Olika aspekter av DNS-anvÀndning har redan flera gÄnger berörts av författaren i en rad publicerade inlÀgg inom bloggen. Huvudfokus har dock alltid legat pÄ att öka sÀkerheten för denna nyckelkomponent i hela internet-tjÀnsten.
För fram till nyligen, trots den uppenbara sÄrbarheten i DNS-trafiken, som fortfarande till största delen överförs i öppet format, för illvilliga handlingar frÄn leverantörer som strÀvar efter att öka sina intÀkter genom att införa reklam i innehÄllet, statliga myndigheter och censur, samt helt enkelt brottslingar, har processen , trots förekomsten av olika teknologier som DNSSEC/DANE, DNScrypt, DNS-over-TLS och DNS-over-HTTPS, stÄtt stilla. Och om serverlösningar, varav vissa funnits lÀnge, Àr allmÀnt kÀnda och tillgÀngliga, ÄterstÄr det mycket att önska nÀr det gÀller stöd frÄn klientprogramvaran.
Lyckligtvis förÀndras situationen. SÀrskilt utvecklarna av den populÀra webblÀsaren Firefox har planer pÄ att inkludera stöd för (DoH) som standard inom kort. Detta bör hjÀlpa till att skydda anvÀndarens WWW DNS-trafik frÄn ovan nÀmnda hot, men kan ocksÄ potentiellt skapa nya.
1. Problem med DNS-over-HTTPS
Vid första ögonkastet vÀcker den ökande anvÀndningen av DNS-over-HTTPS i programvara vilken arbetar pÄ internet endast positiva reaktioner. Men, som man sÀger, ligger djÀvulen i detaljerna.
Det första problemet som begrÀnsar den breda acceptansen av DoH Àr dess fokus enbart pÄ webbtrafik. Faktiskt Àr HTTP-protokollet och dess aktuella version HTTP/2, som ligger till grund för DoH, kÀrnan i WWW. Men internet handlar inte bara om webben. Det finns en mÀngd populÀra tjÀnster, sÄsom e-post, olika meddelandeprogram, filöverföringssystem, medieströmning och sÄ vidare, som inte anvÀnder HTTP. SÄledes visar det sig att, trots att mÄnga ser DoH som en panacea, Àr det oanvÀndbart utan ytterligare (och onödiga) insatser, för nÄgonting annat Àn webblÀsarteknologier. För att nÀmna nÄgot, verkar DNS-over-TLS vara en mycket mer vÀrdig kandidat för denna roll, som implementerar inkapsling av standard DNS-trafik i det skyddade standardprotokollet TLS.
Det andra problemet, som Àr potentiellt mycket mer betydelsefullt Àn det första, Àr den faktiska bortkopplingen frÄn den inneboende decentraliseringen av DNS by design till förmÄn för att anvÀnda en enda DoH-server angiven i webblÀsarinstÀllningarna. Specifikt föreslÄr Mozilla att anvÀnda en tjÀnst frÄn Cloudflare. Liknande tjÀnster har Àven lanserats av andra framstÄende aktörer pÄ internet, bland annat Google. Det visar sig att införandet av DNS-over-HTTPS i den form det föreslÄs nu, bara ökar slutkundernas beroende av de största tjÀnsterna. Det Àr ingen hemlighet att informationen frÄn analysen av DNS-förfrÄgningar kan samla Ànnu mer data om anvÀndarna samt göra dem mer exakta och aktuella.
I detta avseende har författaren varit och förblir en föresprÄkare för en bred implementering av inte DNS-over-HTTPS, utan DNS-over-TLS i kombination med DNSSEC/DANE som ett universellt, sÀkert och icke-centraliseringfrÀmjande medel för att sÀkerstÀlla sÀkerheten för DNS-trafik. TyvÀrr kan man inte vÀnta sig en snabb implementering av massstödet för alternativ till DoH i klientprogramvara av förstÄeliga skÀl, och det Àr fortfarande entusiasterna för sÀker teknik som stÄr för denna framtid.
