Requirements Related to DNS Security (DNSSEC) Trust Anchor Rollover

Eland, Howard; Mundy, Russ; Crocker, Steve; Krishnaswamy, Suresh

doi:10.17487/rfc4986

Cited by 1 publication

(1 citation statement)

References 6 publications

Supporting

Mentioning

Contrasting

Order By: Relevance

“…These trust anchor are utilized to prove the authenticity of the records contained in the islands or to verify any of the child zones, considering the child's public key is pointed by a DS record. For simplifying the authentication of trust anchor an automatic update mechanism is proposed [94,95].…”

Section: Trust Anchormentioning

confidence: 99%

Το Πρωτόκολλο DNS Ως Πολυλειτουργικός Φορέας Επίθεσης

Αναγνωστόπουλος¹

View full text Add to dashboard Cite

Αδιαμφισβήτητα, τα ζητήματα ασφαλείας για την υπηρεσία ονοματοδοσίας χώρου του Διαδικτύου (DNS) αποτελούν ένα πολύπλοκο, πολυδιάστατο και ιδιαίτερης βαρύτητας πεδίο έρευνας. Ουσιαστικά, κάθε πρωτόκολλο ή υπηρεσία που παρέχεται μέσω του Διαδικτύου βασίζει την απρόσκοπτη λειτουργία του στην υπηρεσία DNS. Συνεπώς, κάθε τύπος επίθεσης που στοχεύει το DNS ενδέχεται να επιφέρει σοβαρές επιπτώσεις στη δικτυακή υποδομή οργανισμών ή ακόμα και ολόκληρων κρατών. Δυστυχώς, οι αρχικές εκδόσεις του συγκεκριμένου πρωτοκόλλου εστίαζαν στη διαθεσιμότητα της υπηρεσίας παρά στην προστασία της από πιθανές απειλές. Έτσι, σχεδόν μέχρι το 1997, αλλά πρακτικά όχι νωρίτερα από το 2008, το πρωτόκολλο DNS δεν υποστήριζε κάποιο μηχανισμό προστασίας, ούτε καν αυτόν της διασφάλισης της αυθεντικότητας προέλευσης των παρεχόμενων δεδομένων. Σε αυτό το πλαίσιο, η παρούσα διδακτορική διατριβή έχει ως βασικό στόχο να ενημερώσει και να θέσει σε επιφυλακή την επιστημονική κοινότητα μέσω της διερεύνησης και επισήμανσης νέων μεθόδων κακόβουλης εκμετάλλευσης του DNS. Έτσι, μπορούμε να πούμε ότι η εν λόγω διατριβή επικεντρώνεται στην επιθετική ασφάλεια, δηλ., εστιάζει στον επιτιθέμενο πάρα στον αμυνόμενο. Με άλλα λόγια, η διατριβή φιλοδοξεί να καταδείξει ότι το πρωτόκολλο DNS δύναται να χρησιμοποιηθεί ως ένας πολύπλευρος φορέας επίθεσης (attack vector) με σκοπό την παραβίαση της ακεραιότητας, αυθεντικότητας, εμπιστευτικότητας και διαθεσιμότητας των προσφερόμενων πόρων στον κυβερνοχώρο.Σήμερα, οι ανεπάρκειες του DNS θεραπεύονται από δύο κρυπτογραφικούς μηχανισμούς· στην πράξη με την επέκταση ασφαλείας του DNSSEC και (μέχρι στιγμής σε μικρή κλίμακα) το DNSCurve. Αμφότεροι οι μηχανισμοί αυτοί χρησιμοποιούν κρυπτογραφία δημοσίου κλειδιού με σκοπό την προστασία των μηνυμάτων του βασικού πρωτοκόλλου DNS. Ως εκ τούτου, μία από τις συνεισφορές της παρούσας διατριβής είναι η διεξαγωγή μιας συγκριτικής και εποικοδομητικής παράθεσης των δύο προαναφερθέντων μηχανισμών ασφαλείας. Μια τέτοια αντιπαραβολή είναι βέβαιο ότι βοηθάει σημαντικά τους αμυνόμενους στο να επιλέξουν ποιος μηχανισμός είναι καταλληλότερος για κάθε περίπτωση.Επιπλέον, υπάρχουν σημαντικές αποδείξεις ότι το πρωτόκολλο DNS χρησιμοποιείται κακόβουλα από τους κυβερνο-εγκληματίες προκειμένου να διεξάγουν επιθέσεις άρνησης υπηρεσίας (DoS). Συγκεκριμένα, τα περιστατικά αυτά ανήκουν σε μια ειδική κατηγορία επιθέσεων που ονομάζονται επιθέσεις ενίσχυσης μέσω DNS (DNS amplification attack). Κάτι τέτοιο είναι εφικτό, διότι ακόμα και μια τυπική DNS απόκριση (response) ενδέχεται να ενισχύσει σημαντικά την δικτυακή κίνηση που καταφτάνει στην πλευρά του θύματος. Ουσιαστικά, το πρωτόκολλο ενισχύει (amplify) σε μεγάλο βαθμό τον όγκο της δικτυακής κίνησης που ανακλάται (reflect) και κατευθύνεται μέσω της υποδομής DNS εναντίον του στόχου. Το εν λόγω φαινόμενο της ενίσχυσης αναμένεται να είναι ακόμα ισχυρότερο και συνεπώς να επιφέρει καταστροφικότερες επιπτώσεις στην περίπτωση χρήσης εγγραφών (records) DNSSEC, οι οποίες είναι μεγαλύτερες σε μέγεθος από αυτές του βασικού πρωτοκόλλου. Σε αυτήν την κατεύθυνση, η παρούσα διατριβή διεξάγει μια λεπτομερή μελέτη νέων τύπων DoS επιθέσεων που βασίζονται αποκλειστικά σε δεδομένα DNSSEC. Η αποτίμηση της επίπτωσης των προτεινόμενων επιθέσεων επιτυγχάνεται με τον υπολογισμό του συντελεστή ενίσχυσης (amplification factor) της επίθεσης. Συμπληρωματικά, διερευνούμε τις διαφορετικές μεθόδους εκμετάλλευσης των προωθητών DNS (DNS forwarders) με σκοπό την αποτελεσματικότερη ανάκλαση της επιτιθέμενης δικτυακής κίνησης. Επιπλέον, η διατριβή απαντάει στο ερώτημα σχετικά με το ποιοι δημόσια διαθέσιμοι εξυπηρετητές DNS θα μπορούσαν να είναι προσοδοφόροι για τους σκοπούς του επιτιθέμενου έτσι ώστε να τους συμπεριλάβει στο οπλοστάσιο του. Για το σκοπό αυτό, εξετάζεται εκτενώς το αποτέλεσμα της εμπλοκής των εξυπηρετητών της ανώτερης ιεραρχίας της υποδομής DNS σε περιστατικά επιθέσεων ενίσχυσης. Συνεπώς, το κύριο πλεονέκτημα της ερευνητικής μας προσπάθειας σε σύγκριση με τις τυπικές επιθέσεις ενίσχυσης μέσω DNS έτσι όπως αναφέρονται στην σχετική βιβλιογραφία, είναι ότι καταδεικνύουμε ότι ακόμα και ένας ανεπαρκής επιτιθέμενος με ελάχιστα υπολογιστικά μέσα στην διάθεση του, είναι ικανός να διεξάγει μια επιτυχημένη επίθεση DoS εκμεταλλευόμενος τις υπάρχουσες (δημόσιες) υποδομές.Επιπροσθέτως, η έρευνά μας εστιάζει στην εκμετάλλευση του πρωτοκόλλου DNS από τους διαχειριστές (bot herders) δικτύων υπολογιστών-ρομπότ (botnets). Συγκεκριμένα, με σκοπό τη μετάδοση των εντολών του διαχειριστή στα μέλη του δικτύου (bots), είναι απαραίτητη η υλοποίηση συγκεκαλυμμένων καναλιών επικοινωνίας (Command & Control-C&C channels). Τέτοια κανάλια επικοινωνίας κατά κόρον αξιοποιούν τις τεχνικές DNS- και IP-Flux. Έτσι, στο πλαίσιο της παρούσας διατριβής, σχεδιάζουμε και αξιολογούμε τρείς νέες botnet αρχιτεκτονικές, οι οποίες βασίζονται στο πρωτόκολλο DNS για τη δημιουργία της υποδομής C&C. Δεδομένης της ευρείας διάδοσης των έξυπνων κινητών συσκευών, οι προτεινόμενες αρχιτεκτονικές αξιοποιούν τόσο μικτή δομή (αποτελούμενη από κινητά και σταθερά bots) όσο και πιο εξειδικευμένη, αποτελούμενη αποκλειστικά από κινητές συσκευές. Εκτός των άλλων, η συγκεκριμένη ερευνητική συνιστώσα της διατριβής περιλαμβάνει μια αναλυτική αποτίμηση της ευρωστίας των προαναφερθέντων αρχιτεκτονικών botnet.Εκτός των τυπικών μεθόδων εκμετάλλευσης του πρωτόκολλου DNS από τους επιτιθέμενους, η παρούσα διατριβή εστιάζει στη διερεύνηση της δυνατότητας αξιοποίησης του πρωτοκόλλου για την παραβίαση της ιδιωτικότητας των χρηστών. Πιο συγκεκριμένα, εξετάζουμε την περίπτωση υποκλοπής ευαίσθητων προσωπικών δεδομένων από τους χρήστες έξυπνων κινητών συσκευών. Για το σκοπό αυτό, σχεδιάζουμε και υλοποιούμε μια εφαρμογή κατασκοπίας (spyware) για κινητές συσκευές που έχει ως στόχο τη χειραγώγηση της υπηρεσίας DNS που παρέχεται από κινητές πλατφόρμες και συγκεκριμένα την iOS της εταιρίας Apple. Η εφαρμογή δρα ως ενδιάμεσος (man-in-the-middle) στην υπηρεσία διαμοιρασμού του ασύρματου δικτύου (tethering) ή/και σε αυτή του έξυπνου προσωπικού βοηθού (Siri). Αφού μολύνει τη συσκευή, η εφαρμογή ανακατευθύνει τον ανυποψίαστο χρήστη σε κακόβουλες ιστοσελίδες ώστε να συλλέξει συνθηματικά, στοιχεία λογαριασμών, προσωπικά δεδομένα, κ.ά.

show abstract

Section: Trust Anchormentioning

confidence: 99%

Το Πρωτόκολλο DNS Ως Πολυλειτουργικός Φορέας Επίθεσης

Αναγνωστόπουλος¹

View full text Add to dashboard Cite

show abstract

Requirements Related to DNS Security (DNSSEC) Trust Anchor Rollover

Cited by 1 publication

References 6 publications

Το Πρωτόκολλο DNS Ως Πολυλειτουργικός Φορέας Επίθεσης

Το Πρωτόκολλο DNS Ως Πολυλειτουργικός Φορέας Επίθεσης

Contact Info

Product

Resources

About