Rozwiązywanie DNS

Rozwiązywanie DNS to parametr monitoringu stron internetowych, który sprawdza, czy nazwę domeny da się zamienić na adres IP serwera. Pomiar kończy się jednym z kilku wyników: nazwa rozwiązana do adresu, odpowiedź negatywna (nazwa nie istnieje albo nie ma rekordu żądanego typu), błąd serwera nazw albo brak odpowiedzi w wyznaczonym czasie. Adres IPv4 hosta przechowuje rekord A, zawierający 32-bitowy adres internetowy ^[2], a adres IPv6 — osobny rekord AAAA ^[4].

Jak działa

DNS jest rozproszoną bazą danych: przestrzeń nazw dzieli się na strefy, a serwer, który zna dane strefy, jest dla niej autorytatywny ^[1]. Rekord NS wskazuje serwery autorytatywne domeny, a rekord SOA oznacza początek strefy ^[1]. Strefa podrzędna powstaje przez delegację, czyli dodanie zbioru rekordów NS w strefie nadrzędnej ^[3].

Program, który zadaje pytanie, jest zwykle resolverem pośredniczącym (ang. stub resolver): sam nie przeprowadza rozwiązywania, tylko zleca je resolverowi rekurencyjnemu ^[3]. RFC 1034 opisuje dwa tryby: rekurencyjny, w którym serwer sam szuka odpowiedzi u innych serwerów, i iteracyjny, w którym odsyła klienta do innego serwera ^[1]. Odesłanie (ang. referral) oznacza, że serwer nie jest autorytatywny dla odpowiedzi i wskazuje inne miejsce, do którego należy wysłać zapytanie ^[3]. Resolver rekurencyjny zapamiętuje otrzymane odpowiedzi ^[3].

RYS. 1.1Rozwiązanie rekordu A

Odpowiedź niesie kod RCODE: 0 oznacza brak błędu, 2 błąd serwera (SERVFAIL), 3 błąd nazwy, a 5 odmowę wykonania operacji ^[2]. Błąd nazwy, nazywany NXDOMAIN, znaczy, że nazwa z zapytania nie istnieje ^[3], i ma znaczenie tylko wtedy, gdy pochodzi od serwera autorytatywnego ^[2]. Osobny przypadek to NODATA: nazwa istnieje, ale nie ma rekordów żądanego typu ^[5]. NODATA jest pseudokodem — odpowiedź nie niesie osobnej wartości RCODE, a stan trzeba wywnioskować z pustej sekcji odpowiedzi ^[3].

Każdy rekord ma TTL, czyli czas, przez który wolno go przechowywać w pamięci podręcznej, zanim trzeba ponownie zapytać źródło ^[2]. Resolver, który zapamiętał rekord, może więc podawać starą wartość aż do upływu TTL ^[1] — to, co potocznie nazywa się propagacją zmian w DNS. Pamięć podręczna obejmuje też odpowiedzi negatywne: ich czas życia to mniejsza z wartości pola MINIMUM rekordu SOA i TTL samego SOA, a serwer autorytatywny musi dołączyć SOA do odpowiedzi NXDOMAIN i NODATA ^[5]. Błąd serwera wolno zapamiętać najwyżej na 5 minut ^[5].

RYS. 1.2Możliwe wyniki zapytania o rekord A

Standardy i specyfikacje

• RFC 1034 i RFC 1035 opisują koncepcję i implementację DNS: strefy, autorytatywność, rekurencję, rekordy A, NS i SOA oraz kody odpowiedzi ^{[1] [2]}. Komunikaty UDP trafiają na port serwera 53 ^[2].
• RFC 3596 definiuje rekord AAAA o typie 28, przechowujący jeden adres IPv6; zapytanie o AAAA zwraca wszystkie rekordy AAAA nazwy ^[4]. To osobny typ rekordu, pytany niezależnie od A.
• RFC 2308 definiuje NXDOMAIN i NODATA oraz zasady przechowywania odpowiedzi negatywnych i błędów serwera w pamięci podręcznej ^[5].
• RFC 8499 porządkuje terminologię: resolver pośredniczący i rekurencyjny, serwer autorytatywny, delegacja, odesłanie ^[3].
• RFC 4033 wprowadza DNSSEC, który dodaje uwierzytelnienie pochodzenia i integralność danych, ale nie zapewnia poufności ani ochrony przed odmową usługi ^[6]. Resolver sprawdzający podpisy ocenia dane jako bezpieczne, niezabezpieczone, fałszywe (ang. bogus) albo nieokreślone; o danych fałszywych informuje resolver bez walidacji kodem RCODE 2, czyli SERVFAIL ^[6].

