مقایسه DNSSEC و دی ان اس رمزگذاری شده: اصالت داده و حریم خصوصی

سامانه نام دامنه یا دی ان اس دفترچه تلفن اینترنت نامیده می شود زیرا نام های خوانا برای انسان را به آدرس های عددی آی پی تبدیل می کند. زمانی که مشخصات اولیه دی ان اس در دهه ۱۹۸۰ طراحی شد، اینترنت محیطی علمی و مبتنی بر اعتماد متقابل بود. در نتیجه پروتکل اصلی بر بستر پورت ۵۳ با بسته های متنی ساده و بدون هیچ گونه رمزگذاری یا اصالت سنجی رمزنگاری شده شکل گرفت.

با گسترش تهدیدات سایبری در شبکه های امروزی، کارشناسان دو گروه راهکار امنیتی را معرفی کردند: توسعه های امنیتی دی ان اس یا DNSSEC برای بررسی اصالت رکوردها، و پروتکل های دی ان اس رمزگذاری شده مانند DoH و DoT و DoQ برای حفظ محرمانگی ارتباطات. با این حال بسیاری از کاربران و مدیران سیستم این دو مفهوم را اشتباه می گیرند. برخی تصور می کنند فعال سازی DoH نیاز به اعتبارسنجی DNSSEC را برطرف می کند یا برعکس فکر می کنند پیاده سازی DNSSEC مانع از رصد فعالیت های آنان توسط ارائه دهندگان اینترنت می شود.

در عمل این دو فناوری با خطرات کاملا متفاوتی مقابله می کنند. فناوری DNSSEC اصالت مبدا و صحت داده های ذخیره شده را تضمین می کند، در حالی که دی ان اس رمزگذاری شده محرمانگی مسیر انتقال داده میان کلاینت و سرور تحلیل گر را حفظ می کند.

تفاوت های بنیادی: یکپارچگی داده در برابر محرمانگی مسیر

تفکیک این دو وظیفه در دو اصل پایه ای امنیت اطلاعات نهفته است:

۱. اصالت و یکپارچگی (DNSSEC): پاسخ به این پرسش که آیا آدرس آی پی دریافت شده واقعا از سوی مالک دامنه صادر شده یا توسط واسطه ها دستکاری شده است؟ ۲. محرمانگی مسیر (DoH / DoT / DoQ): پاسخ به این پرسش که آیا ارائه دهنده اینترنت یا شخص ثالث در شبکه وای فای می تواند نام دامنه های مورد جستجوی کاربر را ببیند؟

فناوری DNSSEC یک زنجیره اعتماد سلسله مراتبی از ریشه اینترنت تا سرور نام دامنه ایجاد می کند. اما محتوای پیام ها همچنان متنی و خوانا است و شنودگران می توانند نام دامنه ها را ثبت کنند.

در مقابل دی ان اس رمزگذاری شده ترافیک را درون نشست های امن TLS یا QUIC قرار می دهد. واسطه شبکه تنها متوجه می شود که اتصالی رمزنگاری شده به سرور تحلیل گر برقرار است، اما اگر خود سرور تحلیل گر سوابق DNSSEC را ارزیابی نکند، پاسخ جعلی را بدون تغییر تحویل خواهد داد.

معماری DNSSEC: زنجیره امضاهای دیجیتال

فناوری DNSSEC بر پایه رمزنگاری نامتقارن و کلید عمومی عمل می کند و رکوردهای ویژه ای را به ساختار منطقه اضافه می کند:

• رکورد RRSIG: امضای دیجیتال برای مجموعه رکوردهای منطقه که با کلید خصوصی ایجاد می شود.
• رکورد DNSKEY: کلیدهای عمومی موجود در منطقه برای سنجش درستی امضاها.
• رکورد DS: هش کلید عمومی منطقه فرزند که در منطقه والد قرار می گیرد تا پیوند اعتماد برقرار شود.
• رکورد NSEC یا NSEC3: اثبات رمزنگاری شده مبنی بر عدم وجود یک رکورد، جهت پیشگیری از پاسخ های جعلی منفی.

