3.2.1. Tổng quan
Domain Keys Identified Mail đây là một phương thức giúp xác nhận các email giúp tránh email giả, nó được thiết kế để cho phép người nhận kiểm tra email được xác nhận là đến từ tên miền cụ thể nào? và thực tự tên miền này có được ủy quyền hay không ? DKIM được thiết kế để ngăn chặn các địa chỉ người gửi giả mạo trong email một trong những kỹ thuật thường được sử dụng nhất hiện nay đó là thư lừa đảo và email spam gửi các mã độc tấn công.
Hình 11: Domain Key Identify Mail
3.2.2. Ứng dụng
DKIM cung cấp cho hai hoạt động riêng biệt, là chữ ký và xác minh. Một trong số chúng có thể được xử lý bởi một mô-đun của một tác nhân chuyển thư (MTA). Tổ chức ký kết sử dụng có thể là người xử lý trực tiếp thư, chẳng hạn như tác giả, trang gửi hoặc trung gian tiếp theo dọc theo đường chuyển tuyến của thư hoặc người xử lý gián tiếp
như dịch vụ độc lập cung cấp hỗ trợ cho người xử lý trực tiếp. Các mô- đun ký hiệu chèn một hoặc nhiều DKIM-Signature:trường tiêu đề, có thể thay mặt cho tổ chức tác giả hoặc nhà cung cấp dịch vụ gốc. Việc xác minh các mô-đun thường hành động thay mặt cho tổ chức người nhận , có thể ở mỗi bước gửi.
DKIM ra đời là kết quả của sự kết hợp giữa, “enhanced DomainKeys” của Yahoo và “Identified Internet Mail” của Cisco . Việc sáp nhập này là cơ sở cho một loạt các thông số kỹ thuật theo tiêu chuẩn IETF và các tài liệu hỗ trợ mà cuối cùng dẫn đến STD 76 , hiện tại đang sử dụng là RFC 6376 . “Identified Internet Mail” được Cisco đề xuất như một tiêu chuẩn xác thực thư dựa trên chữ ký, trong khi DomainKey được thiết kế bởi Yahoo để xác minh tên miền DNS của người gửi e-mail và tính toàn vẹn của thư .
Các khía cạnh của DomainKeys, cùng với các phần của Identified Internet Mail, được kết hợp để tạo Thư được xác định tên miền (DKIM). Nhà cung cấp dịch vụ xu hướng triển khai DKIM bao gồm Yahoo , Gmail , AOL và FastMail . Bất kỳ thư nào từ các tổ chức này đều phải mang theo chữ ký DKIM.
3.2.3. Phương thức hoạt động
Tùy theo hệ thống Mail server khác nhau sẽ có hướng dẫn khác nhau về cấu hình DKIM ở phía server, nhưng hầu hết đều phải thực hiện các bước:
Xử lý từ bên gửi
Bước 1: Sinh ra cặp khóa private/public, có nhiều phần mềm hỗ trợ việc này (ví dụ: OpenSSL)
Bước 2: Đưa khóa Public lên khai báo bản ghi TXT trên DNS theo đúng domain gửi email.
Bước 3: Cấu hình Mail server sử dụng khóa private để ký vào email trước khi gửi email. Khóa này chỉ lưu trên Mail server nên không thể giả mạo.
Xử lý ở bên nhận:
Bước 1: Nhận được email từ bên gửi và thấy email có thông điệp được mã hóa do cấu hình DKIM.
Bước 2: Query DNS để lấy khóa public của domain bên gửi để giải mã, nếu giả mã đúng thì xác nhận nguồn gửi và email đảm báo, ngược lại sẽ tùy chính sách của bên nhận để từ chối hoặc nhận email.
