DNS und Cryptographie - administrator-tutorials

Das Domain Name System (DNS) ist das Rückgrat des Internets und sorgt dafür, dass wir auf Webseiten zugreifen können, indem es Domänennamen in IP-Adressen auflöst. Doch während DNS für die Funktionalität des Internets unverzichtbar ist, wurde es ursprünglich ohne Berücksichtigung der Sicherheit entworfen. Kryptographie hat sich als Schlüsseltechnologie entwickelt, um DNS-Sicherheitslücken zu schließen, die durch Spoofing, Man-in-the-Middle-Angriffe und Cache Poisoning ausgenutzt werden könnten. In diesem Beitrag befassen wir uns mit der Rolle der Kryptographie im Zusammenhang mit DNS, den Risiken des ungesicherten DNS und wie DNS-Sicherheitsmechanismen wie DNSSEC und DNS über HTTPS unter Linux implementiert werden können.

Grundlagen von DNS

Das Domain Name System (DNS) ist ein verteiltes System, das dafür sorgt, dass menschenfreundliche Namen wie www.beispiel.com in maschinenverständliche IP-Adressen wie 192.168.1.1 umgewandelt werden. DNS funktioniert in einem Client-Server-Modell, bei dem DNS-Anfragen von einem Resolver gestellt und von einem DNS-Server beantwortet werden.

Die grundlegenden Schritte einer DNS-Abfrage sind:

Der Client fragt den lokalen DNS-Resolver nach einer IP-Adresse für einen Domänennamen.
Der Resolver fragt eine Kette von DNS-Servern (Root-Server, Top-Level-Domain-Server und autoritativer DNS-Server), um die Antwort zu erhalten.
Die Antwort wird an den Client zurückgegeben.

Leider wird bei der traditionellen DNS-Abfrage keine Verschlüsselung oder Authentifizierung verwendet, was sie anfällig für Angriffe macht. Dies ist der Punkt, an dem die Kryptographie ins Spiel kommt.

Sicherheitsrisiken von DNS ohne Kryptographie

DNS selbst bietet keine Mechanismen zur Überprüfung der Authentizität oder Integrität der zurückgegebenen Antworten. Dies führt zu mehreren potenziellen Risiken:

DNS Spoofing (DNS-Spoofing oder -Vergiftung): Ein Angreifer täuscht gefälschte DNS-Antworten vor, die den Benutzer auf eine bösartige Webseite umleiten.
Man-in-the-Middle-Angriffe: Ein Angreifer kann den DNS-Verkehr abfangen und die Anfragen und Antworten ändern, um bösartige Inhalte einzuschleusen.
Cache Poisoning: Ein Angreifer verändert den DNS-Cache des resolvenden Servers, sodass Anfragen nach einer legitimen Domäne an eine falsche IP-Adresse weitergeleitet werden.

Die Lösung für diese Sicherheitsprobleme liegt in der Implementierung von Kryptographie im DNS-System, um Authentizität und Integrität zu gewährleisten.

DNS und Kryptographie: DNSSEC

Eine der wichtigsten kryptografischen Technologien zur Sicherung des DNS ist DNSSEC (Domain Name System Security Extensions). DNSSEC fügt Authentizität und Integrität zu DNS-Abfragen hinzu, indem es digitale Signaturen verwendet, um die Korrektheit der DNS-Antworten zu garantieren.

Funktionsweise von DNSSEC

DNSSEC fügt jeder DNS-Antwort eine digitale Signatur hinzu, die mit einem privaten Schlüssel generiert wurde. Der zugehörige öffentliche Schlüssel wird in den DNS-Einträgen gespeichert und ermöglicht es dem Client, die Signatur zu überprüfen.

Signatur: Wenn ein DNS-Server eine Antwort liefert, wird diese mit einem privaten Schlüssel signiert.
Validierung: Der Client oder DNS-Resolver kann die Signatur mit dem öffentlichen Schlüssel, der im DNS gespeichert ist, überprüfen. Dies stellt sicher, dass die Antwort unverändert und authentisch ist.

DNSSEC schützt jedoch nicht die Vertraulichkeit (d. h., die Daten selbst werden nicht verschlüsselt), sondern stellt sicher, dass DNS-Antworten nicht gefälscht oder manipuliert wurden.

DNSSEC unter Linux einrichten

Unter Linux können Sie DNSSEC mit dem Tool bind (BIND9) und einem DNSSEC-fähigen Resolver wie Unbound oder systemd-resolved verwenden.

