{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/ro\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimizarea riscurilor utiliz\u0103rii DNS-over-TLS (DoT) \u0219i DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimizareaMinimizarea riscurilor utiliz\u0103rii DoH \u0219i DoT<\/p>\n

Protec\u021bia \u00eempotriva DoH \u0219i DoT<\/h2>\n

Controlo\u021bi traficul DNS? Organiza\u021biile investesc mult timp, bani \u0219i eforturi \u00een asigurarea securit\u0103\u021bii re\u021belilor lor. Totu\u0219i, una dintre domeniile care adesea nu prime\u0219te aten\u021bia necesar\u0103 este DNS. <\/p>\n

O bun\u0103 prezentare a riscurilor pe care le aduce DNS este prezentarea Verisign<\/a><\/noindex> la conferin\u021ba Infosecurity. <\/p>\n

\"Minimizarea31% dintre clasele de programe de tip ransomware studiate au utilizat DNS pentru schimbul de chei.Concluziile studiului<\/p>\n

31% dintre clasele de programe de tip ransomware studiate au utilizat DNS pentru schimbul de chei.<\/p>\n

Problema este serioas\u0103. Conform laboratorului de cercetare Palo Alto Networks Unit 42, aproximativ 85% dintre programele malware utilizeaz\u0103 DNS pentru a stabili un canal de comand\u0103 \u0219i control, permi\u021b\u00e2nd atacatorilor s\u0103 introduc\u0103 u\u0219or malware \u00een re\u021beaua dumneavoastr\u0103 \u0219i s\u0103 fure date. De la \u00eenfiin\u021barea sa, traficul DNS a fost \u00een principal necriptat \u0219i a fost u\u0219or de analizat de mecanismele de protec\u021bie NGFW. <\/p>\n

Au ap\u0103rut noi protocoale pentru DNS, care vizeaz\u0103 \u00eembun\u0103t\u0103\u0163irea confiden\u0163ialit\u0103\u0163ii conexiunilor DNS. Acestea sunt sus\u0163inute activ de principalii furnizori de browsere \u015fi al\u0163ii furnizori de software. \u00cen cur\u00e2nd, va \u00eencepe o cre\u015ftere a traficului DNS criptat \u00een re\u0163elele corporative. Traficul DNS criptat, care nu este analizat \u00een mod adecvat de instrumentele corespunz\u0103toare \u015fi este permis, reprezint\u0103 o amenin\u0163are la adresa securit\u0103\u0163ii companiei. De exemplu, o astfel de amenin\u0163are sunt ransomware-urile, care folosesc DNS pentru schimbul de chei de criptare. Atacatorii cer acum o r\u0103scump\u0103rare de c\u00e2teva milioane de dolari pentru a restaura accesul la datele dumneavoastr\u0103. \u00cen compania Garmin, de exemplu, au pl\u0103tit 10 milioane de dolari.<\/p>\n

Cu o configurare corect\u0103, NGFW poate interzice sau proteja utilizarea DNS-over-TLS (DoT) \u0219i poate fi utilizat pentru a interzice utilizarea DNS-over-HTTPS (DoH), ceea ce permite analizarea \u00eentregului trafic DNS din re\u021beaua dumneavoastr\u0103.<\/p>\n

Ce este DNS criptat?<\/h2>\n

Ce este DNS<\/p>\n

Sistemul de nume de domenii (DNS) converte\u0219te numele de domenii u\u0219or de citit de c\u0103tre oameni (de exemplu, adresa www.paloaltonetworks.com<\/a><\/noindex> ) \u00een IP-uri (de exemplu, 34.107.151.202). C\u00e2nd un utilizator introduce un nume de domeniu \u00een browser, acesta trimite o solicitare DNS c\u0103tre serverul DNS, cer\u00e2nd IP-ul asociat cu acel nume de domeniu. Ca r\u0103spuns, serverul DNS returneaz\u0103 IP-ul pe care acesta \u00eel va folosi.<\/p>\n

Solicit\u0103rile \u0219i r\u0103spunsurile DNS sunt transmise prin re\u021bea sub form\u0103 de text simplu, necriptat, ceea ce le face vulnerabile la spionaj sau la modificarea r\u0103spunsului \u0219i redirec\u021bionarea browserului c\u0103tre servere mali\u021bioase. Criptarea DNS \u00eengreuneaz\u0103 urm\u0103rirea solicit\u0103rilor DNS sau modificarea acestora \u00een timpul transmisiei. Criptarea solicit\u0103rilor \u0219i r\u0103spunsurilor DNS te protejeaz\u0103 de atacurile Man-in-the-Middle, \u00eendeplinind totodat\u0103 acelea\u0219i func\u021bii ca protocolul DNS tradi\u021bional (sistemul de nume de domenii) \u00een text clar. <\/p>\n

