ចូលចិត្ត និងមិនចូលចិត្ត៖ DNS លើ HTTPS

យើងវិភាគមតិទាក់ទងនឹងលក្ខណៈពិសេសរបស់ DNS លើ HTTPS ដែលថ្មីៗនេះបានក្លាយជា "ឆ្អឹងនៃការឈ្លោះប្រកែកគ្នា" ក្នុងចំណោមអ្នកផ្តល់អ៊ីនធឺណិត និងអ្នកបង្កើតកម្មវិធីរុករក។

/Unsplash/ ស្ទីវ ហាឡាម៉ា

ខ្លឹមសារនៃការមិនយល់ស្រប

ថ្មីៗនេះ, ប្រព័ន្ធផ្សព្វផ្សាយសំខាន់ៗ и វេទិកាប្រធានបទ (រួមទាំង Habr) ជាញឹកញាប់ពួកគេសរសេរអំពី DNS លើពិធីការ HTTPS (DoH) ។ វាអ៊ិនគ្រីបសំណើទៅម៉ាស៊ីនមេ DNS និងឆ្លើយតបទៅពួកគេ។ វិធីសាស្រ្តនេះអនុញ្ញាតឱ្យអ្នកលាក់ឈ្មោះរបស់ម៉ាស៊ីនដែលអ្នកប្រើប្រាស់ចូលប្រើ។ ពីការបោះពុម្ពផ្សាយយើងអាចសន្និដ្ឋានថាពិធីការថ្មី (នៅក្នុង IETF បានអនុម័តវា។ ក្នុងឆ្នាំ 2018) បានបែងចែកសហគមន៍ IT ជាពីរជំរុំ។

ពាក់កណ្តាលជឿថាពិធីការថ្មីនឹងធ្វើឱ្យប្រសើរឡើងនូវសុវត្ថិភាពអ៊ីនធឺណិត ហើយកំពុងអនុវត្តវាទៅក្នុងកម្មវិធី និងសេវាកម្មរបស់ពួកគេ។ ពាក់កណ្តាលផ្សេងទៀតត្រូវបានគេជឿជាក់ថាបច្ចេកវិទ្យាធ្វើឱ្យការងាររបស់អ្នកគ្រប់គ្រងប្រព័ន្ធកាន់តែពិបាក។ បន្ទាប់ យើងនឹងវិភាគអំណះអំណាងរបស់ភាគីទាំងពីរ។

របៀបដែល DoH ដំណើរការ

មុនពេលយើងចូលទៅក្នុងមូលហេតុដែល ISPs និងអ្នកចូលរួមទីផ្សារផ្សេងទៀតគឺសម្រាប់ ឬប្រឆាំងនឹង DNS លើ HTTPS សូមពិនិត្យមើលដោយសង្ខេបអំពីរបៀបដែលវាដំណើរការ។

ក្នុងករណី DoH សំណើដើម្បីកំណត់អាសយដ្ឋាន IP ត្រូវបានដាក់បញ្ចូលក្នុងចរាចរ HTTPS ។ បន្ទាប់មកវាទៅម៉ាស៊ីនមេ HTTP ដែលវាត្រូវបានដំណើរការដោយប្រើ API ។ នេះជាសំណើឧទាហរណ៍ពី RFC 8484 (ទំព័រ 6):

   :method = GET
   :scheme = https
   :authority = dnsserver.example.net
   :path = /dns-query?
           dns=AAABAAABAAAAAAAAAWE-NjJjaGFyYWN0ZXJsYWJl
           bC1tYWtlcy1iYXNlNjR1cmwtZGlzdGluY3QtZnJvbS1z
           dGFuZGFyZC1iYXNlNjQHZXhhbXBsZQNjb20AAAEAAQ
   accept = application/dns-message

ដូច្នេះចរាចរ DNS ត្រូវបានលាក់នៅក្នុងចរាចរ HTTPS ។ ម៉ាស៊ីនភ្ញៀវ និងម៉ាស៊ីនមេទំនាក់ទំនងតាមច្រកស្តង់ដារ 443។ ជាលទ្ធផល សំណើទៅកាន់ប្រព័ន្ធឈ្មោះដែននៅតែជាអនាមិក។

ហេតុអ្វីបានជាគាត់មិនពេញចិត្ត?

