Computer >> Hướng Dẫn Máy Tính >  >> Kết Nối Mạng >> An Ninh Mạng

Tổ chức sử dụng DNSSEC như thế nào để đảm bảo bảo mật mạng?

DNSSEC (DNS Security Extensions) là gì?

Mở rộng giao thức DNS thêm xác thực mật mã học (cryptographic authentication) cho phản hồi DNS từ authoritative server. Mục tiêu: bảo vệ máy tính khỏi bị dẫn hướng đến website/server giả mạo bởi hacker.

DNSSEC dùng mật mã học như thế nào?

  • Ký số (digital signature) dữ liệu zone quyền威 khi nhập vào DNS
  • Xác thực tại đích đến cuối cùng dùng mật mã khóa công khai (public key cryptography)
  • Yêu cầu ít nhất 1 cặp khóa private/public mỗi zone

Mục đích của DNSSEC

Ngăn chặn spoofing (giả mạo) bằng cách xác thực phản hồi DNS (DNS response authentication).

3 dịch vụ cơ bản của DNSSEC

  1. Xác thực nguồn gốc dữ liệu (Data Origin Authentication): Resolver xác minh dữ liệu đến từ zone yêu cầu qua xác minh mật mã học.
  2. Toàn vẹn dữ liệu (Data Integrity): Khóa riêng zone owner đảm bảo dữ liệu không bị sửa đổi khi truyền.
  3. Xác thực không tồn tại (Authenticated Denial of Existence): Chứng minh bản ghi DNS không tồn tại.

DNSSEC bảo vệ chống gì?

  • DNS Cache Poisoning (Đầu độc cache DNS)
  • DNS Spoofing (Giả mạo DNS)
  • Lưu ý: Chỉ bảo vệ dữ liệu giữa các zone đã ký (signed zones), không bảo vệ toàn bộ server. Không cung cấp privacy (bảo mật nội dung).

Thuật toán khuyến nghị

SHA-256 cho hầu hết ứng dụng DNSSEC. DS/CDS records nên dùng SHA-256.

Triển khai DNSSEC hiện nay

  • Gần 90% TLD hỗ trợ DNSSEC
  • Chưa triển khai rộng rãi (chỉ ~30% khóa trả về được ký)
  • Nhiều user không tin dữ liệu DNSSEC do key compromised

Nên bật DNSSEC không?

Có. Đặc biệt website xử lý thông tin nhạy cảm/riêng tư. Nhà cung cấp DNS thường miễn phí (trừ GoDaddy tính phí "premium").

DNSSEC ngăn chặn spoofing như thế nào?

Recursive DNS server truy vấn authoritative server (ví dụ MX record). Không có DNSSEC: attacker giả mạo câu trả lời, cache bị nhiễm độc, recursive server trả kết quả giả cho user. Có DNSSEC: chữ ký số xác thực nguồn gốc và toàn vẹn.

Đánh giá DNSSEC

Không thay thế TLS/SSL. Khi TLS cấu hình đúng, DNSSEC không thêm giá trị cho confidentiality. Nhưng DNSSEC tăng cường tính xác thực cho tầng DNS - lớp nền tảng của internet.