Skip to end of metadata
Go to start of metadata
Tämä sivu sisältää:

 
 

Mitä tietoja nimipalveluun?

Joskus nimipalvelua ei ylläpidetä, koska katsotaan, että on tietoturvariski kertoa ulkomaailmalle, mitä osoitteita on käytössä. Kuvitellaan, että koska en laita tietoja nimipalveluun, kukaan ei tiedä, että jokin osoite on minulla eikä osaa hyökätä tänne.

Kaikki osoitteet löytyvät rekistereistä, ja vaikka rekisterien väärinkäyttö on rangaistavaa, ei tietojen etsiminen sieltä ole mitenkään vaikeaa. Suuri osa hyökkäyksistä  tehdään väärennetyillä osoitteilla ja ne ovat usein myös niitä osoitteita, joista tietoja ei nimipalvelusta löydy. Skannauksista iso osa tehdään läpi koko internetin ipv4-osoiteavaruuden, joten nimipalvelulla ei niissäkään ole suojaavaa merkitystä.

Sen sijaan verkkoylläpidolle ja esim. häiriköintitapausten etsinnän kannalta on helpompaa, jos kaikki julkisessa Internetissä käytettävät osoitteet löytyvät nimipalvelusta. Jos pelkää paljastavansa ulkopuolisille liikaa tietoja, voi nimipalvelun nimet muodostaa osoitteiden perusteella systemaattisesti esim. 192.168.1.2 -> n1-2.domain.fi. Käänteisnimipalvelussa jo pelkkä SOA-määritys, jossa on (toimiva) ylläpidon sähköpostiosoite on sekin tyhjää parempi.

Luonnollisesti on syytä käyttää harkintaa siitä, mitä tietoja nimipalveluun laitetaan. Kaikkien julkisesti käytettävien osoitteiden täytyisi löytyä nimipalvelusta, vaikka sitten suoraan osoitteesta johdetuilla nimillä. Käänteisnimipalvelusta täytyy löytyä mahdollisuuksien mukaan vastaavat, yhdenmukaiset tiedot. Informatiivista tietoa sisältävien kenttien käyttöä julkisessa nimipalvelussa kannattaa harkita suhteessa saavutettavaan hyötyyn. Eri tilanteissa kriteerit ovat erilaisia, esim. opiskelija-asuntolaverkon ja korkeakoulun hallinnon verkon laitteista ja osoitteista on todennäköisesti mielekästä laittaa nimipalveluun aivan eri asioita.

Tietojen eheys

Yksi nimipalvelun riskeistä on väärien tietojen joutuminen nimipalveluun (tai tietojen katoaminen). Riskiä voidaan pienentää käyttämällä asianmukaisia työkaluja ja huolehtimalla henkilöstön riittävästä tietotasosta.

Määrittelyvirheiden varalta on syytä sopia menettelyistä, joilla muutosten jälkeen tarkastetaan muutosten oikeellisuus ja järjestelmän toiminta. Erilaisilla ylläpitotyökaluilla voidaan oleellisesti vähentää kirjoitusvirheiden ym. mahdollisuutta ja vakavuutta (esim. piste ei unohdu, käänteisnimipalvelu pysyy ajan tasalla).

Myös perusasiat, kuten palvelimen varmuuskopiointi, on syytä hoitaa kuntoon.

Nimipalvelutietojen väärentäminen

Yksi riski on nimipalvelutietojen väärentäminen. Väärentämisen voi jakaa kahteen osaan. Ensimmäinen on syöttää resolvoivalle nimipalvelimelle tai suoraan kyselyjä suorittavalle koneelle vääriä tietoja. Toinen vaihtoehto on, että auktoritatiiviseen palvelimeen ujutetaan virheellisiä tietoja. Näihin uhkiin auttaa riittävä palvelimen ylläpito (tuoreet ohjelmistoversiot) sekä tietenkin palvelinkoneiden perustietoturvasta huolehtiminen.

