Po dvoch rokoch vývoja konzorcium ISC predstavilo prvú stabilnú verziu novej dôležitej vetvy DNS servera BIND 9.18. Podpora vetvy 9.18 bude poskytovaná počas troch rokov do druhého kvartálu 2025 v rámci rozšíreného cyklu údržby. Podpora vetvy 9.11 sa skončí v marci a vetvy 9.16 v polovici roka 2023. Pre rozvoj funkčnosti nasledujúcej stabilnej verzie BIND bola vytvorená experimentálna vetva BIND 9.19.0.
Vydanie BIND 9.18.0 sa vyznačuje implementáciou podpory technológií „DNS cez HTTPS“ (DoH, DNS over HTTPS) a DNS cez TLS (DoT, DNS over TLS), ako aj mechanizmu XoT (XFR-over-TLS) pre bezpečný prenos obsahu DNS zón medzi servermi (podporuje sa ako odosielanie, tak aj prijímanie zón cez XoT). Pri príslušnom nastavení môže jeden proces named teraz obsluhovať nielen tradičné DNS dotazy, ale aj dotazy odoslané pomocou DNS-over-HTTPS a DNS-over-TLS. Klientská podpora DNS-over-TLS je zabudovaná do utilitky dig, ktorá môže byť použitá na odosielanie dotazov cez TLS pri špecifikovaní praporu „+tls“.
Implementácia protokolu HTTP/2, používaného v DoH, je založená na aplikácii knižnice nghttp2, ktorá patrí medzi voliteľné zostavovacie závislosti. Certifikáty pre DoH a DoT môžu byť poskytované používateľom alebo generované automaticky počas spustenia.
Spracovanie dotazov s použitím DoH a DoT sa aktivuje pridaním volieb „http“ a „tls“ do direktívy listen-on. Na podporu nezašifrovaného DNS-over-HTTP by sa v nastaveniach mala uviesť voľba „tls none“. Kľúče sú definované v sekcii „tls“. Štandardné sieťové porty 853 pre DoT, 443 pre DoH a 80 pre DNS-over-HTTP môžu byť prepísané cez parametre tls-port, https-port a http-port. Napríklad:
tls local-tls { key-file "\/path\/to\/priv_key.pem"; cert-file "\/path\/to\/cert_chain.pem"; }; http local-http-server { endpoints { "\/dns-query"; }; }; options { https-port 443; listen-on port 443 tls local-tls http myserver {any;}; }
Z osobitostí implementácie DoH v BIND je možnosť presunúť operácie šifrovania pre TLS na iný server, čo môže byť potrebné v podmienkach, keď sa TLS certifikáty uchovávajú na inej sústave (napríklad v infraštruktúre s webovými servermi) a obsluhuje ich iný personál. Podpora nešifrovaného DNS-over-HTTP je implementovaná pre zjednodušenie ladenia a ako úroveň pre presmerovanie na iný server vo vnútornej sieti (na oddelenie šifrovania na samostatnom serveri). Na externom serveri na generovanie TLS prevádzky môže byť použitý nginx, podobne ako sa organizuje obal HTTPS pre webové stránky.
Ďalšou zaujímavou vlastnosťou je integrácia DoH ako spoločného transportu, ktorý sa môže použiť nielen na spracovanie žiadostí klientov k rezolveru, ale aj pri výmene údajov medzi servermi, pri prenose zón autoritatívnym DNS serverom a pri spracovaní akýchkoľvek požiadaviek, ktoré podporujú iné DNS transporty.
Z nedostatkov, ktoré sa môžu kompenzovať vypnutím zostavenia s DoH/DoT alebo presunutím šifrovania na iný server, je potrebné vyzdvihnúť celkové skomplexnenie kódovej základne – do zloženia sa pridáva zabudovaný HTTP server a TLS knižnica, ktoré potenciálne môžu obsahovať zraniteľnosti a predstavovať dodatočné vektory pre útoky. Taktiež pri používaní DoH sa zvyšuje prevádzka.
