אחת התכונות של Chromium יוצרת עומס עצום על שרתי DNS שורש

דפדפן Chromium, אב הקוד הפתוח המשגשג של Google Chrome ושל Microsoft Edge החדש, זכה לתשומת לב שלילית משמעותית עבור תכונה שנועדה מתוך כוונות טובות: הוא בודק אם ספק שירותי האינטרנט של המשתמש "גונב" תוצאות שאילתות לא קיימות בדומיין .

גלאי הפניית אינטראנט, שיוצר שאילתות מזויפות עבור "דומיינים" אקראיים שסביר שסטטיסטית לא יתקיימו, אחראי על כמחצית מכלל התעבורה שמתקבלת על ידי שרתי DNS שורש ברחבי העולם. מהנדס Verisign מאט תומאס כתב משפט ארוך להציב בבלוג APNIC המתאר את הבעיה ומעריך את קנה המידה שלה.

כיצד מתבצעת בדרך כלל רזולוציית DNS

שרתים אלו הם הסמכות הגבוהה ביותר שאתה צריך לפנות כדי לפתור את .com, .net וכו' כך שהם יגידו לך ש-frglxrtmpuf אינו דומיין ברמה עליונה (TLD).

DNS, או Domain Name System, היא מערכת שבאמצעותה מחשבים יכולים לפתור שמות דומיינים בלתי נשכחים כמו arstechnica.com לכתובות IP הרבה פחות ידידותיות למשתמש כמו 3.128.236.93. ללא DNS, האינטרנט לא היה קיים באופן שבני אדם יכולים להשתמש בו, כלומר עומס מיותר על התשתית ברמה העליונה הוא בעיה אמיתית.

טעינת דף אינטרנט מודרני בודד עשויה לדרוש מספר מדהים של חיפושי DNS. לדוגמה, כאשר ניתחנו את דף הבית של ESPN, ספרנו 93 שמות דומיינים נפרדים, החל מ-a.espncdn.com ועד z.motads.com. כולם נחוצים כדי שהדף ייטען במלואו!

כדי להכיל את העומס הזה עבור מנוע חיפוש שצריך לשרת את העולם כולו, ה-DNS מתוכנן כהיררכיה מרובת רמות. בראש הפירמידה הזו נמצאים שרתי השורש - לכל דומיין ברמה עליונה, כמו .com, יש משפחת שרתים משלו שהם הסמכות הגבוהה ביותר עבור כל דומיין מתחתיהם. שלב אחד למעלה אלה שרתים הם שרתי השורש עצמם, מ a.root-servers.net до m.root-servers.net.

באיזו תדירות זה קורה?

הודות להיררכיית המטמון הרב-שכבתית של תשתית ה-DNS, אחוז קטן מאוד משאילתות ה-DNS בעולם מגיעות לשרתי השורש. רוב האנשים מקבלים את המידע על פותר ה-DNS שלהם ישירות מ-ISP שלהם. כאשר מכשיר של משתמש צריך לדעת איך להגיע לאתר ספציפי, בקשה נשלחת תחילה לשרת DNS המנוהל על ידי אותו ספק מקומי. אם שרת ה-DNS המקומי לא יודע את התשובה, הוא מעביר את הבקשה ל"משלחים" משלו (אם צוין).

אם לא לשרת ה-DNS של הספק המקומי ולא ל"שרתי ההעברה" שצוינו בתצורתו אין תגובה במטמון, הבקשה תועבר ישירות לשרת הדומיין הסמכותי מעל זה שאתה מנסה להמיר. מתי домен.com המשמעות היא שהבקשה נשלחת לשרתים המוסמכים של הדומיין עצמו com, אשר ממוקמים ב gtld-servers.net.

מערכת gtld-servers, אליו הוגשה הבקשה, מגיב עם רשימה של שרתי שמות מוסמכים עבור הדומיין domain.com, וכן לפחות רשומת קישור אחת המכילה את כתובת ה-IP של שרת שמות כזה. לאחר מכן, התגובות נעות בהמשך השרשרת - כל משלח מעביר את התגובות הללו לשרת שביקש אותן, עד שהתשובה מגיעה לבסוף לשרת של הספק המקומי ולמחשב של המשתמש. כולם מאחסנים את התגובה הזו כדי לא להפריע שלא לצורך במערכות ברמה גבוהה יותר.

ברוב המקרים, שרת השמות מתעד עבור domain.com כבר יישמר במטמון באחד מהמעבירים הללו, כך ששרתי השורש לא יופרעו. עם זאת, לעת עתה אנו מדברים על סוג ה-URL שאנו מכירים - זו המומרת לאתר רגיל. בקשות Chrome נמצאות ברמה מעל זאת, על מדרגת האשכולות עצמם root-servers.net.

בדיקת גניבה של Chromium ו-NXDomain

Chromium בודק "האם שרת ה-DNS הזה משטה אותי?" מהווה כמעט מחצית מכל התעבורה שמגיעה לאשכול שרתי ה-DNS של Verisign.

דפדפן Chromium, פרויקט האב של Google Chrome, Microsoft Edge החדש ואינספור דפדפנים פחות מוכרים, רוצה לספק למשתמשים את הקלות של חיפוש בתיבה אחת, הנקראת לפעמים "סרגל כתובות". במילים אחרות, המשתמש מזין הן כתובות URL אמיתיות והן שאילתות מנוע חיפוש באותו שדה טקסט בחלק העליון של חלון הדפדפן. לוקח צעד נוסף לקראת פישוט, זה גם לא מאלץ את המשתמש להזין חלק מכתובת האתר http:// או https://.

