DNSSEC thêm bảo mật quan trọng cho một nơi mà Internet không thực sự có bất kỳ. Hệ thống tên miền (DNS) hoạt động tốt, nhưng không có xác minh tại bất kỳ thời điểm nào trong quá trình, để lại lỗ hổng mở cho kẻ tấn công.
Nhà nước hiện tại của vấn đề
Chúng tôi đã giải thích cách hoạt động của DNS trong quá khứ. Tóm lại, bất cứ khi nào bạn kết nối với một tên miền như “google.com” hoặc “howtogeek.com”, máy tính của bạn sẽ liên lạc với máy chủ DNS của nó và tra cứu địa chỉ IP được liên kết cho tên miền đó. Máy tính của bạn sau đó kết nối với địa chỉ IP đó.
Quan trọng hơn, không có quy trình xác minh nào liên quan đến tra cứu DNS. Máy tính của bạn yêu cầu máy chủ DNS của nó cho địa chỉ được liên kết với một trang web, máy chủ DNS phản hồi bằng địa chỉ IP và máy tính của bạn nói “được!” Và kết nối hài lòng với trang web đó. Máy tính của bạn không dừng lại để kiểm tra xem đó có phải là phản hồi hợp lệ hay không.
Mã hóa HTTPS cung cấp một số xác minh. Ví dụ: giả sử bạn thử kết nối với trang web của ngân hàng và bạn thấy HTTPS và biểu tượng khóa trong thanh địa chỉ của bạn. Bạn biết rằng cơ quan cấp giấy chứng nhận đã xác minh rằng trang web thuộc về ngân hàng của bạn.
Nếu bạn truy cập trang web của ngân hàng từ điểm truy cập bị xâm phạm và máy chủ DNS đã trả lại địa chỉ của trang web lừa đảo mạo danh, trang web lừa đảo sẽ không thể hiển thị mã hóa HTTPS đó. Tuy nhiên, trang web lừa đảo có thể chọn sử dụng HTTP thuần thay vì HTTPS, cá cược rằng hầu hết người dùng sẽ không nhận thấy sự khác biệt và sẽ nhập thông tin ngân hàng trực tuyến của họ.
Ngân hàng của bạn không có cách nào để nói "Đây là những địa chỉ IP hợp pháp cho trang web của chúng tôi."
Cách DNSSEC sẽ trợ giúp
Một tra cứu DNS thực sự xảy ra trong nhiều giai đoạn. Ví dụ: khi máy tính của bạn yêu cầu www.howtogeek.com, máy tính của bạn thực hiện tra cứu này trong một vài giai đoạn:
- Đầu tiên nó yêu cầu "thư mục vùng gốc" nơi nó có thể tìm thấy .com.
- Sau đó, nó sẽ hỏi thư mục.com nơi nó có thể tìm thấy howtogeek.com.
- Sau đó, nó sẽ hỏi howtogeek.com nơi nó có thể tìm thấy www.howtogeek.com.
DNSSEC liên quan đến việc “ký gốc”. Khi máy tính của bạn đi hỏi vùng gốc nơi có thể tìm thấy.com, nó sẽ có thể kiểm tra khóa ký của vùng gốc và xác nhận rằng đó là vùng gốc hợp pháp với thông tin thực sự. Vùng gốc sau đó sẽ cung cấp thông tin về khóa ký hoặc.com và vị trí của nó, cho phép máy tính của bạn liên lạc với thư mục.com và đảm bảo nó hợp pháp. Thư mục.com sẽ cung cấp khóa ký và thông tin cho howtogeek.com, cho phép nó liên hệ với howtogeek.com và xác minh rằng bạn được kết nối với howtogeek.com thực, như được xác nhận bởi các khu vực phía trên nó.
Khi DNSSEC được triển khai hoàn toàn, máy tính của bạn sẽ có thể xác nhận các phản hồi DNS là hợp pháp và đúng, trong khi hiện tại không có cách nào biết được cái nào là giả và cái nào là thực.
SOPA sẽ làm gì
Vậy, Đạo luật vi phạm bản quyền trực tuyến Stop, được biết đến như SOPA, chơi như thế nào? Vâng, nếu bạn theo SOPA, bạn nhận ra rằng nó được viết bởi những người không hiểu Internet, vì vậy nó sẽ "phá vỡ Internet" theo nhiều cách khác nhau. Đây là một trong số họ.
Hãy nhớ rằng DNSSEC cho phép chủ sở hữu tên miền ký vào bản ghi DNS của họ. Vì vậy, ví dụ, thepiratebay.se có thể sử dụng DNSSEC để chỉ định địa chỉ IP được liên kết với. Khi máy tính của bạn thực hiện tra cứu DNS - cho dù đó là google.com hay thepiratebay.se - DNSSEC sẽ cho phép máy tính xác định rằng máy tính nhận được phản hồi chính xác như được chủ sở hữu tên miền xác thực. DNSSEC chỉ là một giao thức; nó không cố gắng phân biệt giữa các trang web "tốt" và "xấu".
SOPA sẽ yêu cầu các nhà cung cấp dịch vụ Internet chuyển hướng tra cứu DNS cho các trang web "xấu". Ví dụ: nếu người đăng ký của nhà cung cấp dịch vụ Internet cố gắng truy cập thepiratebay.se, máy chủ DNS của ISP sẽ trả lại địa chỉ của một trang web khác, thông báo cho họ biết rằng Pirate Bay đã bị chặn.
Với DNSSEC, một sự chuyển hướng như vậy sẽ không thể phân biệt được với một cuộc tấn công trung gian, mà DNSSEC được thiết kế để ngăn chặn. Các ISP triển khai DNSSEC sẽ phải trả lời bằng địa chỉ thực tế của Pirate Bay, và do đó sẽ vi phạm SOPA.Để phù hợp với SOPA, DNSSEC sẽ phải có một lỗ hổng lớn, nó sẽ cho phép các nhà cung cấp dịch vụ Internet và chính phủ chuyển hướng các yêu cầu DNS tên miền mà không được phép của chủ sở hữu tên miền. Điều này sẽ khó khăn (nếu không phải là không thể) để làm một cách an toàn, có khả năng mở lỗ hổng bảo mật mới cho kẻ tấn công.
May mắn thay, SOPA đã chết và hy vọng nó sẽ không trở lại. DNSSEC hiện đang được triển khai, cung cấp bản sửa lỗi quá hạn cho vấn đề này.
