DNS. u23 - Termin 3. AmP+mm Vortrag. Chaos Computer Club Cologne e.v. AmP+mm (CCC) DNS Vortrag 1 / 47

Transkript

1 DNS u23 - Termin 3 AmP+mm Chaos Computer Club Cologne e.v Vortrag AmP+mm (CCC) DNS Vortrag 1 / 47

2 Gliederung I 1 Einführung in DNS 2 Aufbau und Verwendung von DNS 3 Probleme 4 Ausblick 5 Links AmP+mm (CCC) DNS Vortrag 2 / 47

3 Gliederung Einführung in DNS 1 Einführung in DNS 2 Aufbau und Verwendung von DNS 3 Probleme 4 Ausblick 5 Links AmP+mm (CCC) DNS Vortrag 3 / 47

4 Einführung in DNS Grundlegende Erklärung Was es ist und warum man es braucht % nslookup koeln. ccc. de Server : Address : #53 Non a u t h o r i t a t i v e answer : Name: koeln. ccc. de Address : % ping koeln. ccc. de PING koeln. ccc. de ( ) 56(84) bytes of dat 64 bytes from w11g2. koeln. ccc. de ( ) : icm AmP+mm (CCC) DNS Vortrag 4 / 47

5 Bedeutung Einführung in DNS Ohne DNS fällt es den meisten Leute schwer überhaupt das Internet zu nutzen. Wieviele IP Adressen kennt ihr auswendig? AmP+mm (CCC) DNS Vortrag 5 / 47

6 Einführung in DNS Eigenschaften Dezentral und hierarchisch Benutzer beziehen DNS von ihrem Provider Geschwindigkeit ist wichtig Kein Trust, eindeutige Antworten Drei Seiten von DNS: Verwaltung, Infrastruktur, Protokoll AmP+mm (CCC) DNS Vortrag 6 / 47

7 Einführung in DNS Eigenschaften Dezentral und hierarchisch Benutzer beziehen DNS von ihrem Provider Geschwindigkeit ist wichtig Kein Trust, eindeutige Antworten Drei Seiten von DNS: Verwaltung, Infrastruktur, Protokoll AmP+mm (CCC) DNS Vortrag 6 / 47

8 Einführung in DNS Verwaltungseinheiten im Internet Verschiedene Organisationen: ICANN - verwaltet IANA (Internet Assigned Numbers Authority) IANA - verwaltet Daten in den Root Nameserver DENIC - zentrale Registrierungsstelle.de Domains (12mio Domains) EURid -.eu Domains Go Daddy - ICANN akkredierter Domain Registrar (36mio Domains) Bemerkung Die Vergabe von IP Adressen erfolgt über regionale Internet Registrare (RIR) wie RIPE, ARIN, APNIC, LACNIC, AfriNICC,... Die Zuweisung an die RIR erfolgt durch die ICANN. AmP+mm (CCC) DNS Vortrag 7 / 47

9 Einführung in DNS Registrierungsprozess für Domain Namen Zum Beispiel bei der Denic, Formulare: Registrierung KK Transit Antworten: Ack, Nack, Late(N)Ack Formulare formulare-zum-herunterladen.html AmP+mm (CCC) DNS Vortrag 8 / 47

10 Whois Einführung in DNS Die Daten sind natürlich wieder in whois... % whois ccc. de Domain : ccc. de Domain Ace : ccc. de Nserver : ns. ccc. de Nserver : ns. in b e r l i n. ccc. de Nserver : s dns. i r z 4 2. net Nserver : ns. in ulm. ccc. de Status : connect Changed : T13:54:26+02:00 AmP+mm (CCC) DNS Vortrag 9 / 47

11 Hands-On: Registrare Einführung in DNS whois ccc. de whois buecherverbrennung. org whois google. net hinterlegte Werte, Rollen je nach Domain Unterschiede Hinterlegte Security Codes (md5,pgp) AmP+mm (CCC) DNS Vortrag 10 / 47

