fcl<\/p>\n

    Mik\u00f6zben a DoH protokoll azzal t\u00f6rekszik, hogy a forgalmat azonos porton keverje, a DoT ehelyett alap\u00e9rtelmezetten egy speci\u00e1lis portot haszn\u00e1l, amelyet kiz\u00e1r\u00f3lag erre a c\u00e9lra tartanak fenn, kifejezetten megtiltva a hagyom\u00e1nyos, titkos\u00edtatlan DNS forgalom ezen a porton val\u00f3 haszn\u00e1lat\u00e1t ( RFC 7858, 3.1. szakasz<\/a><\/noindex> ).<\/p>\n

    A DoT protokoll TLS protokollt haszn\u00e1l a DNS protokoll szabv\u00e1nyos k\u00e9rd\u00e9seinek titkos\u00edt\u00e1s\u00e1ra, \u00e9s j\u00f3l ismert 853-as portot alkalmaz ( RFC 7858, 6. szakasz<\/a><\/noindex> ). A DoT protokollt az\u00e9rt alak\u00edtott\u00e1k ki, hogy a c\u00e9gek k\u00f6nnyebben blokkolhass\u00e1k a forgalmat azon a porton, vagy ak\u00e1r beleegyezzenek a haszn\u00e1lat\u00e1ba, viszont enged\u00e9lyezz\u00e9k a dek\u00f3dol\u00e1st ezen a porton.<\/p>\n

    A DoT-tal kapcsolatos kock\u00e1zatok<\/h2>\n

    A Google megval\u00f3s\u00edtotta a DoT-t a Android 9 Pie \u00e9s \u00fajabb verzi\u00f3kban<\/a><\/noindex> , ahol alap\u00e9rtelmez\u00e9s szerint enged\u00e9lyezve van a DoT automatikus haszn\u00e1lata, ha az el\u00e9rhet\u0151. Ha felm\u00e9rte a kock\u00e1zatokat, \u00e9s k\u00e9szen \u00e1ll a DoT haszn\u00e1lat\u00e1ra a szervezet szintj\u00e9n, a h\u00e1l\u00f3zati adminisztr\u00e1toroknak kifejezetten enged\u00e9lyezni\u00fck kell a kimen\u0151 forgalmat a 853-as porton ezen \u00faj protokoll sz\u00e1m\u00e1ra.<\/p>\n

    A DoT forgalom l\u00e1that\u00f3s\u00e1g\u00e1nak \u00e9s ellen\u0151rz\u00e9s\u00e9nek biztos\u00edt\u00e1sa<\/h2>\n

    A DoT ellen\u0151rz\u00e9s\u00e9nek legjobb gyakorlatak\u00e9nt javasoljuk b\u00e1rmelyik fent eml\u00edtett megold\u00e1st, figyelembe v\u00e9ve a szervezete ig\u00e9nyeit:<\/p>\n