Installation von BIND9 und Unbound:Installieren Sie die erforderlichen Pakete:

sudo apt install bind9 unbound

DNSSEC in BIND konfigurieren:

Öffnen Sie die BIND-Konfigurationsdatei /etc/bind/named.conf.options und aktivieren Sie DNSSEC:

options {
    dnssec-validation auto;
    ...
};

Starten Sie den BIND-Dienst neu:

sudo systemctl restart bind9

Nun verwendet Ihr DNS-Resolver DNSSEC und kann DNS-Abfragen validieren.

DNS über HTTPS (DoH)

DNS über HTTPS (DoH) ist eine weitere wichtige kryptographische Entwicklung im DNS-Bereich. DoH verschlüsselt DNS-Anfragen und -Antworten, indem es das HTTPS-Protokoll verwendet. Dadurch werden DNS-Abfragen vor dem Abhören und vor Man-in-the-Middle-Angriffen geschützt. Im Gegensatz zu DNSSEC gewährleistet DoH sowohl Vertraulichkeit als auch Integrität.

Vorteile von DNS über HTTPS

Schutz vor Abhören: Da DoH den DNS-Verkehr verschlüsselt, können Angreifer, die den Netzwerkverkehr abhören, keine DNS-Abfragen und -Antworten lesen.
Schutz vor Manipulation: HTTPS stellt sicher, dass die DNS-Antworten nicht verändert werden können.
Integriert in Webbrowser: Moderne Webbrowser wie Firefox und Chrome unterstützen DoH nativ, wodurch Benutzer automatisch verschlüsselte DNS-Anfragen senden können.

DNS über HTTPS unter Linux konfigurieren

Es gibt verschiedene Möglichkeiten, DoH unter Linux zu implementieren. Eine beliebte Methode ist die Verwendung von dnscrypt-proxy, einem Proxy-Server, der DNS-Anfragen über HTTPS sendet.

Installation von dnscrypt-proxy:Auf Debian/Ubuntu können Sie dnscrypt-proxy über die Paketverwaltung installieren:

sudo apt install dnscrypt-proxy

Konfiguration von dnscrypt-proxy:

Passen Sie die Konfigurationsdatei /etc/dnscrypt-proxy/dnscrypt-proxy.toml an, um die gewünschten DNS-Resolver einzurichten, die DoH unterstützen. Zum Beispiel:

server_names = ['cloudflare', 'google']

dnscrypt-proxy als DNS-Resolver festlegen:

Um dnscrypt-proxy als DNS-Resolver festzulegen, ändern Sie die /etc/resolv.conf:

nameserver 127.0.0.1

Dadurch wird der lokale dnscrypt-proxy-Server verwendet, der DNS-Anfragen über HTTPS weiterleitet.

Starten des dnscrypt-proxy-Dienstes:

sudo systemctl start dnscrypt-proxy
sudo systemctl enable dnscrypt-proxy

Jetzt laufen Ihre DNS-Anfragen über HTTPS, was sie vor Abhören und Manipulation schützt.

DNS über TLS (DoT)

Neben DoH gibt es auch DNS über TLS (DoT), das DNS-Abfragen über das TLS-Protokoll verschlüsselt. DoT ähnelt DoH, verwendet jedoch nicht das HTTP-Protokoll. Es bietet den gleichen Schutz vor Abhören und Manipulation und ist eine Alternative zu DoH.

DoT unter Linux konfigurieren

DoT kann ebenfalls mit unbound oder systemd-resolved eingerichtet werden.

Installation von Unbound:

sudo apt install unbound

Konfiguration für DoT:

In der Unbound-Konfigurationsdatei /etc/unbound/unbound.conf können Sie die DNS-Resolver festlegen, die DoT unterstützen:

forward-zone:
  name: "."
  forward-tls-upstream: yes
  forward-addr: 1.1.1.1@853  # Cloudflare DNS über TLS

Unbound neu starten:

sudo systemctl restart unbound

Mit DoT werden Ihre DNS-Abfragen ebenfalls verschlüsselt und sind vor Angreifern geschützt.

Fazit

DNS ist ein grundlegender Bestandteil des Internets, doch ohne Sicherheitsmechanismen ist es anfällig für verschiedene Angriffe. Die Einführung von Kryptographie in DNS über Technologien wie DNSSEC, DNS über HTTPS (DoH) und DNS über TLS (DoT) hat das Sicherheitsniveau erheblich verbessert. Unter Linux können diese Technologien einfach implementiert werden, um den Datenschutz und die Integrität von DNS-Abfragen zu gewährleisten. Durch die Kombination dieser Ansätze können Benutzer ihre DNS-Anfragen sowohl gegen Abhören als auch Manipulation absichern, was einen großen Schritt in Richtung eines sichereren Internets darstellt.