\u00cen ultimii c\u00e2\u021biva ani, au fost implementate dou\u0103 protocoale de criptare DNS:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Aceste protocoale au un punct comun: ascund \u00een mod deliberat cererile DNS de orice interceptare... inclusiv de c\u0103tre securitatea organiza\u0163iei. Protocoalele folosesc \u00een principal protocolul TLS (Transport Layer Security) pentru a stabili o conexiune criptat\u0103 \u00eentre clientul care efectueaz\u0103 cererile \u015fi serverul care rezolv\u0103 cererile DNS, printr-un port care, de obicei, nu este utilizat pentru traficul DNS.<\/p>\n

    Confiden\u021bialitatea solicit\u0103rilor DNS este un mare avantaj al acestor protocoale. Cu toate acestea, ele creeaz\u0103 probleme speciali\u0219tilor \u00een securitate care trebuie s\u0103 monitorizeze traficul de re\u021bea \u0219i s\u0103 detecteze \u0219i s\u0103 blocheze conexiunile mali\u021bioase. Deoarece protocoalele difer\u0103 \u00een implementare, metodele de analiz\u0103 vor fi diferite pentru DoH \u0219i DoT.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"MinimizareaDNS \u00een cadrul HTTPS<\/p>\n

    DoH utilizeaz\u0103 portul bine cunoscut 443 pentru HTTPS, pentru care \u00een RFC este specificat \u00een mod special c\u0103 scopul este de a \u201eamesteca traficul DoH cu alt traficul HTTPS \u00een aceea\u0219i conexiune\u201d, \u201e\u00eengreun\u00e2nd analiza traficului DNS\u201d \u0219i, astfel, ocolind m\u0103surile de control corporativ ( RFC 8484 DoH, sec\u021biunea 8.1<\/a><\/noindex> ). Protocolul DoH utilizeaz\u0103 criptarea TLS \u0219i sintaxa solicit\u0103rilor furnizat\u0103 de standardele comune HTTPS \u0219i HTTP\/2, ad\u0103ug\u00e2nd solicit\u0103ri \u0219i r\u0103spunsuri DNS deasupra solicit\u0103rilor standard HTTP.<\/p>\n

    Riscurile asociate cu DoH<\/h2>\n

    Dac\u0103 nu pute\u021bi distinge traficul HTTPS obi\u0219nuit de cererile DoH, aplica\u021biile din cadrul organiza\u021biei dvs. pot (\u0219i vor) ocoli set\u0103rile DNS locale, redirec\u021bion\u00e2nd cererile c\u0103tre servere externe care r\u0103spund la cererile DoH, ceea ce ocole\u0219te orice monitorizare, adic\u0103 distruge capacitatea de a controla traficul DNS. Ideal ar fi s\u0103 controla\u021bi DoH folosind func\u021bii de decriptare HTTPS. <\/p>\n

    \u0218i Google \u0219i Mozilla au implementat capabilit\u0103\u021bile DoH<\/a><\/noindex> \u00een ultima versiune a browserelor lor, iar ambele companii lucreaz\u0103 la utilizarea DoH ca setare implicit\u0103 pentru toate cererile DNS. Microsoft dezvolt\u0103, de asemenea, planuri<\/a><\/noindex> pentru integrarea DoH \u00een sistemele sale de operare. Un dezavantaj este c\u0103 nu doar companii de software respectabile, ci \u0219i r\u0103u inten\u021biona\u021bi au \u00eenceput s\u0103 foloseasc\u0103 DoH ca un mijloc de a ocoli m\u0103surile tradi\u021bionale de firewall corporativ. (De exemplu, consulta\u021bi articolele urm\u0103toare: PsiXBot acum folose\u0219te Google DoH<\/a><\/noindex> , PsiXBot continu\u0103 s\u0103 evolueze cu o infrastructur\u0103 DNS actualizat\u0103<\/a><\/noindex> \u0219i analiza backdoor-ului Godlua<\/a><\/noindex> .) Oricum, at\u00e2t traficul DoH bun, c\u00e2t \u0219i cel mali\u021bios va r\u0103m\u00e2ne nedetectat, l\u0103s\u00e2nd organiza\u021bia oarb\u0103 la utilizarea mali\u021bioas\u0103 a DoH ca un canal pentru managementul software-ului mali\u021bios (C2) \u0219i furtul de date confiden\u021biale.<\/p>\n

