Tấn công Khuếch đại DNS: Khai thác EDNS0, Lọc BCP 38 & Chống Giả mạo IP

Giao thức Gói dữ liệu Người dùng (User Datagram Protocol - UDP) là giao thức truyền tải không kết nối được thiết kế với mục tiêu giảm thiểu tối đa tài nguyên phụ trợ và mang lại độ trễ cực thấp. Do UDP hoạt động mà không cần quá trình bắt tay ba bước (Three-way Handshake) cũng như không duy trì trạng thái xác thực mã hóa, trường địa chỉ nguồn trong tiêu đề IP hoàn toàn không được tầng truyền tải bảo vệ. Bất kỳ máy tính nào kết nối vào một mạng không áp dụng cơ chế xác thực địa chỉ nguồn đều có thể phát đi các gói tin UDP mang địa chỉ người gửi giả mạo tùy ý.

Đặc tính nền tảng này biến UDP thành phương tiện hàng đầu cho các chiến dịch tấn công từ chối dịch vụ phản xạ phân tán (Distributed Reflection Denial of Service - DrDoS). Trong số các chiến thuật phản xạ, tấn công khuếch đại DNS (DNS Amplification) luôn giữ vị trí nguy hiểm và phổ biến nhất. Bằng cách lạm dụng các máy chủ phân giải đệ quy công cộng bị cấu hình sai cùng những phần mở rộng giao thức được thiết kế để nới rộng giới hạn gói tin, tin tặc có thể biến những kết nối mạng gia đình khiêm tốn thành những cơn bão dữ liệu hàng trăm gigabit đánh sập hạ tầng đích.

Việc thấu hiểu bản chất kỹ thuật của tấn công khuếch đại DNS đòi hỏi phân tích tường tận các tính năng giao thức tạo ra hệ số nhân thể tích lên tới 70 lần, đồng thời làm rõ các biện pháp kiểm soát tầng mạng nhằm triệt tiêu hoàn toàn vector tấn công này.

Bản chất Tấn công Phản xạ DNS và Hệ số Khuếch đại EDNS0

Một cuộc tấn công khuếch đại DNS vận hành dựa trên hai cơ chế phối hợp đồng bộ: cơ chế phản xạ (Reflection) và cơ chế khuếch đại thể tích (Amplification).

Kẻ tấn công (Giả mạo IP Nạn nhân)
       |
       |  (Gói tin truy vấn nhỏ 45 bytes)
       v
+-------------------------------+
| Máy chủ Phân giải DNS Đệ quy  |
+-------------------------------+
       |
       |  (Gói tin phản hồi khổng lồ 3.500 bytes)
       v
Mục tiêu Bị hại (Máy chủ / Mạng Nạn nhân)

1. Nguyên lý Tấn công Phản xạ

Trong phiên trao đổi truy vấn thông thường, máy khách gửi yêu cầu DNS từ cổng ngẫu nhiên 53000 đến cổng 53 của máy chủ phân giải. Máy chủ đọc địa chỉ IP nguồn trong tiêu đề IPv4 và phản hồi ngược trở lại địa chỉ gốc đó.

Tin tặc khai thác hành vi này bằng cách giả mạo hoàn toàn tiêu đề gói tin:

Địa chỉ IP Nguồn: Thiết lập thành địa chỉ IP công cộng của nạn nhân bị nhắm mục tiêu.
Địa chỉ IP Đích: Thiết lập tới địa chỉ của một máy chủ phân giải DNS đệ quy mở đang vận hành trên internet.

Máy chủ phân giải xử lý yêu cầu như một truy vấn hợp lệ và gửi toàn bộ dữ liệu phản hồi trực tiếp tới nạn nhân. Do kẻ tấn công không trực tiếp nhận gói tin phản hồi, kỹ thuật phản xạ này che giấu hoàn toàn danh tính và vị trí địa lý thực tế của thủ phạm.

