Tấn công giả mạo thông tin trong DNS là mối đe dọa lớn cho tính toàn vẹn của dữ liệu trên Internet. DNS Spoofing, DNS Cache Poisoning và ManintheMiddle là những kỹ thuật phổ biến. Để đối phó, triển khai DNSSEC là giải pháp hiệu quả. DNSSEC sử dụng chữ ký số để xác minh tính xác thực của dữ liệu DNS, ngăn chặn thông tin giả mạo và cung cấp một lớp bảo mật mạnh mẽ. Các thành phần như Digital Signatures, DNSKEY và RRSIG Resource Records đóng vai trò quan trọng. Quá trình kiểm thử DNSSEC trước khi trả lại dữ liệu giúp bảo vệ hệ thống khỏi các tình huống đe dọa và tăng cường sự tin cậy của dịch vụ DNS.
BỘ CÔNG THƯƠNG TRƯỜNG ĐẠI HỌC KINH TẾ KỸ THUẬT CÔNG NGHIỆP KHOA CÔNG NGHỆ THÔNG TIN BÁO CÁO THỰC TẬP AN TỒN THƠNG TIN TÌM HIỂU CÁC KỸ THUẬT TẤN CÔNG GIẢ MẠO THÔNG TIN TRONG DỊCH VỤ DNS VÀ TRIỂN KHAI DNSSEC ĐỂ PHÒNG CHỐNG Giảng viên hướng dẫn Nhóm sinh viên thực : : Ngành Lớp : : NGUYỄN HOÀNG CHIẾN ĐOÀN MINH THẮNG LÊ VĂN TUẤN LÊ THỊ QUỲNH ĐÀM THỊ KIỀU TRANG CÔNG NGHỆ THÔNG TIN DHTI14A2CL HÀ NỘI – 2023 MỤC LỤC DANH MỤC ẢNH CHƯƠNG I: TỔNG QUAN VỀ GIAO THỨC DNS .6 GIỚI THIỆU GIAO THỨC DNS .6 1.1 DNS gì? 1.2 Cấu trúc hệ thống tên miền CÁC LOẠI DNS SEVER VÀ VAI TRỊ CỦA NĨ 2.1 Root Name Servers gì? 2.2 Local Name Servers gì? CÁC LOẠI TRUY VẤN DNS 3.1 Truy vấn đệ quy (recursive query) 3.2 Truy vấn lặp lặp lại (iterative query) .9 3.3 Truy vấn Non-recursive query 10 CÁC LOẠI BẢN GHI DNS 10 CÁC BƯỚC TRONG TRA CỨU DNS 11 CHƯƠNG II: CÁC KỸ THUẬT TẤN CÔNG GIẢ MẠO THÔNG TIN TRONG DỊCH VỤ DNS 12 LỖ HỔNG BẢO MẬT DNS 12 MỤC TIÊU TẤN CÔNG DNS 12 DNS SPOOFING 12 3.1 Phương thức công DNS Spoofing .12 3.2 Demo công DNS Spoofing 14 3.3 Các biện pháp ngăn ngừa công DNS Spoofing 24 DNS CACHE POISONING 24 4.1 Phương thức công Cache Poisoning 24 4.2 Tấn công khuếch đại liệu DNS (Amplification attack) .26 4.3 Giả mạo máy chủ DNS (Man in the middle) 26 4.4 Demo công DNS Cache Poisoning 28 4.5 Các biện pháp ngăn ngừa công DNS Cache Poisoning 34 CHƯƠNG III: TỔNG QUAN VÀ DEMO DNSSEC 35 1.TỔNG QUAN VỀ DNSSEC 35 1.1 DNSSEC gì? 35 1.2 Giới thiệu DNSSEC .35 1.3 Mơ hình triển khai DNSSEC 38 1.4 Các ghi tài nguyên DNSSEC .39 1.5 Các phần mở rộng DNSSEC 45 DEMO DNSSEC TRÊN WINDOW SERVER 2016 .72 CHƯƠNG IV: KẾT LUẬN 84 TÀI LIỆU THAM KHẢO 85 DANH MỤC Ả Hình 1: Các nhánh gốc máy chủ hay gọi Root name server Hình 2: Hệ thống máy chủ DNS riêng đơn vị .8 Hình 3: Truy vấn đệ quy Hình 4: Mơ hình cơng DNS Spoofing 13 Hình 5: Địa IP Attacker 14 Hình 6: Địa IP Victim 15 Hình 7: Kiểm tra dãy mạng Victim 15 Hình 8: Xem File Index mặc định Kali Linux 16 Hình 9: Index.html mặc định 17 Hình 10: Hiển thị Index.html mặc định Web 17 Hình 11: Cấu hình Index.html để hiển thị máy Victim 18 Hình 12: Bật Apache2 Kali Linux 19 Hình 13: Cấu hình etter.dns 20 Hình 14: Trang chủ Ettercap 20 Hình 15: Các Host mục tiêu 21 Hình 16: Thêm Host vào Target 21 Hình 17: Tiến hành công ARP Poisoning 22 Hình 18: Sử dụng Plugin để phản hồi dns_spoof 22 Hình 19: Hiển thị trang Web sau