搜索

[24694] 2016-02-06_通过修改glibc支持DNS加密

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-18
2016-02-06_通过修改glibc支持DNS加密 通 过 修 改   g l i b c   支 持   D N S   加 密 译 者 ： z p l 1 0 2 5   L i n u x 中 国   2 0 1 6 - 0 2 - 0 6 域 名 解 析 系 统 （ D N S ） 是 互 联 网 安 全 的 许 多 薄 弱 环 节 之 一 ； 可 以 将 应 用 程 序 所 访 问 的 主 机 对 应 的   I P   地 址 误 导 到 其 它 地 方 。 也 就 是 说 ， 会 连 接 到 错 误 的 位 置 ， 从 而 引 发 m a n - i n - t h e - m i d d l e 中 间 人 攻 击 等 等 。 而   D N S S E C [ 1 ]   扩 展 协 议 则 通 过 为   D N S   信 息 建 立 一 条 加 密 的 可 信 通 道 来 解 决 这 个 漏 洞 。 在 正 确 地 配 置 好   D N S S E C   后 ， 应 用 程 序 将 可 以 得 到 可 靠 的 主 机 查 询 信 息 。 通 过 关 于 尝 试 将   D N S S E C   更 好 地 集 成 到   G N U   C   库 里 [ 2 ] 的 讨 论 ， 我 们 知 道 ， 确 保   D N S   查 询 信 息 安 全 这 件 事 并 不 是 那 么 简 单 。 从 某 种 意 义 上 来 说 ， 这 个 问 题 多 年 以 前 就 解 决 了 ， 我 们 可 以 配 置 一 个 本 地 域 名 服 务 实 现 完 整 的   D N S S E C   v e r i f i c a t i o n 校 验 并 允 许 应 用 程 序 通 过   g l i b c   函 数 来 使 用 该 服 务 。 D N S S E C   甚 至 还 可 以 用 于 提 高 其 他 领 域 的 安 全 性 ， 比 如 ， 它 可 以 携 带   S S H   或   T L S   密 钥 指 纹 ， 让 应 用 程 序 可 以 确 认 其 在 与 正 确 的 服 务 器 对 话 。 不 过 ， 当 我 们 希 望 确 认 这 条 自 称 带 有   D N S S E C   校 验 的   D N S   结 果 是 不 是 真 的 已 通 过 认 证 的 时 候   -   也 就 是 说 ， 当 我 们 想 依 赖   D N S S E C   所 承 诺 的 安 全 的 时 候 ， 事 情 变 得 有 点 复 杂 。 / e t c / r e s o l v . c o n f   问 题 问 题 从   g l i b c   的 角 度 来 看 ， 这 个 问 题 一 部 分 是 因 为   g l i b c   本 身 并 没 有 做   D N S S E C   校 验 ， 而 是 引 用   / e t c / r e s o l v . c o n f   文 件 ， 从 该 文 件 里 读 出 的 服 务 器 来 做 解 析 以 及 校 验 ， 再 将 结 果 返 回 给 应 用 程 序 。 如 果 应 用 程 序 使 用 底 层   r e s _ q u e r y ( )   接 口 ， 那 结 果 中 将 会 包 含 “ a u t h e n t i c a t e d   d a t a 已 认 证 数 据 ” （ A D ） 标 识 （ 如 果 域 名 服 务 器 设 定 了 的 话 ） 以 表 示   D N S S E C   校 验 已 经 成 功 。 但 是   g l i b c   却 完 全 不 知 道 提 供 这 些 结 果 的 域 名 服 务 器 的 信 用 ， 所 以 它 其 实 并 不 能 告 诉 应 用 程 序 结 果 是 否 真 的 可 靠 。 