تحلیل گر امن با داشتن لنگر اعتماد کلید ریشه جهانی، تطابق هش DS و کلیدهای فرزند را گام به گام بررسی می کند. در صورت وجود مغایرت یا دستکاری، پاسخ با خطای SERVFAIL رد شده و از اتصال کلاینت به مقاصد مخرب جلوگیری می شود.

پروتکل های انتقال امن: بررسی DoT و DoH و DoQ

دی ان اس رمزگذاری شده بر امن سازی فاصله میان دستگاه کاربر و سرورهای نام تمرکز دارد:

پروتکل DoT (استاندارد RFC 7858)

این روش از پورت اختصاصی TCP 853 استفاده می کند و داده ها را درون کانال TLS ارسال می کند. این ساختار مدیریت ترافیک را شفاف می سازد اما تفکیک پورت اختصاصی باعث می شود فایروال های شبکه اداری بتوانند به سادگی آن را شناسایی کنند.

پروتکل DoH (استاندارد RFC 8484)

در این ساختار، پرس و جوهای دی ان اس درون فریم های پروتکل HTTP/2 یا HTTP/3 و روی پورت استاندارد TCP 443 ارسال می شوند. ترکیب این داده ها با ترافیک معمول وب باعث می شود تشخیص آن بسیار دشوار گردد و از امکاناتی مانند همزمانی درخواست ها بهره ببرد.

پروتکل DoQ (استاندارد RFC 9250)

این پروتکل بر پایه کوئیک و پروتکل UDP توسعه یافته و تاخیر برقراری اتصال را به صفر می رساند. این ساختار مشکل انسداد ابتدای صف را کاملا حذف کرده و برای اتصال های بی سیم با تغییر مکرر آدرس شبکه بسیار مطلوب است.

چرا دی ان اس رمزگذاری شده جایگزین DNSSEC نیست

کانال رمزگذاری شده تنها مسیر میان دستگاه شما و سرور تحلیل گر را امن می کند. اگر سرور تحلیل گر نتواند امضاهای DNSSEC را تایید کند یا حافظه کش آن دستکاری شده باشد، با اطمینان کامل همان آی پی دستکاری شده را از طریق تونل امن به شما تحویل خواهد داد.

معماری پایدار مستلزم آن است که سرور تحلیل گر کلیه امضاهای DNSSEC را تا کلید ریشه ارزیابی کرده و پرچم داده های تایید شده (AD) را در بسته خروجی تنظیم نماید.

حجم پیام ها و برطرف سازی تکه تکه شدن بسته ها

افزودن امضاهای دیجیتال و کلیدهای رمزنگاری حجم پاسخ های دی ان اس را از ۱۰۰ بایت تا ۱۸۰۰ بایت افزایش می دهد. در ساختار قدیمی UDP این مسئله باعث تقسیم بسته ها در سطح آی پی می شد.

پروتکل های رمزنگاری شده DoH و DoT و DoQ با بهره گیری از ویژگی های قطعه بندی داخلی در لایه های TLS و QUIC داده های حجیم DNSSEC را بدون آسیب و تاخیر منتقل می کنند.

شیوه پیاده سازی امنیت دی ان اس در زیرساخت VPNRice

حفاظت پایدار از حریم خصوصی مستلزم تلفیق رمزنگاری مسیر با ارزیابی اصالت رکوردها است. زیرساخت VPNRice این دو جنبه را در هسته اتصالات خود فراهم کرده است.

با اتصال به VPNRice تمام ترافیک نام دامنه بدون وقفه به داخل تونل لایه سوم اختصاصی RiceGuard هدایت می شود و امکان رصد فعالیت ها توسط شبکه های محلی منتفی می گردد.

در گره های خروجی سرورهای بازگشتی اختصاصی بدون ذخیره سازی تاریخچه، تمامی امضاهای DNSSEC را بر پایه کلید ریشه جهانی بررسی می کنند تا داده های دستکاری شده دفع شوند. با تلفیق رمزنگاری قوی تونل و اصالت سنجی داده های DNSSEC، شبکه VPNRice اتصالی مطمئن و امن برای کاربران فراهم می کند. دریافت VPNRice.