[grnog] The new DNS (DoT/DoH)

[Antonios Chariton (daknob)]

Υπάρχουν και δίκτυα που κάνουν destination NAT το port 53 στον δικό τους DNS (ή route τα 8.8.8.8 / 1.1.1.1 locally), το οποίο σε καμία περίπτωση δεν είναι και τόσο καλό.. Και αυτό γίνεται γιατί οι εφαρμογές χρησιμοποιούν τους custom resolvers.

Μπορώ να πω πως ως Security person, το Passive DNS Query Monitoring είναι ίσως το 80% της ανίχνευσης επιθέσεων, μολυσμένων hosts, κτλπ. αυτές τις μέρες (για μη-δισεκατομμυριούχες εταιρείες) και μπορεί να βοηθήσει πάρα μα πάρα πολύ, αλλά από την άλλη καταλαβαίνω και αναγνωρίζω το πόσο σημαντική και ευαίσθητη είναι αυτή η πληροφορία για τον οποιονδήποτε, καθώς πραγματικά λέει τα πάντα. Και άντε, μπορεί να εμπιστεύεσαι τον ISP σου, τι γίνεται όμως με τον διπλανό στην καφετέρια; Τον ιδιοκτήτη του μαγαζιού; Τον …; Δεν έχεις επιλογή στο κλασικό DNS. Είναι all or nothing. Είτε τους εμπιστεύεσαι όλους, είτε κανέναν. Ενώ αν κάνεις deploy DoT / DoH, και ο client το χρησιμοποιεί, πάλι μπορείς να δεις εσύ όλα τα queries (ΜΕ ΠΑΡΑ ΠΟΛΛΗ ΠΡΟΣΟΧΗ ΠΑΝΤΑ), χωρίς τον ενδιάμεσο.

Άρα θα έλεγα πως σαν τεχνολογία δεν είναι κακό, καλό είναι, απλά εξαρτάται πως θα χρησιμοποιηθεί. Θα δουλέψει πάλι με το μοντέλο το παραδοσιακό του ISP DNS Resolver, ή θα βρουν την ευκαιρία 2-3 εταιρείες να πουν στο όνομα της ασφάλειας και της ιδιωτικότητας πως το παλιό μοντέλο δεν δουλεύει, και άρα θα πρέπει να πάμε στο κεντρικοποιημένο μοντέλο όπου DNS δίνουν μόνο 3 εταιρείες, και τέλος; Σαν εργαλεία αυτά τα δύο δεν προτιμούν το ένα αντί του άλλου. Είναι ουδέτερα. Απλά επειδή ακριβώς οι operators δεν κάνουν deploy αυτήν την τεχνολογία, το θεωρούν κάποιοι μια καλή δικαιολογία για να τους παρακάμψουν. The way I see it, εξαρτάται από τους GRNO και τους *NO τι θα γίνει.. Ήδη π.χ. Το Android χρησιμοποιεί τον ISP resolver αν υποστηρίζει αυτά τα πρωτόκολλα, και αλλάζει στο 8.8.8.8 μόνο αν δεν υποστηρίζονται.. Υπάρχει ακόμα κάποια ελπίδα.. :P

Αντώνης

> On 18 Sep 2019, at 10:51, Polyrakis Andreas <apolyrakis at lamdahellix.com> wrote:
> 
> Με τις #$@#%% που έχουν εφαρμόσει οι κυβερνήσεις διαφόρων χωρών πάνω στο
> DNS (βλέπε περιορισμός παιγνίων, περιορισμός torrent κλπ στην Ευρώπη,
> ακόμα αυστηρότερα σε Middle east και αλλού), οι εφαρμογές έχουν αρχίσει
> να κάνουν δικό τους DNS resolving σε δικούς τους servers, παρακάμπτοντας
> τον ISP/enterprise, προκειμένου να παρακάμψουν τη λογοκρισία και το
> poisoning.
> 
> Καλή μας τύχη με το debugging, goodbye σε ένα καλό εργαλείο για να
> καταλαβαίνουμε τι κάνουν οι χρήστες στα δίκτυά μας...
> 
> Είναι όντως καλό θέμα για παρουσίασή και συζήτηση (ισως κάποιο panel;)
> 
> [Αντώνη, συγνώμη, δεν έχω απάντηση στις ερωτήσεις που θέτεις]
> 
> 
> 
> On 18/09/2019 10:38 π.μ., Antonios Chariton (daknob) wrote:
> > Καλημέρα σας,
> > Στέλνω εδώ αυτήν την ενδιαφέρουσα παρουσίαση:
> > https://www.youtube.com/watch?v=pjin3nv8jAo από το NLNOG, πάνω στο
> > “νέο” DNS, και πιο συγκεκριμένα το DNS over TLS (DoT), και DNS over
> > HTTPS (DoH). Πιστεύω θα ήταν ενδιαφέρον να δούμε κατά πόσο οι
> > resolvers των ελληνικών παρόχων είναι έτοιμοι και το υποστηρίζουν.
> > Τους επόμενους μήνες (και ήδη γίνεται από κάποιους), οι συσκευές
> > (Firefox, Chrome, Android, …) θα ελέγχουν για υποστήριξη DoT στον DHCP
> > / ISP resolver, και εφ’ όσων δεν υπάρχει, θα χρησιμοποιούν
> > αποκλειστικά τους 1.1.1.1 / 8.8.8.8. Ίσως θα ήταν μια καλή στιγμή, να
> > αρχίσει να σχεδιάζεται κάποιο roll out, για να μην στέλνονται όλα τα
> > DNS queries σε εταιρίες στις ΗΠΑ.. :-)
> >
> > Προσωπικά κατάφερα να μετατρέψω σχετικά εύκολα τους δικούς μου
> > resolvers σε DoT, βάζοντας μπροστά το DNSDist, απλά δεν μπόρεσα να
> > εκδόσω TLS Certificate για αυτούς, καθώς για να εκδοθεί για IP Address
> > πρέπει να είναι Organization Validation (OV), το οποίο μπορεί να
> > εκδοθεί μόνο σε στοιχεία οργανισμού, και όχι φυσικού προσώπου. Οπότε
> > χρησιμοποιώ ένα με domain name, το οποίο προς το παρόν φαίνεται να
> > δέχονται οι συσκευές.
> > Για το DoH δεν έχω ασχοληθεί ακόμη, αλλά θα είναι φαντάζομαι επίσης
> > κάτι αντίστοιχο. Όσον αφορά τα TLS Session IDs που μειώνουν το
> > latency, λόγω χαμηλού latency στο δίκτυο δεν παρατήρησα διαφορά, είτε
> > με αυτά ενεργά, είτε με αυτά ανενεργά, αλλά φαντάζομαι σε έναν ISP που
> > μπορεί να έχει 10-20 ms από κάποιες συνδέσεις με τους DNS του θα είναι
> > ίσως απαραίτητα.
> >
> > Υπάρχει κάποιος DNS resolver αυτήν την στιγμή που να υποστηρίζει ήδη
> > τα παραπάνω πρωτόκολλα; Θα ήταν ενδιαφέρον να δούμε ίσως το πως
> > υλοποιήθηκε εκεί, είτε σε αυτό το thread, είτε ως παρουσίαση στο
> > επόμενο GRNOG :-)
> >
> > Αντώνης
-------------- next part --------------
An HTML attachment was scrubbed...
URL: <http://nogalliance.org/pipermail/grnog-members/attachments/20190918/52ce2c25/attachment.html>