    Asigurarea vizibilit\u0103\u021bii \u0219i controlului traficului DoH<\/h2>\n

    Ca cea mai bun\u0103 solu\u021bie pentru controlul DoH, recomand\u0103m configurarea decrypt\u0103rii traficului HTTPS \u00een NGFW \u0219i blocarea traficului DoH (numele aplica\u021biei: dns-over-https). <\/p>\n

    \u00cen primul r\u00e2nd, asigura\u021bi-v\u0103 c\u0103 NGFW este configurat pentru decriptarea HTTPS, conform ghidului de bune practici pentru decriptare<\/a><\/noindex>.<\/p>\n

    \u00cen al doilea r\u00e2nd, crea\u021bi o regul\u0103 pentru traficul aplica\u021biei \u201edns-over-https\u201d, dup\u0103 cum este ar\u0103tat mai jos:<\/p>\n

    \"MinimizareaRegula Palo Alto Networks NGFW pentru blocarea DNS-over-HTTPS<\/p>\n

    Ca alternativ\u0103 intermediar\u0103 (dac\u0103 organiza\u021bia dvs. nu a implementat complet decriptarea HTTPS) NGFW poate fi configurat pentru a aplica ac\u021biunea \u201ea interzice\u201d identificatorului aplica\u021biei \u201edns-over-https\u201d, dar efectul va fi limitat la blocarea anumitor servere DoH bine cunoscute dup\u0103 numele lor de domeniu, deoarece f\u0103r\u0103 decriptarea HTTPS traficul DoH nu poate fi complet verificat (vezi.  Applipedia de la Palo Alto Networks<\/a><\/noindex>   \u0219i c\u0103uta\u021bi fraza \u201edns-over-https\u201d).<\/p>\n

    DNS over TLS (DoT)<\/h2>\n

    \"MinimizareaDNS \u00een cadrul TLS<\/p>\n

    \u00cen timp ce protocolul DoH caut\u0103 s\u0103 se amestece cu alte tipuri de trafic pe acelea\u0219i porturi, DoT utilizeaz\u0103 \u00een mod implicit un port special rezervat pentru acest singur scop, interzic\u00e2nd \u00een mod special utilizarea acelui\u0219i port pentru traficul DNS tradi\u021bional necriptat ( RFC 7858, Sec\u021biunea 3.1<\/a><\/noindex> ).<\/p>\n

    Protocolul DoT utilizeaz\u0103 protocolul TLS pentru a asigura criptarea, \u00eencapsul\u00e2nd cererile standard ale protocolului DNS, cu traficul care folose\u0219te portul bine cunoscut 853 ( RFC 7858, Sec\u021biunea 6<\/a><\/noindex> ). Protocollul DoT a fost dezvoltat pentru a simplifica blocarea traficului pe port de c\u0103tre organiza\u0163ii, pentru a fi de acord cu utilizarea acestuia, dar a activa decriptarea pe acest port.<\/p>\n

    Riscurile asociate cu DoT<\/h2>\n

    Google a implementat DoT \u00een clientul s\u0103u Android 9 Pie \u0219i versiunile ulterioare<\/a><\/noindex> , cu setarea implicit activat\u0103 pentru utilizarea automat\u0103 a DoT, dac\u0103 este disponibil. Dac\u0103 a\u021bi evaluat riscurile \u0219i sunte\u021bi preg\u0103ti\u021bi s\u0103 utiliza\u021bi DoT la nivel de organiza\u021bie, atunci este necesar ca administratorii de re\u021bea s\u0103 permit\u0103 explicit traficul de ie\u0219ire pe portul 853 prin perimeterul lor pentru acest nou protocol.<\/p>\n

    Asigurarea vizibilit\u0103\u021bii \u0219i controlului traficului DoT<\/h2>\n

    Ca cea mai bun\u0103 metod\u0103 de control pentru DoT, recomand\u0103m oricare dintre op\u021biunile de mai sus, \u00een func\u021bie de cerin\u021bele organiza\u021biei dumneavoastr\u0103:<\/p>\n