RPZ वितरण के लिए DoT

अभी कुछ महीने पहले बहुत चर्चा हुई क्योंकि समय सीमा (लगभग एक वर्ष) में IETF ने HTTPS (DoH) पर DNS को मानक ( RFC-8484 ) के रूप में स्वीकार कर लिया। इसके बारे में चर्चा अभी भी इसके विवाद के कारण चल रही है। मेरी निजी राय है कि DoH व्यक्तिगत गोपनीयता के लिए अच्छा है (यदि आप जानते हैं कि इसका उपयोग कैसे करना है और अपने DNS प्रदाता पर भरोसा करना है), लेकिन यह उद्यमों के लिए एक सुरक्षा जोखिम है। टीएलएस ( डीओटी ) पर डीएनएस केवल उद्यम ग्राहकों के लिए एक बेहतर विकल्प है क्योंकि यह एक अच्छी तरह से परिभाषित टीसीपी पोर्ट का उपयोग करता है लेकिन व्यक्तिगत गोपनीयता के लिए यह एक ही कारण (ब्लॉक करने में आसान) के कारण अच्छा नहीं है।



मतभेदों के बावजूद DoH और DoT मूल रूप से एक ही मुद्दे को हल करते हैं - DNS संचार को सुरक्षित करना। अतः दुर्भावनापूर्ण अभिनेता अनएन्क्रिप्टेड DNS ट्रैफ़िक पर एप्रोच नहीं कर सकता है और इसका उपयोग कमजोर लिंक की पहचान करने और हमले के लिए कर सकता है। इस पर बहुत चर्चा की गई लेकिन ऐसा लगता है कि एक विषय को पूरी तरह से भुला दिया गया है या व्यापक रूप से कवर नहीं किया गया है - रिस्पांस पॉलिसी ज़ोन (RPZ) हस्तांतरण।

RPZ / DNS फ़ायरवॉल एक सुरक्षा सुविधा है जो कई DNS सर्वरों द्वारा समर्थित है: ISC Bind, PowerDNS, KnotDNS और उन पर आधारित उत्पाद। RPZ को निष्पादन पर न्यूनतम प्रभाव के साथ लागू करना, समर्थन करना और बहुत मापनीय बनाना आसान है, ताकि एक DNS सर्वर को अतिरिक्त परत के रूप में संगठन सुरक्षा में शामिल किया जा सके। प्रतिक्रिया नीति क्षेत्र को स्थानीय रूप से 3 पार्टी प्रदाताओं जैसे इन्फोब्लोक्स, एसयूआरबीएल, फ़ार्साइट आदि से बनाए रखा या डाउनलोड किया जा सकता है। आरपीजेड फीड वितरित करने के लिए मानक DNS ज़ोन स्थानांतरण प्रोटोकॉल का उपयोग किया जाता है। आमतौर पर DNS ज़ोन को टीसीपी के माध्यम से प्रेषित किया जाता है और टीएसआईजी कुंजी द्वारा हस्ताक्षरित किया जाता है ताकि सामग्री को आसानी से बदला न जा सके लेकिन यह अनएन्क्रिप्टेड है और इससे संभावित रूप से खराब समस्याएं हो सकती हैं। यदि कोई दुर्भावनापूर्ण अभिनेता इस ट्रैफ़िक को बाधित करता है तो अवरुद्ध संकेतक (डोमेन, आईपी) उजागर हो जाते हैं और DNS सुरक्षा परत को बायपास करना संभव है। DNS RPS (रिस्पांस पॉलिसी सर्विस) एक नया ISC Bind फीचर है, जो संभवत: इस समस्या का समाधान करेगा, लेकिन अभी यह अन्य DNS सर्वरों द्वारा खराब दस्तावेज और समर्थित नहीं है।

DoT और DoH RFCs अनुरोधों के प्रकारों को सीमित नहीं करते हैं और प्रतिक्रियाओं को एक एन्क्रिप्टेड चैनल पर स्थानांतरित किया जा सकता है, इसलिए RPZ फीड सहित DNS ज़ोन स्थानांतरण के लिए इन मानकों का लाभ उठाना संभव है।

इस ब्लॉगपोस्ट के साथ, मुझे यह घोषणा करते हुए खुशी हो रही है कि ioc2rpz मूल रूप से (कोई प्रॉक्सी या अतिरिक्त सॉफ़्टवेयर की आवश्यकता नहीं है) DoT का समर्थन करता है, ताकि RPZ फीड्स को असुरक्षित चैनलों / इंटरनेट पर सुरक्षित रूप से वितरित किया जा सके। यह पहली रिलीज़ है (DoT के साथ) इसलिए कुछ सीमाएँ हैं: प्रति सत्र एकल अनुरोध और TLS 1.2 केवल समर्थित हैं, DNS Notify और TLS पिन समर्थित नहीं हैं।

ioc2rpz.gui (एक वेब इंटरफ़ेस) अभी DoT कॉन्फ़िगरेशन का समर्थन नहीं करता है (यह रोड मैप में है) लेकिन कॉन्फ़िगरेशन वास्तव में सरल है। एक सर्वर एक कॉन्फ़िगरेशन की जाँच करता है और TLS श्रोताओं को शुरू करता है यदि कॉन्फ़िगरेशन में एक प्रमाण पत्र (और एक निजी कुंजी) होता है।

अद्यतन:
आप iZ2rpz.net पर RPZ / DNS फ़ायरवॉल फ़ीड्स का परीक्षण कर सकते हैं। सेवा ioc2rpz द्वारा संचालित है।