Pripomeňme, že DNS-over-HTTPS môže byť užitočné na elimináciu únikov údajov o požadovaných menách hostiteľov cez DNS servery poskytovateľov, boj s MITM útokmi a podvrhnutím DNS prevádzky (napríklad pri pripojení k verejným Wi-Fi), ako aj na odolávanie blokovaniu na úrovni DNS (DNS-over-HTTPS nemôže nahradiť VPN v oblasti obídenia blokády, implementovanej na úrovni DPI) alebo na organizovanie práce v prípade nemožnosti priameho prístupu k DNS serverom (napríklad pri práci cez proxy). Ak v bežnej situácii DNS žiadosti priamo posielajú na konkrétne v konfigurácii systému DNS servery, tak v prípade DNS-over-HTTPS sa žiadosť na určenie IP adresy hosta inkapsuluje do HTTPS prevádzky a posiela sa na HTTP server, kde rezolver spracováva požiadavky cez Web API.
„DNS over TLS“ sa líši od „DNS over HTTPS“ tým, že používa štandardný protokol DNS (zvyčajne sietový port 853), zabalil do šifrovaného komunikačného kanála vytvoreného pomocou protokolu TLS s overením platnosti hostiteľa cez TLS/SSL certifikáty, ktoré sú overené certifikačným orgánom. Existujúci štandard DNSSEC používa šifrovanie len na autentifikáciu klienta a servera, ale nechránia prenos pred zachytávaním a nezaručujú dôvernosť požiadaviek.
Niektoré ďalšie novinky:
- Pridané nastavenia tcp-receive-buffer, tcp-send-buffer, udp-receive-buffer a udp-send-buffer na určenie veľkostí vyrovnávacích pamätí použité pri odosielaní a prijímaní požiadaviek cez TCP a UDP. Na zaťažených serveroch zvýšenie vstupných vyrovnávacích pamätí pomôže zabrániť stratám paketov počas špičkového prenosu, zatiaľ čo zníženie pomôže zbaviť sa zanášania pamäte starými požiadavkami.
- Pridaná nová kategória logov „rpz-passthru“, ktorá umožňuje samostatne zaznamenávať činnosti presmerovania RPZ (Response Policy Zones).
- V sekcii response-policy bola pridaná možnosť „nsdname-wait-recurse“, pri nastavení ktorej na hodnotu „no“ sa pravidlá RPZ NSDNAME aplikujú iba vtedy, ak sú pre požiadavku nájdené autoritatívne menné servery prítomné v cache, inak je pravidlo RPZ NSDNAME ignorované, ale informácie sú načítavané na pozadí a aplikované na následné požiadavky.
- Pre záznamy typov HTTPS a SVCB bola implementovaná správa sekcie „ADDITIONAL“.
- Pridané prispôsobiteľné typy pravidiel update-policy — krb5-subdomain-self-rhs a ms-subdomain-self-rhs, ktoré umožňujú obmedziť aktualizáciu záznamov SRV a PTR. V blokoch update-policy bola taktiež pridaná možnosť nastaviť obmedzenia počtu záznamov, oddelené pre každý typ.
- Do výstupu nástroja dig boli pridané informácie o prenosovom protokole (UDP, TCP, TLS, HTTPS) a prefixoch DNS64. Pre debugovacie účely bola do dig pridaná možnosť špecifikovať konkrétne ID požiadavky (dig +qid=).
- Pridaná podpora knižnice OpenSSL 3.0.
- Na vyriešenie problémov s fragmentáciou IP pri spracovaní veľkých DNS správ, označených iniciatívou DNS Flag Day 2020, bol z resolvera odstránený kód, ktorý vykonával úpravu veľkosti vyrovnávacej pamäte EDNS v prípade, že neprišla odpoveď na požiadavku. Veľkosť vyrovnávacej pamäte EDNS je teraz nastavená na pevnú hodnotu (edns-udp-size) pre všetky odchádzajúce požiadavky.
- Systém zostavovania bol preložený na používanie kombinácie autoconf, automake a libtool.
- Podpora pre súbory zón vo formáte „map“ (masterfile-format map) bola ukončená. Používateľom tohto formátu sa odporúča previesť zóny do formátu raw pomocou nástroja named-compilezone.
- Podpora starých ovládačov DLZ (Dynamically Loadable Zones) bola ukončená, nahradili ich moduly DLZ.
- Podpora kompilácie a spúšťania na platforme Windows bola ukončená. Posledná verzia, ktorú je možné nainštalovať na Windows, zostáva BIND 9.16.
Zdroj: opennet.ru