由   g l i b c   的 维 护 者   C a r l o s   O ' D o n e l l   提 出 的 建 议 是 在   r e s o l v . c o n f   文 件 里 增 加 一 个 选 项 （ d n s - s t r i p - d n s s e c - a d - b i t ） 告 诉   g l i b c   无 条 件 移 除   A D   标 识 。 这 个 选 项 可 以 由 各 发 行 版 设 定 ， 表 示   D N S S E C   级 别 的   D N S   查 询 结 果 并 不 可 靠 。 而 一 旦 建 立 好 合 适 的 环 境 可 以 获 得 可 靠 的 查 询 结 果 后 ， 再 移 除 这 个 选 项 。 这 样 一 来 ， 虽 然 问 题 还 没 有 完 全 解 决 ， 至 少 应 用 程 序 有 依 据 来 评 价 从   g l i b c   获 取 的   D N S   查 询 结 果 的 可 靠 性 。 一 个 可 靠 的 环 境 配 置 应 该 是 什 么 样 ？ 标 准 情 况 应 该 和 这 个 差 不 太 多 ： 有 一 个 本 地 域 名 服 务 器 ， 通 过 l o o p b a c k 环 路 接 口 访 问 ， 作 为 访 问 / e t c / r e s o l v . c o n f   文 件 的 唯 一 条 目 。 这 个 域 名 服 务 器 应 该 配 置 来 做 校 验 ， 而 在 校 验 失 败 后 就 只 是 简 单 地 不 返 回 任 何 结 果 。 绝 大 多 数 情 况 下 ， 应 用 程 序 就 不 再 需 要 关 心   A D   标 识 ， 如 果 结 果 不 可 靠 ， 应 用 程 序 就 根 本 看 不 到 。 一 些 发 行 版 已 经 倾 向 于 这 种 模 型 ， 不 过 情 况 仍 然 不 像 一 些 人 所 设 想 的 那 么 简 单 。
其 中 一 个 问 题 是 ， 这 种 方 式 将   / e t c / r e s o l v . c o n f   文 件 放 到 整 个 系 统 可 信 任 度 的 中 心 。 但 是 ， 在 一 个 典 型 的   L i n u x   系 统 里 ， 有 无 数 的   D H C P   客 户 端 、 网 络 脚 本 以 及 其 他 更 多 的 程 序 可 以 修 改 这 个 文 件 。 就 像   P a u l   W o u t e r s   所 指 出 [ 3 ] 的 ， 在 短 时 间 内 锁 定 这 个 文 件 是 不 可 能 的 。 有 时 候 这 种 修 改 是 必 须 的 ： 在 一 个 无 盘 系 统 启 动 的 时 候 ， 在 自 身 的 域 名 服 务 器 启 动 之 前 也 是 需 要 域 名 服 务 的 ； 一 个 系 统 的 整 个   D N S   环 境 也 会 根 据 所 连 接 的 网 络 不 同 而 有 所 改 变 ； 运 行 在 容 器 里 的 系 统 也 最 好 是 配 置 成 使 用 宿 主 机 的 域 名 服 务 器 ； 等 等 。 所 以 ， 现 在 一 般 认 为 ， 现 有 系 统 里 的   / e t c / r e s o l v . c o n f   文 件 并 不 可 信 。 于 是 有 人 提 出 增 加 另 一 个 配 置 文 件 （ / e t c / s e c u r e - r e s o l v . c o n f   或 其 他 什 么 ） ， 但 这 并 没 有 从 根 本 上 解 决 问 题 。 除 此 之 外 ， 有 些 参 与 者 觉 得 就 算 有 一 个 运 行 在 环 路 接 口 上 的 域 名 服 务 器 也 不 是 真 正 可 靠 ， 比 如   Z a c k W e i n b e r g   甚 至 建 议 [ 4 ] 系 统 管 理 员 可 以 有 意 禁 用   D N S S E C   v a l i d a t i o n 确 认 。 既 然 当 前 系 统 里 的 配 置 不 足 以 信 任 ， 那 可 以 这 样 推 断 ， 在 情 况 有 改 善 能 够 取 得 可 信 的 结 果 后 ， g l i b c   需 要 有 一 种 方 式 来 通 知 应 用 程 序 。 