12 Einführung in DNS Whois Admin-C - Administrativer Ansprechpartner Tech-C - Technischer Kontakt verwendete Nameserver Status Achtung Die Daten aus whois werden oft automatisch mit anderen Datenbanken abgeglichen. Ausserdem schicken Registrare die Daten ihrer Whois Datenbanken an die Rootserver. AmP+mm (CCC) DNS Vortrag 11 / 47

13 Einführung in DNS Root Server Weltweite Vermittlungsstelle 13 Root-Server "[a-m].root-servers.net" Geben aus Performance-Gründen nur iterative Antworten ca Einträge werden repliziert AmP+mm (CCC) DNS Vortrag 12 / 47

14 Root Server: db.root Einführung in DNS A.ROOT SERVERS.NET IN A B.ROOT SERVERS. NET IN A C.ROOT SERVERS.NET IN A D.ROOT SERVERS.NET IN A E.ROOT SERVERS. NET IN A F.ROOT SERVERS.NET IN A G.ROOT SERVERS.NET IN A H.ROOT SERVERS.NET IN A I.ROOT SERVERS.NET IN A J.ROOT SERVERS.NET IN A K.ROOT SERVERS.NET IN A L.ROOT SERVERS.NET IN A M.ROOT SERVERS.NET IN A AmP+mm (CCC) DNS Vortrag 13 / 47

15 Gliederung Aufbau und Verwendung von DNS 1 Einführung in DNS 2 Aufbau und Verwendung von DNS 3 Probleme 4 Ausblick 5 Links AmP+mm (CCC) DNS Vortrag 14 / 47

16 Aufbau und Verwendung von DNS Arten von DNS Servern Resolver Forwarder Caches Authorativ AmP+mm (CCC) DNS Vortrag 15 / 47

17 Aufbau und Verwendung von DNS Ablauf einer Anfrage. Nameserver. Nameserver de Nameserver de pl ccc Nameserver ccc heise Query Answer Resolver koeln Nameserver koeln berlin Abbildung: Der Resolver ermittelt IP zu einem Namen AmP+mm (CCC) DNS Vortrag 16 / 47

18 Hierarchie Aufbau und Verwendung von DNS Root (.).arpa.de.com.pl ccc koeln berlin www www labor enki.labor.koeln.ccc.de Abbildung: Aufbau einer Hierarchie durch Delegation AmP+mm (CCC) DNS Vortrag 17 / 47

19 Aufbau und Verwendung von DNS Software und Unterschiede: Resolver nslookup dig host Historie gethostbyname, gethostbyaddr Als das Internet noch klein war wurden alle Rechner in der /etc/hosts gepflegt. Eine historische Hosts.txt Datei ist immernoch im Internet zu finden. Andere Adressdienste, gerade für die lokale Auflösung wurden lange verwendet. Die Reihenfolge in der Quellen für die Namensauflösung herangezogen werden ist in der /etc/nsswitch.conf festgelegt. AmP+mm (CCC) DNS Vortrag 18 / 47

20 resolv.conf Aufbau und Verwendung von DNS Welche DNS Server verwendet werden steht in der resolv.conf: domain l a b o r. koeln. ccc. de search l a b o r. koeln. ccc. de ccc. de nameserver nameserver AmP+mm (CCC) DNS Vortrag 19 / 47

21 Aufbau und Verwendung von DNS Aufbau der Adressen spezifisch unspezifisch enki.labor.koeln.ccc.de Abbildung: Wertigkeit innerhalb von Adressen AmP+mm (CCC) DNS Vortrag 20 / 47

22 Aufbau und Verwendung von DNS DNS Server: Software und Unterschiede isc bind powerdns djbdns / dnscache ms dns dnsmasq AmP+mm (CCC) DNS Vortrag 21 / 47