Men nu nÀr vi faktiskt har DoH, varför inte anvÀnda det, efter att ha övergÄtt frÄn potentiell övervakning frÄn företag via deras servrar till vÄr egen DNS-over-HTTPS-server?
2. Protokollet DNS-over-HTTPS
Om vi tittar pÄ standarden som beskriver protokollet DNS-over-HTTPS, kan vi se att det i grunden Àr ett webb-API som gör det möjligt att kapsla in ett standard-DNS-paket i HTTP/2-protokollet. Detta Ästadkoms genom speciella HTTP-huvuden samt konvertering av det binÀra formatet av överförda DNS-data (se och efterföljande dokument) till ett format som möjliggör överföring och mottagning av dem, samt arbete med nödvÀndiga metadata.
Enligt standarden stöds endast HTTP/2 och en sÀker TLS-anslutning.
Skickande av DNS-förfrÄgningar kan göras med standardmetoderna GET och POST. I det första fallet transformeras förfrÄgan till en base64URL-kodad strÀng, medan den i det andra överförs genom POST-förfrÄgans kropp i binÀr form. HÀr anvÀnds en speciell MIME-typ för data bÄde vid förfrÄgan och svaret pÄ DNS application/dns-message.
root@eprove:~ # curl -H 'accept: application/dns-message' 'https://my.domaint/dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE' -v
* Försöker 2001:100:200:300::400:443...
* TCP_NODELAY instÀllt
* Ansluten till eprove.net (2001:100:200:300::400) port 443 (#0)
* ALPN, erbjuder h2
* ALPN, erbjuder http/1.1
* Lyckades stÀlla in platser för certifikatverifiering:
* CAfile: /usr/local/share/certs/ca-root-nss.crt
CApath: none
* TLSv1.3 (UT), TLS-handshake, KlienthÀlsning (1):
* TLSv1.3 (IN), TLS-handshake, ServerhÀlsning (2):
* TLSv1.3 (IN), TLS-handshake, Krypterade tillÀgg (8):
* TLSv1.3 (IN), TLS-handshake, Certifikat (11):
* TLSv1.3 (IN), TLS-handshake, CERT verifiera (15):
* TLSv1.3 (IN), TLS-handshake, Avslutad (20):
* TLSv1.3 (UT), TLS Ă€ndra chiffer, Ăndra chiffer specifikation (1):
* TLSv1.3 (UT), TLS-handshake, Avslutad (20):
* SSL-anslutning anvÀnder TLSv1.3 / TLS_AES_256_GCM_SHA384
* ALPN, server accepterade att anvÀnda h2
* Servercertifikat:
* Àmne: CN=my.domain
* startdatum: Jul 22 00:07:13 2019 GMT
* utgÄngsdatum: Oct 20 00:07:13 2019 GMT
* subjectAltName: vÀrd "my.domain" matchade certifikatets "my.domain"
* utfÀrdare: C=US; O=Let's Encrypt; CN=Let's Encrypt Authority X3
* SSL-certifikat verifiering ok.
* AnvÀnder HTTP2, server stöder flermÄlsanvÀndning
* AnslutningstillstÄnd Àndrat (HTTP/2 bekrÀftad)
* Kopierar HTTP/2-data i strömbuffern till anslutningsbuffert efter uppgradering: len=0
* AnvÀnder Stream ID: 1 (enkla hantera 0x801441000)
> GET /dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE HTTP/2
> VĂ€rd: eprove.net
> User-Agent: curl/7.65.3
> accept: application/dns-message
>
* TLSv1.3 (IN), TLS-handshake, Ny session biljet (4):
* AnslutningstillstÄnd Àndrat (MAX_CONCURRENT_STREAMS == 100)!
< HTTP/2 200
< server: h2o/2.3.0-beta2
< content-type: application/dns-message
< cache-control: max-age=86274
< date: Thu, 12 Sep 2019 13:07:25 GMT
< strict-transport-security: max-age=15768000; includeSubDomains; preload
< content-length: 45
<
Varning: BinÀrt utdata kan förstöra din terminal. AnvÀnd "--output -" för att sÀga
Varning: curl att outputa det till din terminal ÀndÄ, eller övervÀg "--output
Varning: " för att spara till en fil.