bị hack 23 Hình 20: Kiểm tra google.com máy Victim trỏ máy Attacker 23 Hình 21: DNS Cache Poisoning .24 Hình 22: Sơ đồ cơng DNS cache poisoning .25 Hình 23: Sơ đồ công khuếch đại liệu DNS 26 Hình 24: Sơ đồ công giả mạo máy chủ DNS 27 Hình 25: Địa IP Attacker 28 Hình 26: Địa IP Victim 29 Hình 27: Cấu hình etter.dns 29 Hình 28: Sử dụng Plugin để phản hồi dns_spoof 30 Hình 29: Màn hình set toolkit 31 Hình 30: Fake Website Facebook sử dụng toolkit 32 Hình 31: Trang đăng nhập Facebook máy Victim 33 Hình 32: Hiển thị thơng tin thu thập ettercap 33 Hình 33: Hiển thị thơng tin đăng nhập set toolkit 34 Hình 34: Mơ Hình Triển Khai DNSSEC 37 Hình 35 Mơ hình triển khai DNSSEC 38 Hình 36 Chữ ký số cho ghi tài nguyên 62 Hình 37 Màn Hình Server Manager WINDOW SERVER 2016 .72 Hình 38 Màn Hình DNS Manager 73 Hình 39 Màn Hình DNSSEC 73 Hình 40 Màn Hình Zone Signing Wizard 74 Hình 41 Màn Hình Key Master .74 Hình 42 Màn Hình Zone Signing Key 75 Hình 43 Cấu Hình Singing Key .75 Hình 44 Màn hình add xong Key .76 Hình 45 Màn hình Zone Signing Key 76 Hình 46 Cấu hình Zone Signing Key .77 Hình 47 Màn hình sau Add Zone Signing Key 77 Hình 48 Màn Hình Next Secure .78 Hình 49 Màn hình Trust Anchors 78 Hình 50 Màn hình Signing and Polling Parameters .79 Hình 51.Màn hình hiển thị cấu hình .79 Hình 52 Cấu hình thành công DNSSEC 80 Hình 53 Màn hình cài DNSSEC thành công 80 Hình 54.Màn hình proprties DNNSEC 81 Hình 55 Màn hình DNS KEY .81 Hình 56 Màn hình Group Policy Management 82 Hình 57 Hiển Thị Name Resolution Policy 82 Hình 58.Cấu hình Name Resolution Policy thành công 83 Y CHƯƠNG I: TỔNG QUAN VỀ GIAO THỨC DNS GIỚI THIỆU GIAO THỨC DNS 1.1 DNS gì? Mỗi máy tính, thiết bị mạng tham gia vào mạng Internet giao tiếp với địa IP (Internet Protocol) Để thuận tiện cho việc sử dụng dễ nhớ ta dùng tên (domain name) để xác định thiết bị Hệ thống tên miền (Domain Name System) sử dụng để ánh xạ tên miền thành địa IP Vì vậy, muốn liên hệ tới máy, chúng cần sử dụng chuỗi ký tự dễ nhớ (domain name) như: www.microsoft.com, www.ibm.com , thay sử dụng địa IP dãy số dài khó nhớ Ban đầu, DNS chưa đời, người ta sử dụng file tên Host.txt, file lưu thông tin tên host địa host tất máy mạng, file lưu tất máy để chúng truy xuất đến máy khác mạng Khi đó, có thay đổi tên host, địa IP host ta phải cập nhật lại tồn file Host.txt tất máy Do đến năm 1984 Paul Mockpetris thuộc viện USC’s Information Sciences Institute phát triển hệ thống quản lý tên miền lấy tên Hệ thống tên miền – Domain Name Hệ thống tên miền sữ dụng file tên host.txt, lưu thông tịn tất máy mạng, đặt máy làm máy chủ tên miền (DNS) Khi đó, Client mạng muốn truy xuất đến Client khác, việc hỏi DNS Như vậy, mục đích DNS : - Phân giải địa tên máy thành địa IP ngược lại Phân giải tên domain 1.2 Cấu trúc hệ thống tên miền - Hiện hệ thống tên miền phân thành nhiêu cấp : - Gốc (Domain root) : Nó đỉnh nhánh tên miền Nó biểu diễn đơn giản dấu chấm “.” Tên miền cấp (Top-level-domain) : gồm vài kí tự xác định