2. Hệ số Khuếch đại Thể tích qua EDNS0 (RFC 6891)

Theo các quy chuẩn truyền thống của RFC 1035, tải trọng UDP DNS bị giới hạn nghiêm ngặt ở mức 512 octets. Mọi gói tin phản hồi vượt quá 512 bytes đều buộc máy chủ phải bật cờ cắt cụt (TC bit), yêu cầu máy khách thiết lập kết nối TCP có trạng thái để truy vấn lại.

Để đáp ứng các bản ghi mật mã hiện đại như DNSSEC (RFC 4034), IETF đã ban hành Cơ chế Mở rộng cho DNS (EDNS0), được chuẩn hóa trong tài liệu RFC 6891. EDNS0 tích hợp một bản ghi tài nguyên giả OPT bên trong gói truy vấn, cho phép máy khách công bố kích thước bộ đệm lớn hơn (thông thường là 4.096 bytes).

Tin tặc lợi dụng EDNS0 để đẩy hệ số khuếch đại lên mức tối đa:

Kẻ tấn công tạo truy vấn yêu cầu bản ghi ANY hoặc TXT của một tên miền có chữ ký DNSSEC phức tạp (chẳng hạn như các tên miền cơ quan nhà nước, tổ chức lớn hoặc vùng dữ liệu chuyên dụng).
Gói tin truy vấn gửi đi chỉ chiếm từ 45 đến 65 bytes trên đường truyền mạng.
Máy chủ phân giải phản hồi gói tin chứa đầy đủ chuỗi chứng chỉ mật mã, khóa vùng và dữ liệu TXT, đạt dung lượng từ 3.000 đến hơn 4.000 bytes.

$$\text{Hệ số Khuếch đại} = \frac{\text{Kích thước Phản hồi (bytes)}}{\text{Kích thước Truy vấn (bytes)}} = \frac{3200}{45} \approx 71.1$$

Với hệ số khuếch đại vượt quá 70 lần, kẻ tấn công chỉ cần huy động băng thông tải lên khoảng 1 Gbps là đã có thể trút xuống nạn nhân một lưu lượng khổng lồ lên tới 70 Gbps.

Giao thức / Vector Tấn công	Kích thước Truy vấn Gốc	Kích thước Phản hồi Tiêu biểu	Hệ số Khuếch đại
DNS Tiêu chuẩn (Bản ghi A)	45 bytes	85 bytes	~1,9 lần
DNS với EDNS0 + ANY	45–65 bytes	3.000–4.200 bytes	50 – 70 lần
NTP Monlist (CVE-2013-5211)	234 bytes	48.000 bytes	~200 lần
SSDP (Simple Service Discovery)	100 bytes	3.000 bytes	~30 lần

Tiêu chuẩn BCP 38 / RFC 2827: Cơ chế Lọc Gói tin Đầu vào Bắt buộc

Căn nguyên sâu xa của các cuộc tấn công phản xạ không nằm ở bản thân giao thức DNS, mà xuất phát từ việc các nhà cung cấp dịch vụ mạng (ISP) ở thượng tầng không thực hiện xác thực địa chỉ nguồn của gói tin trước khi định tuyến vào mạng chuyển tiếp toàn cầu.

Được IETF công bố vào tháng 5 năm 2000, Bộ quy chuẩn thực hành BCP 38 (BCP 38, ban hành dưới mã RFC 2827) quy định cơ chế Lọc Lưu lượng Đầu vào (Network Ingress Filtering):

"Bộ định tuyến kết nối biên khách hàng với mạng tập hợp BẮT BUỘC phải hủy bỏ các gói tin có địa chỉ IP nguồn không thuộc dải tiền tố mạng được cấp phát cho đường liên kết đó."

Cơ chế Định tuyến Ngược Nghiêm ngặt (Strict uRPF)

Trên các hệ thống Linux và thiết bị định tuyến doanh nghiệp, BCP 38 thường được triển khai thông qua cơ chế Unicast Reverse Path Forwarding (uRPF, RFC 3704). Khi một gói tin đi vào giao diện mạng, nhân hệ điều hành tra cứu Cơ sở Thông tin Chuyển tiếp (FIB) để xác minh xem địa chỉ IP nguồn có trùng khớp với tuyến đường hợp lệ quay trở lại chính cổng vật lý đó hay không.