PHẦN 4: CÀI ĐẶT VÀ QUẢN TRỊ DNS SERVER TRÊN WINDOWS SERVER 2012 R2
4.1. Mô hình bài Lab
- Windows Server 2012 R2: 192.168.1.10
- Windows 7: 192.168.1.17
4.2. Các bước thực hiện
Bước 1: Cài đặt dịch vụ DNS trên Windows Server 2012 R2 - Đặt IP tĩnh cho máy chủ Windows
Hình 12: IP config Windows Server 2012
Hình 13: Giao diện Server Manager
- Chọn Add roles and Features Chọn DNS Server
Hình 15: Thêm DNS Server
- Vào Tools Chọn DNS để mở dịch vụ DNS Server
Bước 2: Tạo zone, thêm các bản ghi vào zone
- Giao diện của DNS Server có dạng như hình dưới. Bao gồm các thư mục sau:
+ Forward Lookup Zones: Khai báo các zone truy vấn xuôi trong thư
mục này và khai báo các bản ghi trong zone đó
+ Reverse Lookup Zone: Khai báo các zone truy vấn ngược và các bản ghi trong đó
+ Trust Point: Tạo các bản ghi để hình thành cơ chế bảo mật cho dịch vụ DNS
+ Conditional Forwarders: Tạo các điều kiện chuyển tiếp zone dữ liệu
Hình 17: Giao diện DNS Server
- Chuột phải vào Forward Lookup Zones New Zone… Primary Zone
Hình 18: Tạo Forward Zone
- Khai báo tên cho zone, ở đây ta khai báo abc.com
- Sau khi khai báo, ta truy cập vào Zone đó. Chọn chuột phải và tạo một bản ghi A
Hình 20: Tạo các bản ghi trong Zone
Hình 21: Nhập địa chỉ IP cho bản ghi A
- Tương tự ta tạo một Reverse Zone và một bản ghi PTR trong thư mục Reverse Lookup Zones
Hình 23: Tạo bản ghi PTR
Bước 3: Kiểm tra dịch vụ DNS
- Kết nối máy Windows Server với mạng và máy Windows 7 vào mạng NAT. Cấu hình địa chỉ IP của máy Windows 7 nhận IP máy Windows Server làm DNS Server
Hình 24: Đặt địa chỉ DNS Server cho máy client
- Mở CMD, thực hiện câu lệnh: nslookup abc.com và nslookup 192.168.1.100 Ta được kết quả
Hình 25: Kiểm tra dịch vụ trên máy client
PHẦN 5: CÀI ĐẶT QUẢN TRỊ DNS SERVER SỬ DỤNG BIND9
- Ubuntu Server: 192.168.1.50
- Windows 7: 192.168.1.17
5.2. Các bước cài đặt
Bước 1: Cài đặt dịch vụ Bind9
- Sudo apt-get install bind9
Bước 2: Vào thư mục bind để cấu hình dịch vụ DNS
- cd /etc/bind
- ls
Hình 26: Cấu trúc file trong Bind9 DNS Server
Hình 27: Sửa file name.config.local
Bước 4: Chỉnh sửa file name.conf.options. Cấu hình forward sang DNS Google
Hình 28: Chỉnh sửa file name.conf.options
Hình 29: Tạo Forward Zone và khai báo các bản ghi
Bước 6: Tạo file reverse.abc.com
Hình 30: Tạo reverse zone và khai báo các bản ghi
Bước 7: Khởi động lại dịch vụ và kiểm tra
- service bind9 restart
Hình 31: Kiểm tra dịch vụ Bind9
- Tiến hành kiểm tra trên máy Windows 7 bằng lệnh nslookup
PHẦN 6: DEMO MỘT DẠNG TẤN CÔNG HỆ THỐNG DNS
Mô hình tấn công DNS Spoofing
Hình 33: Mô hình tấn công DNS Spoofing
- Máy Kali Linux: 192.168.1.17
- Máy Windows 7: 192.168.1.14
- Các công cụ sử dụng
+ setoolkit: clone website, capture username/password
+ ettercap: Scan hosts + ARP poisoning (ARP spoofing) + DNS spoofing + Sniff (nghe lén).