* Misslyckades med att skriva kropp (0 != 45)
* stoppade pausen ström!
* Anslutning #0 till vÀrd eprove.net lÀmnade intaktObservera Àven rubriken cache-control: i svaret frÄn webbservern. I parametern max-age finns vÀrdet TTL för den returnerade DNS-posten (eller det minimi vÀrde om en uppsÀttning returneras).
Baserat pÄ ovanstÄende bestÄr funktionaliteten hos en DoH-server av flera steg.
- Ta emot HTTP-förfrÄgan. Om det Àr en GET sÄ dekoda paketet frÄn base64URL-kodning.
- Skicka detta paket till DNS-servern.
- Ta emot svaret frÄn DNS-servern.
- Hitta det minimi vÀrde TTL i de mottagna posterna.
- Returnera svaret till klienten via HTTP.
3. Egen DNS-over-HTTPS-server
Det enklaste, snabbaste och mest effektiva sÀttet att starta sin egen DNS-over-HTTPS-server verkar vara att anvÀnda en HTTP/2-webbserver , som författaren redan kort har skrivit om (se "«).
Till fördel för detta val spelar det faktum att hela koden för den egna DoH-servern kan implementeras helt med hjÀlp av den integrerade interpreter som finns i H2O . För att utbyta data med DNS-servern behövs biblioteket (mrbgem) Socket, vilket lyckligtvis redan ingÄr i den aktuella utvecklingsversionen av H2O 2.3.0-beta2 i FreeBSD-portarna. Det Àr dock inte svÄrt att lÀgga till det i nÄgon tidigare version genom att klona repositoryt i katalogen /deps före kompileringen.
root@beta:~ # uname -v
FreeBSD 12.0-RELEASE-p10 GENERIC
root@beta:~ # cd /usr/ports/www/h2o
root@beta:/usr/ports/www/h2o # make extract
===> Licens MIT BSD2CLAUSE accepterad av anvÀndaren
===> h2o-2.2.6 beror pÄ fil: /usr/local/sbin/pkg - hittad
===> HÀmtar alla distfiler som krÀvs av h2o-2.2.6 för att bygga
===> Extraherar för h2o-2.2.6.
=> SHA256 Kontrollsumma OK för h2o-h2o-v2.2.6_GH0.tar.gz.
===> h2o-2.2.6 beror pÄ fil: /usr/local/bin/ruby26 - hittad
root@beta:/usr/ports/www/h2o # cd work/h2o-2.2.6/deps/
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # git clone https://github.com/iij/mruby-socket.git
Klonar in i "mruby-socket"...
remote: UpprÀkning av objekt: 385, fÀrdigt.
remote: Totalt 385 (delta 0), ÄteranvÀnda 0 (delta 0), pack-reused 385
HĂ€mtar objekt: 100% (385/385), 98.02 KiB | 647.00 KiB/s, klart.
FaststÀllande av Àndringar: 100% (208/208), klart.
