IPv6网络中DNS的风险分析
IPv6网络中DNS的风险分析
DNS(Domain Name System )域名系统是支撑互联网运行的重要核心基础设施,因此DNS系统也成为互联网攻击的最主要目标。DNS安全意义重大,一旦发生重大DNS攻击事件,将可能会影响大范围互联网的正常运行,并给社会带来巨大经济损失。
随着中国推进IPv6规模部署行动计划快速实施,中国三大电信运营商的固定和4G LTE网络已经大范围部署IPv6协议,随着一批TOP ICP网站和APP支持IPv6协议,目前中国已经有超过5亿用户获得IPv6地址,开始使用IPv6网络服务。中国互联网正在向IPv6时代全面演进。在这个阶段,必须要高度重视DNS安全问题。
1. 递归DNS的运行机制
DNS系统可以分为:根DNS服务器、*域名DNS服务器(TLD)、权威DNS服务器、递归DNS服务器等几类。
用户访问互联网,第一步需要向本地递归DNS申请域名解析。递归DNS查询缓存或向上一级DNS进行递归,获得域名解析结果并返回给用户,然后用户浏览器就可以访问目标网站和网页。从互联网DNS体系架构来看,递归DNS是一个综合体系,包含多个层级。用户向低级递归DNS查询,低级向高级递归DNS查询,高级递归DNS向根DNS、*域名DNS、权威DNS服务器查询,这样一级一级递归查询。权威DNS解析出来域名的IP地址再一级一级返回,最后发给用户主机。
递归DNS在日志里面将会记录用户的DNS查询记录,包括用户主机的源IP地址、目标网站、查询时间、返回DNS查询结果(目标网站的IP地址)等等。
2. IPv6 与IPv4环境下递归DNS运行机制的差异及风险IPv6网络环境下,DNS的运行机制与IPv4网络环境下存在一些差异。
由于IPv4地址资源缺乏,所以IPv4网络通常会在出口部署NAT设备,内网主机向递归DNS申请域名解析申请时,递归DNS收到的是NAT设备IP地址,无法获得用户主机的IP地址。
IPv6协议提供了海量IP地址资源,所有用户主机/联网终端都配置真实IPv6地址。IPv6主机(或联网终端)使用真实IPv6地址向递归DNS发起域名解析申请,递归DNS服务器向用户主机返回域名解析结果,并在日志中记录用户的真实IPv6地址。
互联网IP地址扫描探测是黑客常用的攻击手段。由于IPv6协议设计有海量地址,原有IPv4地址段扫描的探测方式在IPv6网络上基本失效,所以黑客需要获得用户的真实IPv6地址,就需要找到一个拥有大量用户真实IPv6地址记录的系统,入侵**之后获取用户IP地址数据。而递归DNS服务器恰恰能够满足黑客的探测需求,无论是内网递归DNS系统,还是公共递归DNS系统,在DNS日志文件里面都记录了海量用户的真实IPv6地址与域名解析记录。
3. IPv6网络环境中窃取将成为递归DNS重要攻击方式对递归DNS系统的攻击,主要包括破坏、投毒、窃取三种方式。
IPv4时代对DNS的攻击以破坏为主,包括DDOS攻击等,目的是造成DNS服务停止。这种攻击发生后很快就会被发现,并在12-24小时内修复。
DNS缓存投毒是指递归DNS向上级DNS申请查询,攻击者仿冒上级DNS服务器向递归DNS 服务器发送伪造应答包抢先完成应答,用虚假数据污染递归DNS 缓存,从而使递归DNS向用户主机返回错误的解析IP结果,将用户访问重定向到危险网站。
进入IPv6时代,由于获取用户真实IPv6地址变得困难,因此窃取将成为递归DNS攻击的重要方式。黑客入侵DNS后,不干扰DNS正常运行,而是长期潜伏起来,持续窃取DNS服务器的日志数据,从日志数据中即时获取海量用户的真实IPv6地址,并作为网络探测的目标。
如果黑客入侵并攻破校园网、政务网,企业网的递归DNS服务器,以及公共DNS服务商的递归DNS系统,就可以获取DNS日志并抓取大量新鲜有效的用户IPv6地址,以进行精准IPv6地址扫描探测。潜伏窃取是静默无声并且长期的,其带来的风险要远远大于DDOS攻击破坏和DNS缓存投毒。
目前很多园区网、企业网的DNS服务器安全防护薄弱,随着用户网络IPv6升级和DNS系统IPv6升级,将可能成为黑客重点攻击目标。
4. IPv6网络随意配置和使用公共DNS的风险
由于国内网络受互联互通、国际出口拥堵等情况的影响,一些网站访问速度较慢。在一些介绍全球公共DNS的网络技术文章影响下,很多用户在自己的电脑上设置国内、国外公共DNS作为首选DNS,以求实现网络加速。还有一些企业没有内网DNS服务器,网管技术人员往往在路由器上将DNS设置为公共DNS的IP地址,内网用户直接使用公共DNS的域名解析服务。这种情况在IPv4网络环境下的问题不大,因为主机都在NAT设备之后配置内网IP,没有publicIP地址。但是在IPv6网络中,所有主机都将配置真实IPv6 Public IP地址,一旦IP地址暴露,即可被精准扫描。
Google、IBM、Cloudflare等全球公共DNS系统为全球互联网用户提供免费的DNS解析服务,正面看是一种公益和慈善,但从IPv6网络安全的角度看,其实也是一个全球主机IP地址收集器。如果用户主机DNS设置直接写入这些公共DNS的IP地址,或者小企业出口路由器的DNS设置直接写入这些公共DNS的IP地址,那么用户主机发起DNS解析请求时,这些公共DNS将直接获得用户主机(或企业内网主机)的真实IPv6地址。假设某个公共DNS系统的日志数据库与网军的IP地址扫描探测系统直联共享,那么情况简直不堪设想。
5. 在中国IPv6规模部署初期就要重视IPv6网络安全两办《推进IPv6规模部署行动计划》文件中明确提出了“两并举三同步”原则:“发展与安全并举,同步推进网络安全系统规划、建设、运行”。
中国IPv6规模部署刚刚进入发展期,已经有超过5亿部手机实现了IPv6联网,一批高校、*、企业的网络正在升级支持IPv6协议。在目前阶段,重视IPv6网络安全问题处于最佳阶段,而不能等到发生事故之后再亡羊补牢。可以预见,在不远的将来,IPv6 DNS安全将成为IPv6网络安全的最重点问题之一,必须要予以高度重视,提前做好网络安全防护。