អ្នកប្រឆាំង DNS លើ HTTPS និយាយថាពិធីសារថ្មីនឹងកាត់បន្ថយសុវត្ថិភាពនៃការតភ្ជាប់។ ដោយ នេះបើយោងតាម Paul Vixie សមាជិកនៃក្រុមអភិវឌ្ឍន៍ DNS នឹងធ្វើឱ្យកាន់តែពិបាកសម្រាប់អ្នកគ្រប់គ្រងប្រព័ន្ធក្នុងការទប់ស្កាត់គេហទំព័រដែលមានគំនិតអាក្រក់។ អ្នកប្រើប្រាស់ធម្មតានឹងបាត់បង់សមត្ថភាពក្នុងការរៀបចំការគ្រប់គ្រងដោយមាតាបិតាតាមលក្ខខណ្ឌនៅក្នុងកម្មវិធីរុករក។

ទស្សនៈរបស់ Paul ត្រូវបានចែករំលែកដោយអ្នកផ្តល់សេវាអ៊ីនធឺណិតរបស់ចក្រភពអង់គ្លេស។ ច្បាប់ប្រទេស កាតព្វកិច្ច រារាំងពួកគេពីធនធានដែលមានមាតិកាហាមឃាត់។ ប៉ុន្តែការគាំទ្រសម្រាប់ DoH នៅក្នុងកម្មវិធីរុករកធ្វើឱ្យស្មុគស្មាញដល់ភារកិច្ចនៃការត្រងចរាចរ។ ការរិះគន់នៃពិធីសារថ្មីក៏រួមបញ្ចូលផងដែរនូវមជ្ឈមណ្ឌលទំនាក់ទំនងរដ្ឋាភិបាលក្នុងប្រទេសអង់គ្លេស (GCHQ) និងមូលនិធិឃ្លាំមើលអ៊ីនធឺណិត (មូលនិធិ IMF) ដែលរក្សាការចុះឈ្មោះនៃធនធានដែលត្រូវបានរារាំង។

នៅក្នុងប្លុករបស់យើងនៅលើ Habre:

• សង្គ្រាមលើមនុស្សយន្តនៅសហរដ្ឋអាមេរិក - អ្នកណាជាអ្នកឈ្នះ ហើយហេតុអ្វី?
• ទូរគមនាគមន៍អង់គ្លេសនឹងបង់ប្រាក់សំណងដល់អតិថិជនសម្រាប់ការរំខានសេវាកម្ម

អ្នកជំនាញកត់សម្គាល់ថា DNS លើ HTTPS អាចក្លាយជាការគំរាមកំហែងសន្តិសុខតាមអ៊ីនធឺណិត។ នៅដើមខែកក្កដា អ្នកជំនាញសន្តិសុខព័ត៌មានមកពី Netlab បានរកឃើញ មេរោគដំបូងដែលប្រើពិធីការថ្មីដើម្បីអនុវត្តការវាយប្រហារ DDoS - Godlua. មេរោគបានចូលប្រើ DoH ដើម្បីទទួលបានកំណត់ត្រាអត្ថបទ (TXT) និងទាញយកពាក្យបញ្ជា និងគ្រប់គ្រង URL របស់ម៉ាស៊ីនមេ។

សំណើ DoH ដែលបានអ៊ិនគ្រីបមិនត្រូវបានទទួលស្គាល់ដោយកម្មវិធីកំចាត់មេរោគទេ។ អ្នកឯកទេសសន្តិសុខព័ត៌មាន ខ្លាចថាបន្ទាប់ពី Godlua មេរោគផ្សេងទៀតនឹងមក ដោយមើលមិនឃើញចំពោះការត្រួតពិនិត្យ DNS អកម្ម។

ប៉ុន្តែមិនមែនគ្រប់គ្នាប្រឆាំងនឹងវាទេ។

ក្នុងការការពារ DNS លើ HTTPS នៅលើប្លក់របស់គាត់។ បាននិយាយចេញមក វិស្វករ APNIC លោក Geoff Houston ។ យោងទៅតាមគាត់ ពិធីការថ្មីនេះនឹងជួយប្រយុទ្ធប្រឆាំងនឹងការវាយប្រហារ DNS hijacking ដែលបានក្លាយជារឿងធម្មតាកាន់តែខ្លាំងឡើងនាពេលថ្មីៗនេះ។ ការពិតនេះ។ បញ្ជាក់ របាយការណ៍ខែមករាពីក្រុមហ៊ុនសន្តិសុខអ៊ីនធឺណិត FireEye ។ ក្រុមហ៊ុន IT ធំៗក៏បានគាំទ្រដល់ការបង្កើតពិធីការនេះផងដែរ។

