|
|
51CTO旗下网站
|
|
移动端

IPv6安全思考:IPv6网络中递归DNS的风险分析

中国互联网正在向IPv6时代全面演进。在这个阶段,必须要高度重视DNS安全问题。

作者:赵肃波来源:IPv6头跳|2019-04-13 14:21

DNS(Domain Name System )域名系统是支撑互联网运行的重要核心基础设施,因此DNS系统也成为互联网攻击的最主要目标。DNS安全意义重大,一旦发生重大DNS攻击事件,将可能会影响大范围互联网的正常运行,并给社会带来巨大经济损失。

随着中国推进IPv6规模部署行动计划快速实施,中国三大电信运营商的固定和4G LTE网络已经大范围部署IPv6协议,随着一批TOP ICP网站和APP支持IPv6协议,目前中国已经有超过5亿用户获得IPv6地址,开始使用IPv6网络服务。中国互联网正在向IPv6时代全面演进。在这个阶段,必须要高度重视DNS安全问题。

IPv6安全

1. 递归DNS的运行机制

DNS系统可以分为:根DNS服务器、顶级域名DNS服务器(TLD)、权威DNS服务器、递归DNS服务器等几类。

用户访问互联网,第一步需要向本地递归DNS申请域名解析。递归DNS查询缓存或向上一级DNS进行递归,获得域名解析结果并返回给用户,然后用户浏览器就可以访问目标网站和网页。从互联网DNS体系架构来看,递归DNS是一个综合体系,包含多个层级。用户向低级递归DNS查询,低级向高级递归DNS查询,高级递归DNS向根DNS、顶级域名DNS、权威DNS服务器查询,这样一级一级递归查询。权威DNS解析出来域名的IP地址再一级一级返回,最后发给用户主机。

递归DNS在日志里面将会记录用户的DNS查询记录,包括用户主机的源IP地址、目标网站、查询时间、返回DNS查询结果(目标网站的IP地址)等等。

2. IPv6 与IPv4环境下递归DNS运行机制的差异及风险

IPv6网络环境下,DNS的运行机制与IPv4网络环境下存在一些差异。

由于IPv4地址资源缺乏,所以IPv4网络通常会在出口部署NAT设备,内网主机向递归DNS申请域名解析申请时,递归DNS收到的是NAT设备IP地址,无法获得用户主机的IP地址。

IPv6协议提供了海量IP地址资源,所有用户主机/联网终端都配置真实IPv6地址。IPv6主机(或联网终端)使用真实IPv6地址向递归DNS发起域名解析申请,递归DNS服务器向用户主机返回域名解析结果,并在日志中记录用户的真实IPv6地址。

互联网IP地址扫描探测是黑客常用的攻击手段。由于IPv6协议设计有海量地址,原有IPv4地址段扫描的探测方式在IPv6网络上基本失效,所以黑客需要获得用户的真实IPv6地址,就需要找到一个拥有大量用户真实IPv6地址记录的系统,入侵破解之后获取用户IP地址数据。而递归DNS服务器恰恰能够满足黑客的探测需求,无论是内网递归DNS系统,还是公共递归DNS系统,在DNS日志文件里面都记录了海量用户的真实IPv6地址与域名解析记录。

3. IPv6网络环境中窃取将成为递归DNS重要攻击方式

对递归DNS系统的攻击,主要包括破坏、投毒、窃取三种方式。

  • IPv4时代对DNS的攻击以破坏为主,包括DDOS攻击等,目的是造成DNS服务停止。这种攻击发生后很快就会被发现,并在12-24小时内修复。
  • DNS缓存投毒是指递归DNS向上级DNS申请查询,攻击者仿冒上级DNS服务器向递归DNS 服务器发送伪造应答包抢先完成应答,用虚假数据污染递归DNS 缓存,从而使递归DNS向用户主机返回错误的解析IP结果,将用户访问重定向到危险网站。
  • 进入IPv6时代,由于获取用户真实IPv6地址变得困难,因此窃取将成为递归DNS攻击的重要方式。黑客入侵DNS后,不干扰DNS正常运行,而是长期潜伏起来,持续窃取DNS服务器的日志数据,从日志数据中即时获取海量用户的真实IPv6地址,并作为网络探测的目标。