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # ll
total 181
drwxr-xr-x 9 root wheel 18 12 aug. 16:09 brotli/
drwxr-xr-x 2 root wheel 4 12 aug. 16:09 cloexec/
drwxr-xr-x 2 root wheel 5 12 aug. 16:09 golombset/
drwxr-xr-x 4 root wheel 35 12 aug. 16:09 klib/
drwxr-xr-x 2 root wheel 5 12 aug. 16:09 libgkc/
drwxr-xr-x 4 root wheel 26 12 aug. 16:09 libyrmcds/
drwxr-xr-x 13 root wheel 32 12 aug. 16:09 mruby/
drwxr-xr-x 5 root wheel 11 12 aug. 16:09 mruby-digest/
drwxr-xr-x 5 root wheel 10 12 aug. 16:09 mruby-dir/
drwxr-xr-x 5 root wheel 10 12 aug. 16:09 mruby-env/
drwxr-xr-x 4 root wheel 9 12 aug. 16:09 mruby-errno/
drwxr-xr-x 5 root wheel 14 12 aug. 16:09 mruby-file-stat/
drwxr-xr-x 5 root wheel 10 12 aug. 16:09 mruby-iijson/
drwxr-xr-x 5 root wheel 11 12 aug. 16:09 mruby-input-stream/
drwxr-xr-x 6 root wheel 11 12 aug. 16:09 mruby-io/
drwxr-xr-x 5 root wheel 10 12 aug. 16:09 mruby-onig-regexp/
drwxr-xr-x 4 root wheel 10 12 aug. 16:09 mruby-pack/
drwxr-xr-x 5 root wheel 10 12 aug. 16:09 mruby-require/
drwxr-xr-x 6 root wheel 10 12 sep. 16:10 mruby-socket/
drwxr-xr-x 2 root wheel 9 12 aug. 16:09 neverbleed/
drwxr-xr-x 2 root wheel 13 12 aug. 16:09 picohttpparser/
drwxr-xr-x 2 root wheel 4 12 aug. 16:09 picotest/
drwxr-xr-x 9 root wheel 16 12 aug. 16:09 picotls/
drwxr-xr-x 4 root wheel 8 12 aug. 16:09 ssl-conservatory/
drwxr-xr-x 8 root wheel 18 12 aug. 16:09 yaml/
drwxr-xr-x 2 root wheel 8 12 aug. 16:09 yoml/
root@beta:/usr/ports/www/h2o/work/h2o-2.2.6/deps # cd ../../..
root@beta:/usr/ports/www/h2o # make install clean
...Webbserverkonfigurationen Àr i stort sett standard.
root@beta:\/usr\/ports\/www\/h2o # cd \/usr\/local\/etc\/h2o\/\nroot@beta:\/usr\/local\/etc\/h2o # cat h2o.conf\n# detta exempelkonfiguration ger dig en kÀnsla för hur h2o kan anvÀndas\n# och en högsÀkerhetskonfiguration för TLS och HTTP-huvuden\n# se https:\/\/h2o.examp1e.net\/ för detaljerad dokumentation\n# och h2o --help för kommandoradsalternativ och instÀllningar\n\n# v.20180207 (c)2018 av Max Kostikov http:\/\/kostikov.co e-post: max@kostikov.co\n\nuser: www\npid-file: \/var\/run\/h2o.pid\naccess-log:\n path: \/var\/log\/h2o\/h2o-access.log\n format: "%h %v %l %u %t \"%r\" %s %b \"%{Referer}i\" \"%{User-agent}i\""\nerror-log: \/var\/log\/h2o\/h2o-error.log\n\nexpires: off\ncompress: on\nfile.dirlisting: off\nfile.send-compressed: on\n\nfile.index: [ 'index.html', 'index.php' ]\n\nlisten:\n port: 80\nlisten:\n port: 443\n ssl:\n cipher-suite: ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-AES128-SHA256:ECDHE-RSA-AES128-SHA256:ECDHE-ECDSA-AES128-SHA:ECDHE-RSA-AES256-SHA384:ECDHE-RSA-AES128-SHA:ECDHE-ECDSA-AES256-SHA384:ECDHE-ECDSA-AES256-SHA:ECDHE-RSA-AES256-SHA:DHE-RSA-AES128-SHA256:DHE-RSA-AES128-SHA:DHE-RSA-AES256-SHA256:DHE-RSA-AES256-SHA:ECDHE-ECDSA-DES-CBC3-SHA:ECDHE-RSA-DES-CBC3-SHA:EDH-RSA-DES-CBC3-SHA:AES128-GCM-SHA256:AES256-GCM-SHA384:AES128-SHA256:AES256-SHA256:AES128-SHA:AES256-SHA:DES-CBC3-SHA:!DSS\n cipher-preference: server\n dh-file: \/etc\/ssl\/dhparams.pem\n certificate-file: \/usr\/local\/etc\/letsencrypt\/live\/eprove.net\/fullchain.pem\n key-file: \/usr\/local\/etc\/letsencrypt\/live\/my.domain\/privkey.pem\n\nhosts:\n \"*.my.domain\":\n paths: &go_tls\n \"\/\":\n redirect:\n status: 301\n url: https:\/\/my.domain\/\n \"my.domain:80\":\n paths: *go_tls\n \"my.domain:443\":\n header.add: \"Strict-Transport-Security: max-age=15768000; includeSubDomains; preload\"\n paths:\n \"\/dns-query\":\n mruby.handler-file: \/usr\/local\/etc\/h2o\/h2odoh.rbDet enda undantaget Àr URL-hanteraren /dns-query som ansvarar för vÄr DNS-over-HTTPS-server, skriven i mruby och kallad via hanterarens alternativ mruby.handler-file.