Zagrożenia i skutki

Wygaśnięcie domeny. Polityka ICANN ERRP dla domen gTLD wymaga od rejestratora co najmniej dwóch przypomnień: około miesiąca i około tygodnia przed wygaśnięciem ^[9]. Po wygaśnięciu rejestrator musi przerwać dotychczasową ścieżkę rozwiązywania nazwy, ustaloną przez abonenta: do usunięcia rejestracji, a gdy usunięcie następuje później niż osiem dni po wygaśnięciu — co najmniej przez ostatnie osiem kolejnych dni, w których domenę można jeszcze odnowić ^[9]. Jeśli kieruje wtedy ruch na własną stronę, musi ona wyraźnie informować o wygaśnięciu i podawać instrukcję odnowienia ^[9]. Nazwa może więc nadal się rozwiązywać, tylko do innego serwera. Po usunięciu rejestracji rejestry gTLD dają 30 dni okresu odkupienia (ang. Redemption Grace Period) ^[9].

Przejęcie domeny. Raport SSAC SAC007 definiuje przejęcie jako bezprawne odebranie kontroli nad domeną prawowitemu abonentowi przez stronę trzecią ^[8]. Wśród skutków wymienia odmowę i kradzież usług, strony phishingowe, podsłuch ruchu oraz szkody wizerunkowe przez podmianę witryny, a wśród przyczyn wady procesów rejestracji, nieprzestrzeganie zasad transferu i słabą higienę bezpieczeństwa ^[8]. Dyrektywa CISA ED 19-01 z 22 stycznia 2019 r. opisywała ataki, w których napastnik zdobywał dane logowania do konta zarządzającego rekordami DNS i zmieniał rekordy A, MX lub NS, podstawiając adres pod swoją kontrolą ^[7]. Mógł też uzyskać ważne certyfikaty dla nazw ofiary ^[7]. Dyrektywa nakazywała m.in. audyt rekordów, zmianę haseł, uwierzytelnianie wieloskładnikowe i śledzenie dzienników Certificate Transparency ^[7]. Po takiej zmianie nazwa rozwiązuje się bez błędu — różni się tylko adres.

Błędna delegacja. Delegacja jest wadliwa (ang. lame delegation), gdy rekordy NS wskazują serwer, który nie obsługuje danej strefy ^[3].

Nieudana walidacja DNSSEC. Gdy podpisy strefy nie przechodzą walidacji, resolver walidujący zwraca SERVFAIL ^[6], a dla jego użytkowników domena przestaje się rozwiązywać. Taki błąd resolver może zapamiętać na najwyżej 5 minut ^[5].

Pamięć podręczna. Odpowiedź NXDOMAIN zostaje zapamiętana na czas wynikający z rekordu SOA ^[5], a zmieniony rekord A — na czas swojego TTL ^[2]. Pomiar przez jeden resolver rekurencyjny widzi zatem jego zapamiętane odpowiedzi ^[3], a nie zawsze bieżący stan serwerów autorytatywnych.

Przykłady

W październiku 2021 r. Cloudflare odnotował o 15:58 UTC, że Facebook przestał ogłaszać trasy do prefiksów swoich serwerów DNS ^[10]. Resolvery zwracały dla tej domeny SERVFAIL, a nazwa była niedostępna od około 15:50 do 21:20 UTC; liczba zapytań do resolvera 1.1.1.1 wyraźnie wtedy wzrosła ^[10].

Obserwacja	Odpowiedź	Typowa przyczyna
Adres jak dotąd	NOERROR, rekord A [2]	domena działa
Adres inny niż dotąd	NOERROR, inny rekord A [2]	migracja serwera, zmiana rekordów po przejęciu konta [7], strona rejestratora po wygaśnięciu [9]
Nazwa nie istnieje	NXDOMAIN z rekordem SOA [5]	literówka w nazwie, rejestracja usunięta
Brak rekordu A	NODATA [3]	host tylko z adresem IPv6 [4], błąd w strefie
Błąd serwera	SERVFAIL [2]	nieudana walidacja DNSSEC [6], nieosiągalne serwery nazw [10]
Odmowa	RCODE 5 [2]	serwer odmawia wykonania zapytania
Brak odpowiedzi	limit czasu bez kodu	przeciążony lub nieosiągalny resolver, zablokowany port 53 [2]