nước, khu vưc tổ chức Nó đươc thể “.com” , “.edu” … Tên miền cấp hai (Second-level-domain): Nó đa dạng đa dạng tên công ty, tổ chức hay cá nhân Tên miền cấp nhỏ (Subdomain) : Chia thêm tên miền cấp hai trở xuống thường sử dụng chi nhánh, phòng ban quan hay chủ đề CÁC LOẠI DNS SEVER VÀ VAI TRỊ CỦA NĨ Các DNS Server bao gồm: Root Name Server Local Name Server 2.1 Root Name Servers gì? Đây máy chủ tên miền chứa thơng tin, để tìm kiếm máy chủ tên miền lưu trữ (authority) cho tên miền thuộc mức cao (top-level-domain) Máy chủ ROOT đưa truy vấn (query) để tìm kiếm tối thiểu thông tin địa máy chủ tên miền authority thuộc lớp top-level-domain chứa tên miền muốn tìm Sau đó, máy chủ tên miền mức top-level-domain cung cấp thơng tin địa máy chủ authority cho tên miền mức second-level- domain chứa tên miền muốn tìm Quá trình tìm kiếm tiếp tục máy chủ tên miền authority cho tên miền muốn tìm Theo chế hoạt động bạn tìm kiếm tên miền khơng gian tên miền Một điểm đáng ý khác, trình tìm kiếm tên miền ln bắt đầu truy vấn gửi cho máy chủ ROOT Nếu máy chủ tên miền mức ROOT không hoạt động, q trình tìm kiếm khơng thực Để tránh điều xảy ra, mạng Internet có 13 hệ thống máy chủ tên miền mức ROOT Các máy chủ tên miền nói chung hệ thống nói riêng đặt nhiều vị trí khác mạng Internet Hình 1: Các nhánh gốc máy chủ hay gọi Root name server 2.2 Local Name Servers gì? Server chứa thơng tin, để tìm kiếm máy chủ tên miền lưu trữ cho tên miền thấp Nó thường trì doanh nghiệp, nhà cung cấp dịch vụ Internet (ISPs) Hình 2: Hệ thống máy chủ DNS riêng đơn vị CÁC LOẠI TRUY VẤN DNS Trong tra cứu DNS điển hình Bằng cách sử dụng kết hợp truy vấn này, quy trình tối ưu hóa để phân giải DNS dẫn đến việc giảm khoảng cách di chuyển Trong tình lý tưởng, liệu ghi lưu nhớ cache có sẵn, cho phép máy chủ định danh DNS trả truy vấn không đệ quy 3.1 Truy vấn đệ quy (recursive query) Khi DNS client truy vấn DNS server, thực truy vấn đệ quy (recursive query) Trong có yêu cầu từ host, DNS server trả lời yêu cầu liệu trả lời tên miền khơng tồn DNS server thực truy vấn đệ quy đến máy chủ DNS khác cấu hình chuyển tiếp u cầu đến DNS server khác khơng có câu trả lời Hình 3: Truy vấn đệ quy Khi DNS server nhận yêu cầu, trước tiên kiểm tra có cache xem có liệu u câu hay khơng Sau kiểm tra để xem có thẩm quyền hay khơng u cầu domain Nếu có biết câu trả lời đủ thẩm quyền, hồi đáp với câu trả lời 3.2 Truy vấn lặp lặp lại (iterative query) Nếu DNS server câu trả lời khơng cấu hình chuyển tiếp u cầu đến DNS server khác lúc đóng vai trị client DNS server thay client thực truy vấn, client DNS server sử dụng chế phân cấp DNS để tìm câu trả lời xác Thay thực truy vấn đệ quy, client DNS server thực truy vấn lặp lặp lại (iterative query), với truy vấn trả lại câu trả lời tốt client DNS server câu trả lời tốt Ví dụ như, user gõ www.contoso.com vào trình duyệt, client DNS server khơng có câu trả lời, client DNS server liên hệ với root DNS server (.) để biết địa máy chủ tên miền 10