Theo cơ chế uRPF nghiêm ngặt (Strict Mode):

Nếu địa chỉ nguồn thuộc đúng dải mạng gán cho cổng giao diện, gói tin được phép lưu thông bình thường.
Nếu gói tin mang địa chỉ mà tuyến đường trả về phải đi qua giao diện mạng khác (hoặc dải địa chỉ không thể định tuyến), nhân hệ điều hành lập tức hủy bỏ gói tin ngay tại ranh giới phần cứng hoặc trình điều khiển mạng.

Mặc dù BCP 38 đã ra đời hơn hai thập kỷ, mức độ tuân thủ giữa các nhà mạng biên trên thế giới vẫn chưa đồng đều. Các hệ thống mạng tự trị không áp dụng cơ chế lọc đầu vào cho phép kẻ xấu tiêm vào đường truyền các gói tin giả mạo, trút toàn bộ gánh nặng băng thông lên các máy chủ phân giải và nạn nhân vô tội.

Gia cố Hệ thống Linux: Phòng vệ Máy chủ Phân giải và Cấu hình Nhân

Quản trị viên quản lý hạ tầng máy chủ công cộng hoặc dịch vụ DNS đệ quy cần áp dụng các biện pháp chủ động nhằm ngăn chặn máy chủ của mình bị lợi dụng làm trạm trung chuyển phản xạ.

1. Giới hạn Phân giải Đệ quy Mở trong Unbound và BIND

RFC 5358 khuyến cáo các nhà vận hành chỉ cho phép tính năng đệ quy đối với các dải IP khách hàng đã được xác thực danh tính.

Đối với Unbound (/etc/unbound/unbound.conf), hãy khóa truy cập chỉ cho dải loopback nội bộ và mạng tin cậy:

server:
    # Chỉ lắng nghe trên giao diện mạng an toàn được chỉ định
    interface: 127.0.0.1
    interface: 10.0.0.1

    # Từ chối phục vụ đệ quy đối với toàn bộ internet công cộng
    access-control: 0.0.0.0/0 refuse
    access-control: 127.0.0.0/8 allow
    access-control: 10.0.0.0/24 allow

Đối với BIND 9 (named.conf.options), hãy vô hiệu hóa tính năng đệ quy công cộng và kích hoạt cơ chế giới hạn tần suất phản hồi (RRL):

options {
    recursion yes;
    allow-recursion { 127.0.0.1; 10.0.0.0/24; };
    allow-query { any; };
    
    # Kích hoạt Giới hạn Tần suất Phản hồi (Response Rate Limiting - RRL)
    rate-limit {
        responses-per-second 10;
        window 5;
    };
};

2. Kích hoạt Bộ lọc Đường dẫn Ngược trên Linux

Kích hoạt luật loại bỏ gói tin giả mạo ngay tại nhân hệ điều hành Linux trên tất cả các giao diện mạng qua tập tin /etc/sysctl.d/99-urpf-anti-spoofing.conf:

# Thực thi cơ chế lọc đường dẫn ngược nghiêm ngặt trên toàn bộ giao diện IPv4
net.ipv4.conf.all.rp_filter = 1
net.ipv4.conf.default.rp_filter = 1

# Bỏ qua các yêu cầu ICMP echo broadcast để chống khuếch đại Smurf
net.ipv4.icmp_echo_ignore_broadcasts = 1

# Ghi nhật ký các gói tin mang địa chỉ nguồn bất hợp lệ (martians)
net.ipv4.conf.all.log_martians = 1

Nạp cấu hình ngay lập tức vào ngăn xếp mạng đang hoạt động:

sudo sysctl --system

Giải pháp Chống Giả mạo IP Toàn diện với WireGuard & VPNRice

Mạng riêng ảo đóng vai trò như ranh giới bảo mật quan trọng chống lại tình trạng giả mạo địa chỉ nguồn và các cuộc tấn công phản xạ. Khi được thiết kế chuẩn xác, các hệ thống VPN Lớp 3 hiện đại thực thi cơ chế xác thực nguồn vào ở mức độ toán học.