如果黑客入侵并攻破校园网、政务网,企业网的递归DNS服务器,以及公共DNS服务商的递归DNS系统,就可以获取DNS日志并抓取大量新鲜有效的用户IPv6地址,以进行精准IPv6地址扫描探测。潜伏窃取是静默无声并且长期的,其带来的风险要远远大于DDOS攻击破坏和DNS缓存投毒。

目前很多园区网、企业网的DNS服务器安全防护薄弱,随着用户网络IPv6升级和DNS系统IPv6升级,将可能成为黑客重点攻击目标。

4. IPv6网络随意配置和使用公共DNS的风险

目前网上有很多文章推荐国外的公共DNS,

包括:

  • GooglePublic DNS (IPv4:8.8.8.8;IPv6:2001:4860:4860::8888);
  • IBMQuad9 DNS (IPv4:9.9.9.9;IPv6:2620:fe::fe);
  • CloudflareDNS (IPv4:1.1.1.1;IPv6:2606:4700:4700::1111);
  • CiscoOpenDNS (IPv4:208.67.222.222;IPv6:2620:0:ccc::2);
  • HurricaneElectric Public DNS (IPv4:74.82.42.42;IPv6:2001:470:20::2 )

由于国内网络受互联互通、国际出口拥堵等情况的影响,一些网站访问速度较慢。在一些介绍全球公共DNS的网络技术文章影响下,很多用户在自己的电脑上设置国内、国外公共DNS作为首选DNS,以求实现网络加速。还有一些企业没有内网DNS服务器,网管技术人员往往在路由器上将DNS设置为公共DNS的IP地址,内网用户直接使用公共DNS的域名解析服务。这种情况在IPv4网络环境下的问题不大,因为主机都在NAT设备之后配置内网IP,没有publicIP地址。但是在IPv6网络中,所有主机都将配置真实IPv6 Public IP地址,一旦IP地址暴露,即可被精准扫描。

Google、IBM、Cloudflare等全球公共DNS系统为全球互联网用户提供免费的DNS解析服务,正面看是一种公益和慈善,但从IPv6网络安全的角度看,其实也是一个全球主机IP地址收集器。如果用户主机DNS设置直接写入这些公共DNS的IP地址,或者小企业出口路由器的DNS设置直接写入这些公共DNS的IP地址,那么用户主机发起DNS解析请求时,这些公共DNS将直接获得用户主机(或企业内网主机)的真实IPv6地址。假设某个公共DNS系统的日志数据库与网军的IP地址扫描探测系统直联共享,那么情况简直不堪设想。

5. 在中国IPv6规模部署初期就要重视IPv6网络安全

两办《推进IPv6规模部署行动计划》文件中明确提出了“两并举三同步”原则:“发展与安全并举,同步推进网络安全系统规划、建设、运行”。

中国IPv6规模部署刚刚进入发展期,已经有超过5亿部手机实现了IPv6联网,一批高校、政府、企业的网络正在升级支持IPv6协议。在目前阶段,重视IPv6网络安全问题处于最佳阶段,而不能等到发生事故之后再亡羊补牢。可以预见,在不远的将来,IPv6 DNS安全将成为IPv6网络安全的最重点问题之一,必须要予以高度重视,提前做好网络安全防护。

【编辑推荐】

  1. 负载均衡学习之DNS域名解析负载均衡
  2. 木有IPv6就木有未来,聊聊部署IPv6的必要性
  3. 关于IPv6的秘密史
  4. IPv6协议及安全浅谈
  5. 还不认识IPv6你就out了 什么是IPv6?
【责任编辑:赵宁宁 TEL:(010)68476606】

点赞 0
分享:
大家都在看
猜你喜欢

订阅专栏+新用户注册送47元彩金

CentOS文件服务的最佳实战

CentOS文件服务的最佳实战

涨薪跳槽必备技能
共15章 | 追风蚂蚁

81人订阅学习

小白网工宝典

小白网工宝典

一次搞定思科华为
共15章 | 思科小牛

300人订阅学习

防火墙大佬修炼手册

防火墙大佬修炼手册

网工达人必备
共20章 | 捷哥CCIE

327人订阅学习

读 书 +新用户注册送47元彩金

一目了然——Web软件显性设计之路

本书阐述了为什么以及如何设计出简单易用的基于Web的软件,让用户单凭常识即可有效地使用它。主要内容包括:显性设计的概念、如何理解用户...

订阅51CTO邮刊

点击这里查看样刊

订阅51CTO邮刊

51CTO服务号

51CTO播客

博聚网