Stabil DNS-drift også i fremtiden?

Det forventes at leseren har kjennskap til hvordan DNS virker, kjennskap til at det finnes et sett med ROOT-servere som inneholder informasjon om delegering av alle toppdomener og hva som skiller mellom de ulike typene DNS-oppføringer slik som A- og MX oppføringer.

Artiklene vil ikke gi detaljert informasjon om hvordan man konfigurerer Bind eller andre DNS-tjenester, men en overordnet synsing om farer og muligheter.

Historien bak “Domain Name System”
På 1960 tallet begynte U.S. Department of Defense sitt Advanced Research Projects Agency (ARPA) å etabler ett langdistanse-nettverk. Navnet på nettverket var ARPAnet. ARPAnet benyttet seg av navneoppslag via HOSTS.TXT som ble kopiert til hver enkelt klient og inneholdt informasjon om navn og adresser på alle maskiner tilkoblet ARPAnet. Siden det i starten bare var snakk om en håndfull maskiner var dette et velfungerende system.

Når ARPAnet tok i bruk TCP/IP, og ble kjent som internett, eksploderte også bruken av nettverket. Det oppsto med dette en rekke problemer med HOSTS.TXT-systemet i den form det da hadde.

Jobben med å finne en erstatter til HOSTS.TXT-systemet presset seg frem som en nødvendighet ettersom bruken av nettverket økte. Blant kravene til det nye systemet var muligheten for å delegere administrasjon av det vi i dag kjenner som soner.

I 1984 ble standarden og implementasjonen av Domain Name System (DNS) fullført - dette er samme standarden som vi benytter i dag for domenenavn.

Hva er risikoen?
Før man begynner å tenke seg hvordan man ønsker å ha det må man vite hva farene er. Fra et teknisk ståsted er det en rekke løsninger slik som sekundære DNS-er for å forhindre ”single point of failure”, og DNSSEC for å forsikre seg om at man mottar korrekt informasjon. Dersom man i et lite øyeblikk løfter nesetippen over dataskjermen og ser på de store linjene kan perspektivet bli et helt annet.

I dagens samfunn har vi 3 store verdensomspennende transportveier: Vi har lufta, vannet og telekommunikasjon, da fortrinnsvis internett. Luft og vann er håndfast og enkelt å skjønne at ingen kan eie helt uten videre. Ingen kan stjele vannet fra oss og det finnes ikke den terrorist som kan forhindre at vi kan bruke luften til å fly i - men hva med internett?

Det finnes i dag 13 serveroperatører for ROOT-navn. Av disse er det faktisk bare 3 som ikke er fra USA. Disse serveroperatørerene er blitt tildelt oppdraget av ICANN, og det er ICANN som er ansvarlige for å tilse at driften foregår i henhold til deres retningslinjer. ICANN i sin tur er direkte underlagt US Department of Commerce - så i praksis eier USA internett. Dette var vel neppe en overraskelse for mange, men det som er interessant er å se på teorier for at DNS ROOT-systemet skal falle sammen. I praksis ville da hele grunnlaget for et brukervennlig internett også stå for fall.

Selve basen for internett slik vi kjenner det er bygget opp meget robust via BGP-protokollen for IP-trafikk: Alle kjenner sine naboer og fra naboene kan man hente informasjon om naboens nabo, og så videre. Det finnes organer for teknisk administrasjon av IP-adresser og AS-nummer, men dersom dette organet skulle bryte sammen vil ingen leverandører eller enkeltpersoner uten videre kunne stjele eller flytte IP-adresser så sant ikke naboene og naboens naboer (og så videre) aksepterer dette. For den tekniske delen av våre lesere vil internett faktisk kunne fungere uten DNS, men for vanlige lesere vil internett være ubrukelig uten DNS. DNS er altså internetts akilleshæl.

Terrorisme
Vi kan se for oss at internett er et yndet mål for terrorister, i skrevet stund er det 97 fysiske ROOT-navneservere rundt om kring i verden. En rekke av disse er plassert ut basert på såkalt ”anycast”-teknologi. I korte trekk betyr det at en ROOT-navneserver med en IP-adresse har en rekke fysiske plasseringer og man vil hele tiden bli routet til den som er nærmest basert på BGP-prioritering.

http://www.root-servers.org/ finner du en full oversikt over alle fysiske servere. Man kan raskt se at et fysisk terrorangrep egner seg bedre for et filmmanus, og at det i realiteten ikke er lett ågjennomføre. Derimot hevder mange at det er på linjer, bits og bytes krigen om Internett skal stå og falle - eller såkalte DDOS-angrep. Selv hadde jeg gleden av å være på et seminar med Lars-Johan Liman fra svenske Autonomica AB. De har har den operative driften av I ROOT-serveren. Temaet var ”anycasting” og hvordan Autonomica planla sin utbygging av I ROOT serveren. Dette med tanke på å gjøre den mest mulig robust for et stort DDOS-angrep, som antageligvis vil komme.

I Europa har vi enkelte knutepunkt for internett-trafikk - dette er først og fremst London og Amsterdam. Ut fra et belastningsmessig perspektiv virker det unødvendig at både Autonomica/NORDUnet og RIPE har plassert ROOT-servere på samme fysiske sted. Grunnen til at disse strategiske punktene er valgt er midlertid rett og slett for å kunne ta unna DDOS-angrep. Vi kan se for oss et angrep fra Asia eller Latin-Amerika. I de fleste tilfeller vil korteste vei til Europa enten være via London eller Amsterdam.

Ja, ja - jeg vet også at DDOS-angrep ikke primært skjer via moderlandet, men via en rekke servere som er hacket og som angrep kjøres fra. Disse kan godt være fysisk plassert i Europa, men jobben blir fort mye vanskeligere dersom man skal klare å hacke et hundretalls servere (et minimum for et effektivt DDOS angrep) som benytter seg av ROOT serveren, for eksempel. i Reykjavik, som prioritert server. Siden disse ROOT-serverne opereres via BGP anycast vil det ikke være mulig å overstyre routing så sant hackere ikke har fått kontroll over alle routerene på vei fra serveren de har hacket til selve ROOT-serveren. Noe som bare teoretisk sett er mulig.

Anslag som er gjort viser at dersom mellom 70 og 80 % av alle ROOT-serverne blir utilgjengelig vil DNS-systemet bryte sammen. De fleste DNS-servere som vanlige brukere gjør oppslag mot mellomlagrer DNS-informasjon i minimum 1 time. Og den primære informasjonen som blir hentet fra ROOT-serverne er delegeringer av gTLD og ccTLD. Så fort man har peker til disse mellomlagrene vil alle fremtidige forespørsler til samme TLD bli videresendt til korrekt DNS-servere uten å forespørre ROOT-serverne om delegering.

Konklusjonen er at et terrorangrep mot DNS-systemet kan føre til, dersom det er 100% vellykket, kortvarig ustabilitet i tilgjengeligheten på enkelte TLD'er. Sannsynligheten for at dette vil lamme internett som sådan er likevel tilnærmet lik null.

Kommentarer (3)

Norges beste mobilabonnement

Desember 2016

Kåret av Tek-redaksjonen

Jeg bruker lite data:

ICE Mobil 1GB


Jeg bruker middels mye data:

Hello 5GB


Jeg bruker mye data:

Hello 10 GB


Jeg er superbruker:

Telia Smart Total


Finn billigste abonnement i vår mobilkalkulator

Forsiden akkurat nå

Til toppen