23 Aufbau und Verwendung von DNS DNS Protokoll Horcht auf Port 53 Hauptsächlich via UDP in 512 Byte - Paketen Verwendung von TCP bei Erweiterungen AmP+mm (CCC) DNS Vortrag 22 / 47

24 Aufbau und Verwendung von DNS DNS Paket Payload Header Question The Question for the Nameserver Answer Resource Records answering the Questions Authority RRs pointing toward an authority Additional RRs holding additional Information Abbildung: DNS Paket AmP+mm (CCC) DNS Vortrag 23 / 47

25 Aufbau und Verwendung von DNS Resource Records SOA NS A CNAME PTR MX TXT... AmP+mm (CCC) DNS Vortrag 24 / 47

26 Aufbau und Verwendung von DNS Query Types axfr - Transfer zwischen Nameservern query - Abfrage von Records update - Update eines Records AmP+mm (CCC) DNS Vortrag 25 / 47

27 Aufbau und Verwendung von DNS Antwort Typen Konnte der Server selber antworten? authorativ non-authorativ Welcher Art war die remote Antwort? rekursiv iterativ AmP+mm (CCC) DNS Vortrag 26 / 47

28 Aufbau und Verwendung von DNS Antwort Typen Konnte der Server selber antworten? authorativ non-authorativ Welcher Art war die remote Antwort? rekursiv iterativ AmP+mm (CCC) DNS Vortrag 26 / 47

29 Aufbau und Verwendung von DNS Hands-On: dig verwenden Ausprobieren: Namensauflösung mit dig d i g <typ > <domain> <@server> A, PTR, SOA, NS, AXFR Versucht mal den Parameter +trace Testet bekannte Namen unterhalb von example.com IPs und deren Namen in AmP+mm (CCC) DNS Vortrag 27 / 47

30 Aufbau und Verwendung von DNS Zonen Dateien Bind Style Delegation Parenting Cache und TTL AmP+mm (CCC) DNS Vortrag 28 / 47

31 Beispiel - Teil 1 Aufbau und Verwendung von DNS $TTL IN SOA ns1.koeln.ccc.de. admin.koeln.ccc.de. ( ; Serial 8H ; Refresh 2H ; Retry 4W ; Expire 1h ) ; Negative Cache IN NS IN NS IN MX 10 IN A AmP+mm (CCC) DNS Vortrag 29 / 47

32 Beispiel - Teil 2 Aufbau und Verwendung von DNS ; glue records ns1 IN A ns2 IN A ; CNAME records www IN CNAME weltregierung wiki IN CNAME weltregierungv4 ; subzonen labor IN NS ns1 ; server records weltregierungv4 IN A weltregierung IN A IN AAAA 2000:638:407:64:20b:6aff:fec5:9538 mail 3600 IN A AmP+mm (CCC) DNS Vortrag 30 / 47

33 Aufbau und Verwendung von DNS Erweiterungen Punycode ENUM Dynamic DNS Extended DNS AmP+mm (CCC) DNS Vortrag 31 / 47

34 Aufbau und Verwendung von DNS Weitere Anwendungen von DNS Round Robin GeoDNS Spam (SPF, RBL) Internetzensur AmP+mm (CCC) DNS Vortrag 32 / 47

35 Gliederung Probleme 1 Einführung in DNS 2 Aufbau und Verwendung von DNS 3 Probleme 4 Ausblick 5 Links AmP+mm (CCC) DNS Vortrag 33 / 47

36 Probleme DOS Angriffe - Spoofing Der DNS Amplification Attack funktioniert da die Quell Adresse von UDP leicht zu fälschen (spoof) ist. Ein 60 Byte großes Query Paket kann eine bis zu 4000 Byte (mit EDNS) große Antwort erzeugen. Der Angriff ist seit 1999 (?) bekannt. Verstärkt um Faktor 8-60 AmP+mm (CCC) DNS Vortrag 34 / 47