DNSSEC on Internet-standardi jolla pyritään estämään nimipalvelutietojen väärentäminen. Tähän asti luottamus on perustunut lähinnä IP-osoitteisiin.  Uusi järjestelmä tuo mukaan tietojen allekirjoituksen ja vastapuolen vahvan tunnistuksen.

DNSSECin käyttöönotto luo paineita siirtyä käyttämään TCP-pohjaista nimipalvelukyselyä, sillä digitaaliset allekirjoitukset eivät välttämättä mahdu yksittäisiin UDP-paketteihin. Tämä taas edellyttää käyttöjärjestelmien resolverikirjastojen muuttamista, mistä syystä siirtyminen ei tapahdu hetkessä.

Palvelinlaite ja nimipalvelinohjelmisto

Nimipalvelin sinänsä on riski, sillä nimipalvelimen täytyy olla yhteydessä internetiin. Riski muodostuu toisaalta avoimesta yhteydestä, toisaalta nimipalvelinohjelmiston mahdollisista turva-aukoista. Mikäli samassa palvelimessa on muita avoimia palveluja, ne lisäävät tietysti osaltaan itse palvelinlaitteeseen ja siten myös nimipalveluun kohdistuvaa riskiä.

Palomuurilla tai pakettisuodatuksella ja ennen kaikkea palvelimen oikealla konfiguroinnilla (ei turhia palveluja) ja riittävällä ylläpidolla (ohjelmistopäivitykset) voi riskiä pienentää. Tapaukset, joissa nimipalvelutietoja on väärennetty ovat yleensä johtuneet puutteellisesta ylläpidosta (vanha BIND-versio).

Auktoritatiivisen nimipalvelimen tapauksessa on noudatetava erityistä varovaisuutta. Niissä on aina syytä käyttää riittävän tuoretta ohjelmistoversiota. Koneturvallisuuteen on syytä kiinnittää erityistä huomiota. On harkittava voidaanko auktoritatiivisen nimipalvelimen kanssa samassa laitteessa ajaa muita, mahdollisesti turvattomampia palveluja (www-palvelin, sähköpostipalvelin). Pakettisuodatusta tai palomuuria voidaan käyttää estämään aiheettomia yhteydenottoyrityksiä nimipalvelinlaitteen muihin palveluihin. Sen sijaan auktoritatiivisten nimipalvelutietojen kyselyä ei tule rajoittaa millään tavoin.

Nimipalvelun kriittisyys

DNS on kriittinen resurssi, jonka toiminta on käytännön edellytyksenä useimpien muiden verkkopalvelujen toiminnalle.

Paikallistasolla voi esim. vihamielinen hyökkääjä kohdistaa hyökkäyksensä nimipalvelimeen, jolloin muiden, nimipalvelusta riippuvien palvelujen käyttö estyy. Yhtä lailla vaikkapa laiterikko kriittisessä paikassa (toimipisteen ainoa palvelinlaite) voi estää verkon käytön. Näihin uhkiin voi varautua huolellisella suunnittelulla ja riskianalyysillä sekä käyttämällä oikein hyväksi nimipalvelujärjestelmän sisäänrakennettuja varmistusominaisuuksia. Esim. auktoritatiivisten nimipalvelinten on hyvä sijaita eri verkoissa, osa mielellään toisessa (luotetussa) organisaatiossa.

Katkojen ja DoS-hyökkäysten vuoksi on nimipalvelujärjestelmän varmennuksista huolehdittava asianmukaisesti. Suunnittelu ja toteutus alkaa jo siitä, mitä resolvoivia nimipalvelimia määritellään yksittäisten laitteiden (työasema, palvelin) resolvereille. Resolvoivien nimipalvelimien riittävä toiminta on syytä taata ja varajärjestelyt suunnitella etukäteen. Auktoritatiivisten palvelinten sijoittelu ja varmistus on syytä suunnitella erityisen huolellisesti.

 

Yhteydenotot Funet hostmasteriin: katso Yhteystiedot 

  • No labels