root@beta:/usr/local/etc/h2o # cat h2odoh.rb
# H2O HTTP/2 webbserver som DNS-over-HTTP-tjÀnst
# v.20190908 (c)2018-2019 Max Kostikov https://kostikov.co e-post: max@kostikov.co
proc {|env|
if env['HTTP_ACCEPT'] == "application/dns-message"
case env['REQUEST_METHOD']
when "GET"
req = env['QUERY_STRING'].gsub(/^dns=/,'')
# base64URL avkodning
req = req.tr("-_", "+/")
if !req.end_with?("=") && req.length % 4 != 0
req = req.ljust((req.length + 3) & ~3, "=")
end
req = req.unpack1("m")
when "POST"
req = env['rack.input'].read
else
req = ""
end
if req.empty?
[400, { 'content-type' => 'text/plain' }, [ "Fel begÀran" ]]
else
# --- frÄga DNS-server
sock = UDPSocket.new
sock.connect("localhost", 53)
sock.send(req, 0)
str = sock.recv(4096)
sock.close
# --- hitta lÀgsta TTL i svaret
nans = str[6, 2].unpack1('n') # antal svar
if nans > 0 # ingen DNS-fel
shift = 12
ttl = 0
while nans > 0
# bearbeta domÀnnamn komprimering
if str[shift].unpack1("C") curttl
ttl = curttl
end
nans -= 1
end
cc = 'max-age=' + ttl.to_s
else
cc = 'no-cache'
end
[200, { 'content-type' => 'application/dns-message', 'content-length' => str.size, 'cache-control' => cc }, [ str ] ]
end
else
[415, { 'content-type' => 'text/plain' }, [ "Ej stödd mediatyp" ]]
end
}Observera att hanteringen av DNS-paket sköts av den lokala cachande servern, i det hÀr fallet frÄn standardinstallationen av FreeBSD. Ur sÀkerhetssynpunkt Àr detta den optimala lösningen. Men ingenting hindrar att byta localhost till adressen för en annan DNS som du planerar att anvÀnda.
root@beta:/usr/local/etc/h2o # local-unbound version
anvÀndning: local-unbound [alternativ]
startar unbound daemon DNS-resolver.
-h den hÀr hjÀlpen
-c fil konfigurationsfil att lÀsa istÀllet för /var/unbound/unbound.conf
filformatet beskrivs i unbound.conf(5).
-d starta inte i bakgrunden.
-p skapa inte en pidfil.
-v detaljerad (flertal gÄnger för att öka detaljeringsgraden)
Version 1.8.1
lÀnkade bibliotek: mini-event intern (den anvÀnder select), OpenSSL 1.1.1a-freebsd 20 nov 2018
lÀnkade moduler: dns64 respip validator iterator
BSD-licensierad, se LICENSE i kÀllpaketet för detaljer.
Rapportera buggar till unbound-bugs@nlnetlabs.nl
root@eprove:/usr/local/etc/h2o # sockstat -46 | grep unbound
unbound local-unbo 69749 3 udp6 ::1:53 *:*
unbound local-unbo 69749 4 tcp6 ::1:53 *:*
unbound local-unbo 69749 5 udp4 127.0.0.1:53 *:*
unbound local-unbo 69749 6 tcp4 127.0.0.1:53 *:*DÄ ÄterstÄr det att starta om H2O och se vad som har blivit resultatet.
root@beta:â/usr/local/etc/h2o # service h2o restart
Stopping h2o.