37 Tunnel Probleme Durch Polling eines modifizierten DNS Servers lassen sich TCP/IP Pakete im Payload der Antwortpakete unterbringen. Die Query Pakete sind leider deutlich kleiner. AmP+mm (CCC) DNS Vortrag 35 / 47

38 Probleme Spoofing / Cache Poisoning Beim DNS-Spoofing... Beispiel Im Jahre 2008 fällt Dan Kaminsky auf, daß ungefragt im Antwortpaket übermittelte DNS Einträge ebenfalls gecached und verwendet werden. AmP+mm (CCC) DNS Vortrag 36 / 47

39 Probleme DNS Cache Snooping Durch Anfragen an einen DNS Server wird ermittelt (snoop) ob ein bestimmter DNS Eintrag im Cache vorhanden ist, was auf auf eine vorige Auflösung durch den Besitzer des Servers hindeutet. 1 SOA holen (iterativ: Rootserver, von da weiter) 2 A Record pruefen 3 Vergleiche TTL, Differenz <> 0 => Wert war in Cache Beispiel Die Verbreitung des Sony BMG Rootkits konnte so gemessen werden. AmP+mm (CCC) DNS Vortrag 37 / 47

40 Probleme Bekannte offene DNS Server Provider: // res2.netcologne.de // res1.netcologne.de Achtung Problem der Open Resolver AmP+mm (CCC) DNS Vortrag 38 / 47

41 Probleme Lügende DNS Server Achtung Internet Zensur Stopseite Werbeseiten Keine Nicht-Existente Seiten mehr Die Verwendung von providerseitigen Werbeseiten kann Phishing Angriffe erheblich erleichtern. AmP+mm (CCC) DNS Vortrag 39 / 47

42 Hands On: DNS Server Probleme Versucht de.wikipedia.org aufzulösen, in dem Ihr einen anderen DNS Server verwendet. AmP+mm (CCC) DNS Vortrag 40 / 47

43 Gliederung Ausblick 1 Einführung in DNS 2 Aufbau und Verwendung von DNS 3 Probleme 4 Ausblick 5 Links AmP+mm (CCC) DNS Vortrag 41 / 47

44 Ausblick DNSSEC und PKI Sicherheitserweiterungen um bekannte Probleme zu beheben Asymetrisches Kryptosystem Zone key für jede Zone (priv+pub) jeder RR wird unterschrieben Alphabetische Anordnung um nicht-existente Records zu finden Gültigkeitsdauer Bringt neue Probleme mit sich AmP+mm (CCC) DNS Vortrag 42 / 47

45 Ausblick IPv6 Hohe Anzahl von Adressen lange, nahezu unmerkbare Adressen Stärkere Nutzung auch im lokalen Bereich Unverzichtbarkeit von DNS Kein DHCP mehr um Nameserver zu verbreiten. AmP+mm (CCC) DNS Vortrag 43 / 47

46 Ausblick Multicast DNS / DNS-SD DNS ohne Server - Zeroconf Jeder veröffentlicht sich selbst und seine Dienste Überlappungen möglich und teilweise gewünscht (HA) Implementierung als Avahi oder Bonjour Verwendung über.local AmP+mm (CCC) DNS Vortrag 44 / 47

47 Gliederung Links 1 Einführung in DNS 2 Aufbau und Verwendung von DNS 3 Probleme 4 Ausblick 5 Links AmP+mm (CCC) DNS Vortrag 45 / 47

48 Links Tutorials DNSSEC-Experten-warnen-vor-politischen-Risiken-und news/meldung/ DNS-Amplification-Attacks.pdf AmP+mm (CCC) DNS Vortrag 46 / 47

49 Links Other DNS und Bind (O Reilly) RFC1034 / RFC1035 RFC2671 AmP+mm (CCC) DNS Vortrag 47 / 47

50 End. Links Vielen Dank AmP+mm (CCC) DNS Vortrag 48 / 47