Kuidas DNSSEC aitab Interneti ja SOPA peaaegu ebaseadusliku turvalisuse tagamisel
Domeeninime süsteemi turvalisuse laiendused (DNSSEC) on turvatehnoloogia, mis aitab parandada ühe Interneti nõrkadest kohtadest. Me oleme õnnelikud, sest SOPA ei läinud, sest SOPA oleks DNSSECi ebaseaduslikuks teinud.
DNSSEC lisab kriitilise turvalisuse kohale, kus internetil pole tõesti mingit. Domeeninimede süsteem (DNS) toimib hästi, kuid protsessi mingil hetkel ei ole kinnitust, mis jätab ründajad jaoks avad.
Praegune olukord
Oleme selgitanud, kuidas DNS varem töötab. Lühidalt öeldes, kui ühendate domeeninimega nagu "google.com" või "howtogeek.com", võtab teie arvuti ühendust oma DNS-serveriga ja otsib selle domeeninime seotud IP-aadressi. Seejärel ühendab arvuti selle IP-aadressiga.
Oluline on, et DNS-i otsingus ei ole kinnitust. Teie arvuti küsib oma DNS-serverilt veebisaidiga seotud aadressi, DNS-server vastab IP-aadressile ja teie arvuti ütleb "okei!" Teie arvuti ei peatu kontrollima, kas see on õige vastus.
Ründajad saavad suunata need DNS-päringud või luua pahatahtlikud DNS-serverid, mis on mõeldud halbade vastuste tagastamiseks. Näiteks kui olete ühendatud avaliku Wi-Fi võrguga ja üritate ühendada howtogeek.com-iga, võib selle avaliku Wi-Fi-võrgu pahatahtlik DNS-server pöörduda teise IP-aadressi täielikult tagasi. IP-aadress võib viia teid andmepüügileheküljele. Teie veebibrauseril ei ole reaalset võimalust kontrollida, kas IP-aadress on tegelikult howtogeek.com-iga seotud; see peab lihtsalt usaldama DNS-serverilt saadud vastust.
HTTPSi krüpteerimine annab mõningast kontrolli. Oletame näiteks, et proovite ühendada oma panga veebisaidiga ja näete oma aadressiribal HTTPS-i ja lukustuse ikooni. Te teate, et sertifitseerimisasutus on kontrollinud, et veebisait kuulub teie pangale.
Kui olete ligi pääsenud oma panga veebisaidile ohustatud juurdepääsupunktist ja DNS-server tagastas võltsimiskeskkonna aadressi, ei saa andmepüügisait seda HTTPS-krüpteerimist kuvada. Andmepüügisait võib siiski kasutada tavalist HTTP-d HTTPSi asemel, kihlveod, et enamik kasutajaid sellest erinevusest ei märka ja sisestaks niikuinii oma internetipangandusteabe.
Teie pangal pole mingit võimalust öelda „Need on meie veebisaidi õigustatud IP-aadressid.”
Kuidas DNSSEC aitab
DNS-i otsing toimub tegelikult mitmel etapil. Näiteks, kui teie arvuti küsib veebisaiti www.howtogeek.com, teeb teie arvuti selle otsingu mitmes etapis:
- Kõigepealt küsib see „juurtsooni kataloogi”, kust see on võimalik .com.
- Seejärel küsib see kataloogi, kust see asub howtogeek.com.
- Seejärel küsib see, kuidas seda leida www.howtogeek.com.
DNSSEC hõlmab „juurte allkirjastamist”. Kui teie arvuti küsib juurtsooni, kust see võib leida .com, saab ta kontrollida juurtsooni allkirjastamise võtit ja kinnitada, et see on õige teabe õigustatud juurvöönd. Seejärel annab juurvöönd teavet allkirjastamise võtme või .com ja selle asukoha kohta, võimaldades teie arvutil kontakteeruda .com kataloogiga ja tagada, et see oleks õigustatud. .Com kataloog pakub allkirjastamise võtit ja infot howtogeek.com-le, võimaldades tal kontakteeruda howtogeek.com-iga ja kontrollida, kas olete ühendatud reaalse howtogeek.com-iga, nagu seda kinnitavad ülal olevad tsoonid.
Kui DNSSEC on täielikult välja töötatud, on teie arvutil võimalik kinnitada, et DNS-i vastused on õigustatud ja õiged, samas kui praegu ei ole võimalik teada, millised on võltsitud ja millised on reaalsed.
Lisateave krüptimise kohta siin.
Mida SOPA oleks teinud
Niisiis, kuidas lõi Online piraatluse seadus, mida tuntakse paremini kui SOPA, mängib seda kõike? Noh, kui te järgisite SOPA-d, siis mõistate, et seda on kirjutanud inimesed, kes ei mõistnud Internetti, nii et see „murdaks interneti” erinevalt. See on üks neist.
Pidage meeles, et DNSSEC võimaldab domeeninimede omanikel oma DNS-kirjeid allkirjastada. Nii võib näitekspiratebay.se kasutada DNSSEC-i, et määrata IP-aadressid, millega see on seotud. Kui arvuti täidab DNS-i otsingu - kas see on google.com või thepiratebay.se jaoks - lubaks DNSSEC arvutil kindlaks teha, et see saab õige vastuse, mille on kinnitanud domeeninime omanikud. DNSSEC on vaid protokoll; see ei püüa diskrimineerida „häid” ja „halbu” veebisaite.
SOPA oleks nõudnud, et Interneti-teenuse pakkujad suunaksid DNS-otsingud „halbadele” veebilehtedele. Näiteks, kui Interneti-teenuse pakkuja abonendid püüdsid ligipääsu thepiratebay.se'le, tagastaksid ISP DNS-serverid teise veebisaidi aadressi, mis teataks neile, et Pirate Bay on blokeeritud.
DNSSECi puhul oleks selline ümbersuunamine eristamatu inimese keskelt ründamisest, mille DNSSEC eesmärk oli vältida. DNSSECi kasutavad Interneti-teenuse pakkujad peaksid vastama Pirate Bay tegelikule aadressile ja rikkuma seega SOPA-d. SOPA vastuvõtmiseks peaks DNSSECil olema see suur lõik, mis võimaldaks Interneti-teenuse pakkujatel ja valitsustel suunata domeeninime DNS-päringud ilma domeeninime omanike loata. See oleks raske (kui mitte võimatu) teha turvaliselt, avades tõenäoliselt ründajate jaoks uued turvaaugud.
Õnneks on SOPA surnud ja loodetavasti ei tule see tagasi. DNSSEC on praegu kasutusel, pakkudes selle probleemi pikemat aega.
Krediidi krediit: Khairil Yusof, Jemimus Flickril, David Holmes Flickris