Bảng Định tuyến Khóa Mật mã (Cryptokey Routing)

Các giao thức đường hầm truyền thống (như GRE thô hoặc các kết nối Điểm-Nối-Điểm không khóa) đóng gói gói tin IP tùy ý mà không kiểm tra xem địa chỉ người gửi bên trong có thực sự thuộc về máy khách truyền khung dữ liệu đó hay không. Một máy ảo bị xâm nhập bên trong mạng VPN lỏng lẻo có thể phát tán các gói tin UDP giả mạo xuyên qua cổng thoát của doanh nghiệp.

WireGuard xóa bỏ hoàn toàn lỗ hổng này nhờ Bảng định tuyến Khóa mật mã (Cryptokey Routing). Trong WireGuard, mỗi điểm kết nối được liên kết cố định với một khóa công khai duy nhất và danh sách các dải IP được phép (AllowedIPs):

+---------------------------------------------------------------+
|                       Trạm Cổng WireGuard                     |
|                                                               |
|  Nút A (Khóa Công khai A) <---> AllowedIPs = 10.8.0.2/32      |
|  Nút B (Khóa Công khai B) <---> AllowedIPs = 10.8.0.3/32      |
+---------------------------------------------------------------+

Khi một gói tin đóng gói đến từ Nút A:

Nhân hệ điều hành giải mã gói dữ liệu được xác thực bằng ChaCha20-Poly1305.
Trình điều khiển WireGuard kiểm tra kỹ lưỡng địa chỉ IP nguồn IPv4/IPv6 bên trong gói tin.
Nếu địa chỉ nguồn bên trong không nằm chính xác trong danh sách AllowedIPs của Nút A (ví dụ: Nút A cố tình chèn địa chỉ nguồn 10.8.0.3 hoặc một địa chỉ IP công cộng bên ngoài), trình điều khiển lập tức loại bỏ gói tin.

Không một gói tin nào mang địa chỉ nguồn giả mạo có thể đi qua giao diện WireGuard. Cryptokey Routing chính là sự hiện thực hóa hoàn hảo của BCP 38 ở tầng mật mã với hiệu năng phần cứng vượt trội.

Bảo vệ Hạ tầng cùng Giao thức RiceGuard

Bên trong mạng lưới VPNRice, an toàn bảo mật được củng cố toàn diện trên cả hai chiều lưu lượng:

Ràng buộc Mật mã Cứng hóa: Mỗi phiên kết nối đường hầm RiceGuard liên kết chặt chẽ danh tính điểm cuối với địa chỉ IP nội bộ được cấp phát, triệt tiêu mọi khả năng phát tán truy vấn phản xạ từ máy khách.
Cụm Máy chủ Phân giải Anycast Nội bộ: VPNRice chuyển tiếp toàn bộ yêu cầu tên miền qua các máy chủ đệ quy nội bộ được cách ly khỏi internet công cộng. Các máy chủ này từ chối phân giải từ bên ngoài, tích hợp cơ chế hạn chế tần suất (RRL) và trao đổi dữ liệu qua kênh mã hóa WireGuard an toàn.
Lọc Sạch Lưu lượng Khối lượng lớn: Tại các cổng chuyển tiếp peering biên, VPNRice áp dụng bộ lọc BGP Flowspec và eBPF tự động để loại bỏ các đợt bùng nổ UDP phản xạ trước khi chúng có thể gây tắc nghẽn giao diện mạng người dùng.

Bằng việc kết hợp nguyên lý lọc gói tin đầu vào của RFC 2827 với cơ chế xác thực mật mã phi trạng thái của WireGuard, hệ thống loại bỏ triệt để nguy cơ giả mạo IP ngay từ gốc rễ, bảo vệ vững chắc hạ tầng internet toàn cầu và quyền riêng tư của người dùng.