可 以 是 上 面 讨 论 的 屏 蔽   A D   标 识 的 方 式 （ 或 者 与 之 相 反 ， 增 加 一 个 显 示 的 “ 此 域 名 服 务 器 可 以 信 任 ” 选 项 ） ； 当 然 ， 这 都 需 要 一 定 程 度 上 锁 定 系 统 以 免   / e t c / r e s o l v . c o n f   受 到 任 何 不 可 预 计 的 修 改 。 按   P e t r   S p a c e k   的 建 议 [ 5 ] ， 还 有 一 种 引 申 方 式 ， 就 是 提 供 一 种 途 径 允 许 应 用 程 序 查 询   g l i b c   当 前 通 讯 的 是 不 是 本 地 域 名 服 务 器 。 在 在   g l i b c   里 来 处 理 ？ 里 来 处 理 ？ 另 一 种 方 式 是 不 管 域 名 服 务 器 ， 而 是 让   g l i b c   本 身 来 做   D N S S E C   确 认 。 不 过 ， 把 这 么 大 一 坨 加 密 相 关 代 码 放 进   g l i b c   也 是 有 很 大 阻 力 。 这 样 将 增 加 库 本 身 的 大 小 ， 从 而 感 觉 会 增 加 使 用 它 的 应 用 程 序 的 受 攻 击 可 能 性 。 这 个 方 向 再 引 申 一 下 ， 由   Z a c k   提 出 的 建 议 [ 6 ] ， 可 以 把 确 认 相 关 代 码 放 到 域 名 服 务 缓 冲 守 护 进 程 （ n s c d ） 里 。 因 为   n s c d   也 是   g l i b c   的 一 部 分 ， 由   g l i b c   开 发 人 员 维 护 ， 因 此 在 一 定 程 度 上 可 以 相 信 能 正 确 执 行   D N S S E C   确 认 。 而 且   n s c d   的 通 讯   s o c k e t   所 在 位 置 也 是 公 开 的 ， 所 以 可 以 不 考 虑   / e t c / r e s o l v . c o n f   问 题 。 不 过 ， C a r l o s   担 心 [ 7 ] 这 种 方 式 不 能 让 那 些 不 想 使 用   n s c d   缓 存 功 能 的 用 户 所 接 受 ； 在 他 看 来 ， 基 本 可 以 排 除   n s c d   的 方 式 。 所 以 ， 至 少 近 期 内 ， g l i b c   不 太 可 能 全 部 执 行   D N S S E C   确 认 了 的 整 个 查 询 过 程 。 这 意 味 着 ， 如 果 一 个 有 安 全 考 虑 的 应 用 要 使 用   g l i b c   库 来 查 询 域 名 ， 该 库 将 需 要 提 供 一 个 标 识 来 评 价 从 独 立 域 名 服 务 器 返 回 的 结 果 有 多 大 程 度 的 可 靠 性 。 这 几 乎 肯 定 需 要 发 行 版 或 系 统 管 理 员 做 出 一 些 明 确 的 改 动 。 就 像   S i m o   S o r c e   说 的 [ 8 ] 那 样 ： 如 果   g l i b c   不 使 用 明 确 的 配 置 选 项 来 通 知 应 用 程 序 它 所 用 的 域 名 解 析 是 可 信 的 ， 不 会 有 什 么 用 … … 不 改 一 下 还 有 很 大 弊 端 ， 因 为 应 用 程 序 开 发 者 将 马 上 认 识 到 他 们 不 能 信 任 从   g l i b c   获 取 的 任 何 信 息 ， 从 而 在 处 理   D N S S E C   相 关 信 息 时 就 简 单 地 不 用 它 。 要 配 置 一 个 系 统 能 正 常 使 用   D N S S E C   需 要 改 动 该 系 统 的 很 多 组 件   -   这 是 一 个 发 行 版 范 围 的 问 题 ， 需 要 时 间 来 完 全 解 决 。 在 这 个 转 变 过 程 中 g l i b c   所 扮 演 的 角 色 很 可 能 会 比 较 小 ， 但 是 很 重 要 的 一 部 分 ： 如 果 应 用 程 序 不 实 现 一 套 自 己 的 域 名 解 析 代 码 ， g l i b c   很 可 能 是 保 证   D N S   结 果 可 信 的 唯 一 方 式 。 