Bước 1: Kẻ tấn công cấu hình Ettercap và cấu hình máy Kali Linux để phục vụ tấn công
Enable Forward gói tin:
Bước 2: Kẻ tấn công sử dụng công cụ Setoolkit để tạo fake website giống trang đăng nhập Google
- Khởi động setoolkit bằng câu lệnh setoolkit
- Chọn kiểu tấn công Social-Engineering Attacks
- Chọn Website Attack Vectors
- Chọn Credential Harvester Exploit Menthod
- Chọn Web Template
- Tiến hành nhập IP máy Kali Linux
Hình 34: Sử dụng công cụ Setoolkit
Hình 35: Clone site thành công
Bước 3: Kẻ tấn công sử dụng công cụ Ettercap để tiến hành tấn công DNS Spoofing
- Tiến hành sửa file etter.dns #vi /etc/ettercap/etter.dns
google.com A 192.168.1.14 *.google.com 192.168.1.14
www.google.com PTR 192.168.1.14
- Add IP của default gateway vào Target 1
- Add IP của máy Victim vào Target 2
Hình 36: Cấu hình ettercap
Hình 37: Kích hoạt ARP Spoofing
- Kích hoạt plugin DNS Spoofing bằng cách chọn Plugins Manage Plugins và chọn kích hoạt dns_spoof
Bước 4: Truy cập google.com trên máy Windows 7 nhận thấy trang Web fake giống hệt trang thật. Tuy nhiên nếu để ý kĩ thì ta thấy trang web không dùng giao thức mã hóa https.
Hình 39: Fake google website
- Kiểm tra trên Ettercap thấy thông báo đã giả mạo thành công địa chỉ
- Tiến hành đăng nhập, lập tức công cụ Setoolkit sẽ trả về giá trị nhập vào 2 ô là tên đăng nhập và mật khẩu. Như vậy ta đã lấy được Usename và Password từ người dùng
TÀI LIỆU THAM KHẢO
[1] Justinas Mazūra, “What is a DNS attack? | CyberNews,” 2020. [Online]. Available: https://cybernews.com/resources/what-is-a-dns-attack/?fbclid=IwAR2OGOM- s6wPN_T-ZR1lDmpIx2joRTDzdg0QBNrkP5DuIoLLB8fGsLu39S4. [Accessed: 15-Nov-2020].
[2] Aditya Anand, “How I pranked my friend using DNS Spoofing? | by Aditya Anand | InfoSec Write-ups | Medium,” 2018. [Online]. Available:
https://medium.com/bugbountywriteup/how-i-pranked-my-friend-using-dns- spoofing-6a65ff01da1. [Accessed: 15-Nov-2020].
[3] The DNS institute, “DNSSEC Guide : Validation Easy Start Explained | The DNS Institute,” 2019. [Online]. Available:
https://dnsinstitute.com/documentation/dnssec-guide/ch03s03.html#how-does- dnssec-change-dns-lookup-revisited. [Accessed: 15-Nov-2020].
[4] Đoàn Anh Tuấn, “Các loại bản ghi trên DNS | BlogCloud365,” 2019. [Online]. Available: https://blog.cloud365.vn/linux/dns-record/#3-record-a. [Accessed: 15- Nov-2020].
[5] Efficient iP, “What is DNSSEC?,” 2020. [Online]. Available:
https://www.efficientip.com/what-is-dnssec/. [Accessed: 15-Nov-2020].
[6] VNNIC, “Công nghệ DNSSEC | Trung Tâm Internet Việt Nam (VNNIC),” 2018. [Online]. Available: https://vnnic.vn/dns/congnghe/công-nghệ-dnssec. [Accessed: 15-Nov-2020].
[7] Quang Nguyen, “DKIM là gì và tổng quan về phương thức xác nhận email bằng DKIM,” 2020. [Online]. Available: https://www.semtek.com.vn/dkim-la-gi/. [Accessed: 15-Nov-2020].