នៅដើមឆ្នាំមុន DoH បានចាប់ផ្តើមសាកល្បងនៅ Google ។ ហើយមួយខែមុនក្រុមហ៊ុន បង្ហាញ កំណែភាពអាចរកបានទូទៅនៃសេវាកម្ម DoH របស់វា។ នៅលើ Google ក្តីសង្ឃឹមថាវានឹងបង្កើនសុវត្ថិភាពទិន្នន័យផ្ទាល់ខ្លួននៅលើបណ្តាញ និងការពារប្រឆាំងនឹងការវាយប្រហាររបស់ MITM ។

អ្នកអភិវឌ្ឍន៍កម្មវិធីរុករកផ្សេងទៀត - Mozilla - គាំទ្រ DNS លើ HTTPS តាំងពីរដូវក្តៅមុន។ ទន្ទឹមនឹងនោះ ក្រុមហ៊ុនកំពុងធ្វើការផ្សព្វផ្សាយយ៉ាងសកម្មនូវបច្ចេកវិទ្យាថ្មីៗនៅក្នុងបរិយាកាស IT ។ ចំពោះបញ្ហានេះ សមាគមអ្នកផ្តល់សេវាអ៊ីនធឺណិត (ISPA) សូម្បីតែត្រូវបានតែងតាំង Mozilla សម្រាប់ពានរង្វាន់ Internet Villain of the Year ។ ជាការឆ្លើយតប តំណាងក្រុមហ៊ុន បានកត់សម្គាល់ដែលខកចិត្តដោយការស្ទាក់ស្ទើររបស់ប្រតិបត្តិករទូរគមនាគមន៍ក្នុងការកែលម្អហេដ្ឋារចនាសម្ព័ន្ធអ៊ីនធឺណិតហួសសម័យរបស់ពួកគេ។

/Unsplash/ ធីត្រេបប៊ីន

ក្នុងការគាំទ្រ Mozilla ប្រព័ន្ធផ្សព្វផ្សាយធំៗបាននិយាយ និងអ្នកផ្តល់អ៊ីនធឺណិតមួយចំនួន។ ជាពិសេសនៅ British Telecom ពិចារណាថាពិធីការថ្មីនឹងមិនប៉ះពាល់ដល់ការត្រងមាតិកា ហើយនឹងធ្វើឱ្យសុវត្ថិភាពរបស់អ្នកប្រើប្រាស់ចក្រភពអង់គ្លេសប្រសើរឡើង។ ក្រោមសម្ពាធសាធារណៈ ISPA ត្រូវតែរំលឹកឡើងវិញ ការតែងតាំង "មនុស្សអាក្រក់" ។

អ្នកផ្តល់សេវា Cloud ក៏បានតស៊ូមតិចំពោះការណែនាំ DNS លើ HTTPS ជាឧទាហរណ៍ Cloudflare. ពួកគេផ្តល់សេវា DNS រួចហើយដោយផ្អែកលើពិធីការថ្មី។ បញ្ជីពេញលេញនៃកម្មវិធីរុករក និងអតិថិជនដែលគាំទ្រ DoH មាននៅ GitHub.

ទោះ​យ៉ាង​ណា​ក៏​ដោយ គេ​មិន​ទាន់​អាច​និយាយ​ពី​ការ​បញ្ចប់​ការ​ប្រឈម​មុខ​ដាក់​គ្នា​រវាង​ជំរំ​ទាំង​ពីរ​នៅ​ឡើយ​ទេ។ អ្នកជំនាញ IT ព្យាករណ៍ថា ប្រសិនបើ DNS លើ HTTPS ត្រូវបានកំណត់ឱ្យក្លាយជាផ្នែកមួយនៃជង់បច្ចេកវិទ្យាអ៊ីនធឺណែត នោះវានឹងត្រូវការ ច្រើនជាងមួយទសវត្សរ៍.

តើមានអ្វីទៀតដែលយើងសរសេរអំពីនៅក្នុងប្លុកសាជីវកម្មរបស់យើង៖

• របៀបដែលបណ្តាញអ្នកផ្តល់សេវាអ៊ីនធឺណិតត្រូវបានបង្កើតឡើង
• សេវាមូលដ្ឋាននៅក្នុងបណ្តាញអ្នកផ្តល់សេវាអ៊ីនធឺណិត
• ការបង្រួបបង្រួម និងការបង្រួបបង្រួម - កិច្ចការច្រើននៅលើឧបករណ៍មួយ។

ប្រភព: www.habr.com