在 一 个 系 统 中 运 行 多 个   D N S S E C   实 现 方 式 看 起 来 不 像 是 一 种 安 全 的 方 式 ， 所 以 最 好 还 是 把 事 情 做 对 了 。 g l i b c   项 目 目 前 并 没 有 确 定 用 哪 种 方 式 来 做 这 个 事 情 ， 虽 然 从   / e t c / r e s o l v . c o n f   文 件 里 的 某 些 标 记 看 上 去 快 好 了 。 这 种 改 动 应 该 需 要 发 布 新 版 本 ； 考 虑 到   g l i b c   开 发 的 保 守 天 性 ， 很 可 能 来 不 及 加 入 预 计 二 月 份 发 布 的   2 . 2 3   版 本 了 。 所 以   g l i b c   中 暂 时 还 不 会 有 更 高 安 全 性 的   D N S S E C   ， 不 过 在 这 个 方 向 上 也 有 一 些 进 展 了 。 v i a :   h t t p s : / / l w n . n e t / A r t i c l e s / 6 6 4 7 7 6 / 作 者 ： J o n a t h a n   C o r b e t   译 者 ： z p l 1 0 2 5 [ 9 ]   校 对 ： w x y [ 1 0 ] 本 文 由   L C T T [ 1 1 ]   原 创 编 译 ， L i n u x 中 国   荣 誉 推 出 [ 1 ] :   h t t p s : / / e n . w i k i p e d i a . o r g / w i k i / D o m a i n _ N a m e _ S y s t e m _ S e c u r i t y _ E x t e n s i o n s [ 2 ] :   h t t p : / / l w n . n e t / A r t i c l e s / 6 6 4 7 9 0 /
[ 3 ] :   h t t p : / / l w n . n e t / A r t i c l e s / 6 6 4 7 9 4 / [ 4 ] :   h t t p : / / l w n . n e t / A r t i c l e s / 6 6 4 7 8 2 / [ 5 ] :   h t t p : / / l w n . n e t / A r t i c l e s / 6 6 4 7 8 4 / [ 6 ] :   h t t p : / / l w n . n e t / A r t i c l e s / 6 6 4 7 9 6 / [ 7 ] :   h t t p : / / l w n . n e t / A r t i c l e s / 6 6 4 7 8 6 / [ 8 ] :   h t t p : / / l w n . n e t / A r t i c l e s / 6 6 4 7 8 7 / [ 9 ] :   h t t p s : / / g i t h u b . c o m / z p l 1 0 2 5 [ 1 0 ] :   h t t p s : / / g i t h u b . c o m / w x y [ 1 1 ] :   h t t p s : / / g i t h u b . c o m / L C T T / T r a n s l a t e P r o j e c t 推 荐 文 章 推 荐 文 章 I D 点 击 标 题 或 输 入 文 章   I D   直 达 该 文 章 2 4 第 一 个   C   语 言 编 译 器 是 怎 样 编 写 的 ？ 2 8 4 为 什 么 人 人 都 该 懂 点 L L V M 9 4 4 历 史 上 1 2 位 伟 大 的 程 序 员 1 6 1 1 什 么 是 U n i x 以 及 它 为 什 么 这 么 重 要 ？ 将 文 章 分 享 给 朋 友 是 对 我 们 最 好 的 赞 赏 ！ 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理