עד כמה שזה נוח, גישה זו מחייבת את הדפדפן להבין מה צריך להיחשב כ-URL ומה צריך להיחשב כשאילתת חיפוש. ברוב המקרים זה די ברור - למשל, מחרוזת עם רווחים לא יכולה להיות כתובת URL. אבל דברים יכולים להיות מסובכים יותר כשחושבים על אינטראנטים - רשתות פרטיות שיכולות להשתמש גם בדומיינים פרטיים ברמה העליונה כדי לפתור אתרים אמיתיים.

אם משתמש באינטרא-נט של החברה שלו מקליד "שיווק" ולאינטראנט של החברה יש אתר פנימי באותו שם, אז Chromium מציג תיבת מידע ששואלת את המשתמש אם ברצונו לחפש "שיווק" או ללכת אל https://marketing. זה אולי לא המקרה, אבל ספקי אינטרנט רבים וספקי Wi-Fi ציבוריים "חוטפים" כל כתובת אתר שגויה באיות, ומפנים את המשתמש לדף מלא באנרים.

דור אקראי

מפתחי Chromium לא רצו שמשתמשים ברשתות רגילות יראו תיבת מידע ששואלת למה הם מתכוונים בכל פעם שהם מחפשים מילה אחת, אז הם יישמו בדיקה: כשהם מפעילים דפדפן או משנים רשתות, Chromium מבצע חיפושי DNS בשלושה "דומיינים" שנוצרו באקראי ברמה העליונה, באורך שבע עד חמש עשרה תווים. אם שתיים מהבקשות הללו חוזרות עם אותה כתובת IP, Chromium מניח שהרשת המקומית "חוטפת" את השגיאות NXDOMAIN, שהוא אמור לקבל, כך שהדפדפן מחשיב את כל השאילתות של מילה בודדת שהוזנו כניסיונות חיפוש עד להודעה חדשה.

למרבה הצער, ברשתות זה לא לגנוב את התוצאות של שאילתות DNS, שלוש הפעולות הללו עולות בדרך כלל לראש, עד לשרתי שמות השורש עצמם: השרת המקומי לא יודע איך לפתור qwajuixk, אז מעביר את הבקשה הזו למשלח שלו, שעושה את אותו הדבר, עד לבסוף a.root-servers.net או שאחד מ"אחיו" לא ייאלץ לומר "סליחה, אבל זה לא תחום".

מכיוון שקיימים כ-1,67*10^21 שמות דומיין מזויפים אפשריים באורך של בין שבעה לחמישה עשר תווים, הנפוץ ביותר כל אחד מבדיקות אלו שבוצעו ברשת "הכנה", זה מגיע לשרת השורש. זה מסתכם באותה מידה חצי מהעומס הכולל על ה-DNS הבסיסי, לפי סטטיסטיקה מאותו חלק של האשכולות root-servers.net, שבבעלות Verisign.

ההיסטוריה חוזרת על עצמה

זו לא הפעם הראשונה שפרויקט נוצר עם הכוונות הטובות ביותר נִכשָׁל או כמעט הציף משאב ציבורי בתנועה מיותרת - זה הזכיר לנו מיד את ההיסטוריה הארוכה והעצובה של שרת ה-NTP (Network Time Protocol) של D-Link ו-Poul-Henning Kamp באמצע שנות ה-2000.

בשנת 2005, מפתח FreeBSD Poul-Henning, שהיה גם הבעלים של שרת השכבה 1 Network Time Protocol היחיד של דנמרק, קיבל חשבון לא צפוי וגדול עבור תעבורה משודרת. בקיצור, הסיבה הייתה שמפתחי D-Link כתבו את הכתובות של שרתי שכבה 1 NTP, כולל שרת Kampa, לתוך הקושחה של קו המתגים, הנתבים ונקודות הגישה של החברה. זה הגדיל באופן מיידי את תעבורת השרת של Kampa פי 9, מה שגרם ל-Danish Internet Exchange (Internet Exchange Point של דנמרק) לשנות את התעריף שלה מ"חינם" ל-"000$ לשנה".

הבעיה לא הייתה שהיו יותר מדי נתבי D-Link, אלא שהם היו "לא בשורה". בדומה ל-DNS, NTP חייב לפעול בצורה היררכית - שרתי שכבה 0 מעבירים מידע לשרתי שכבה 1, שמעבירים מידע לשרתי שכבה 2, וכן הלאה במורד ההיררכיה. נתב ביתי טיפוסי, מתג או נקודת גישה כמו זה ש-D-Link תכנת עם כתובות שרת NTP ישלחו בקשות לשרת שכבה 2 או שכבה 3.

פרויקט Chromium, כנראה עם הכוונות הטובות ביותר, שיחזר את בעיית ה-NTP בבעיית ה-DNS, וטען את שרתי השורש של האינטרנט בבקשות שמעולם לא נועדו לטפל בהן.

יש תקווה לפתרון מהיר

לפרויקט Chromium יש קוד פתוח חרק, המחייב להשבית את גלאי הפניית האינטרנט כברירת מחדל כדי לפתור בעיה זו. אנחנו חייבים לתת קרדיט לפרויקט Chromium: הבאג נמצא לפניאיך מאט תומאס של Verisign הביא לו הרבה תשומת לב עם שלו הודעה בבלוג APNIC. הבאג התגלה ביוני, אך נשאר נשכח עד לפוסט של תומס; לאחר הצום, הוא החל להיות תחת השגחה צמודה.

יש לקוות שהבעיה תיפתר בקרוב, ושרתי DNS שורשיים לא יצטרכו עוד להגיב ל-60 מיליארד השאילתות המזויפות המוערכות מדי יום.

על זכויות הפרסום

שרתים אפיים - האם VPS בווינדוס או לינוקס עם מעבדי משפחת AMD EPYC חזקים וכונני Intel NVMe מהירים מאוד. מהרו להזמין!

מקור: www.habr.com