Waiting for PIDS: 69871.
Starting h2o.
start_server (pid:70532) starting now...4. Testning
LÄt oss kontrollera resultaten genom att skicka en ny testförfrÄgan och se nÀtverkstrafiken med hjÀlp av verktyget Fungerar libdns korrekt? => Kör.
root@betaâ/usr/local/etc/h2o # curl -H 'accept: application/dns-message' 'https://my.domain/dns-query?dns=q80BAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE'
Warning: Binary output can mess up your terminal. Use "--output -" to tell
Warning: curl to output it to your terminal anyway, or consider "--output
Warning: " to save to a file.
...
root@beta:~ # tcpdump -n -i lo0 udp port 53 -xx -XX -vv
tcpdump: listening on lo0, link-type NULL (BSD loopback), capture size 262144 bytes
16:32:40.420831 IP (tos 0x0, ttl 64, id 37575, offset 0, flags [none], proto UDP (17), length 57, bad cksum 0 (- 127.0.0.1.53: [bad udp cksum 0xfe38 -> 0x33e3!] 43981+ A? example.com. (29)
0x0000: 0200 0000 4500 0039 92c7 0000 4011 0000 ....E..9....@...
0x0010: 7f00 0001 7f00 0001 524e 0035 0025 fe38 ........RN.5.%.8
0x0020: abcd 0100 0001 0000 0000 0000 0765 7861 .............exa
0x0030: 6d70 6c65 0363 6f6d 0000 0100 01 mple.com.....
16:32:40.796507 IP (tos 0x0, ttl 64, id 37590, offset 0, flags [none], proto UDP (17), length 73, bad cksum 0 (- 127.0.0.1.21070: [bad udp cksum 0xfe48 -> 0x43fa!] 43981 q: A? example.com. 1/0/0 example.com. A 93.184.216.34 (45)
0x0000: 0200 0000 4500 0049 92d6 0000 4011 0000 ....E..I....@...
0x0010: 7f00 0001 7f00 0001 0035 524e 0035 fe48 .........5RN.5.H
0x0020: abcd 8180 0001 0001 0000 0000 0765 7861 .............exa
0x0030: 6d70 6c65 0363 6f6d 0000 0100 01c0 0c00 mple.com........
0x0040: 0100 0100 0151 8000 045d b8d8 22 .....Q...].."
^C
2 packets captured
23 packets received by filter
0 packets dropped by kernelUtskriften visar hur förfrÄgan om att lösa adressen example.com mottogs och framgÄngsrikt bearbetades av DNS-servern.
Nu ÄterstÄr det att aktivera vÄr server i webblÀsaren Firefox. För att göra detta mÄste vi Àndra nÄgra instÀllningar pÄ konfigurationssidan. about:config.
För det första Àr det adressen till vÄrt API som webblÀsaren kommer att anvÀnda för att begÀra DNS-information i network.trr.uri. Det rekommenderas ocksÄ att ange IP-adressen för domÀnen frÄn denna URL för sÀker upplösning till IP med hjÀlp av webblÀsaren utan att gÄ via DNS i network.trr.bootstrapAddress. Och slutligen sjÀlva parametern network.trr.mode som aktiverar anvÀndningen av DoH. Att stÀlla in vÀrdet till "3" fÄr webblÀsaren att anvÀnda DNS-over-HTTPS uteslutande för namnuppslagning, medan det mer pÄlitliga och sÀkrare "2" ger prioritet Ät DoH och lÀmnar den standardmÀssiga begÀran till DNS som en reserv.
5. VINST!
Var artikeln hjÀlpsam? Tveka dÄ inte att stödja med pengar via doneringsformulÀret (nedan).
KĂ€lla: habr.com
