Hoạt động đúng đắn của Internet phụ thuộc rất nhiều vào DNS. Mọi trang web được truy cập, mọi email được gửi, mọi hình ảnh được truy xuất từ phương tiện truyền thông xã hội: tất cả các tương tác đó đều sử dụng DNS để dịch các tên miền thân thiện với con người (như icann.org) sang các địa chỉ IP (như 192.0.43.7 và 2001: 500: 88: 200 :: 7) cần thiết cho máy chủ, bộ định tuyến và các thiết bị mạng khác để định tuyến lưu lượng truy cập qua Internet đến đích thích hợp.
Sử dụng Internet trên mọi thiết bị bắt đầu với DNS. Ví dụ: xem xét khi người dùng nhập tên trang web trong trình duyệt trên điện thoại của họ. Trình duyệt sử dụng trình phân giải sơ khai, là một phần của hệ điều hành của thiết bị, để bắt đầu quá trình dịch tên miền của trang web thành địa chỉ Giao thức Internet (IP). Trình phân giải sơ khai là một máy khách DNS rất đơn giản chuyển tiếp yêu cầu của ứng dụng về dữ liệu DNS sang máy khách DNS phức tạp hơn được gọi là trình phân giải đệ quy. Nhiều nhà khai thác mạng chạy các trình phân giải đệ quy để xử lý các yêu cầu DNS hoặc truy vấn, được gửi bởi các thiết bị trên mạng của họ. (Các nhà khai thác và tổ chức nhỏ hơn đôi khi sử dụng các bộ phân giải đệ quy trên các mạng khác, bao gồm các bộ phân giải đệ quy được vận hành như một dịch vụ cho công chúng, chẳng hạn như Google Public DNS, OpenDNS và Quad9.)
Trình phân giải đệ quy theo dõi hoặc giải quyết câu trả lời cho truy vấn DNS được gửi bởi trình phân giải sơ khai. Quá trình phân giải này yêu cầu trình phân giải đệ quy gửi các truy vấn DNS của riêng nó, thường đến nhiều máy chủ tên có thẩm quyền khác nhau. Dữ liệu DNS cho mỗi tên miền được lưu trữ trên một máy chủ tên có thẩm quyền ở đâu đó trên Internet. Dữ liệu DNS cho một tên miền được gọi là một khu vực. Một số tổ chức vận hành máy chủ tên riêng của họ để xuất bản các khu vực của họ, nhưng thường các tổ chức thuê ngoài chức năng này cho các bên thứ ba. Có nhiều loại tổ chức khác nhau lưu trữ các vùng DNS thay mặt cho các tổ chức khác, bao gồm đăng ký, đăng ký, công ty lưu trữ web, nhà cung cấp máy chủ mạng, chỉ để nêu tên một số.
Khuyết điểm của DNS
Khuyết điểm của DNS hiện nay là bản thân DNS không an toàn
DNS được thiết kế vào những năm 1980 khi Internet nhỏ hơn nhiều và bảo mật không phải là vấn đề chính trong thiết kế của nó. Kết quả là, khi một trình phân giải đệ quy gửi một truy vấn đến một máy chủ tên có thẩm quyền, trình phân giải không có cách nào để xác minh tính xác thực của phản hồi. Trình phân giải chỉ có thể kiểm tra xem một phản hồi dường như đến từ cùng một địa chỉ IP nơi trình phân giải đã gửi truy vấn ban đầu. Nhưng việc dựa vào địa chỉ IP nguồn của phản hồi không phải là một cơ chế xác thực mạnh, vì địa chỉ IP nguồn của gói phản hồi DNS có thể dễ dàng bị giả mạo hoặc giả mạo. Vì DNS được thiết kế ban đầu, trình phân giải không thể dễ dàng phát hiện phản hồi giả mạo đối với một trong các truy vấn của nó. Kẻ tấn công có thể dễ dàng giả trang thành máy chủ có thẩm quyền mà người giải quyết ban đầu đã truy vấn bằng cách giả mạo một phản hồi dường như đến từ máy chủ có thẩm quyền đó. Nói cách khác, kẻ tấn công có thể chuyển hướng người dùng đến một trang web có khả năng gây hại mà người dùng không nhận ra.
Bộ phân giải đệ quy lưu trữ dữ liệu DNS mà họ nhận được từ các máy chủ tên có thẩm quyền để tăng tốc quá trình phân giải. Nếu trình phân giải sơ khai yêu cầu dữ liệu DNS mà trình phân giải đệ quy có trong bộ đệm của nó, trình phân giải đệ quy có thể trả lời ngay lập tức mà không bị trì hoãn bằng cách truy vấn đầu tiên một hoặc nhiều máy chủ có thẩm quyền. Tuy nhiên, sự phụ thuộc vào bộ nhớ đệm này có một nhược điểm: nếu kẻ tấn công gửi phản hồi DNS giả mạo được chấp nhận bởi trình phân giải đệ quy, kẻ tấn công đã đầu độc bộ đệm của trình phân giải đệ quy. Bộ giải quyết sau đó sẽ tiến hành trả lại dữ liệu DNS lừa đảo cho các thiết bị khác truy vấn nó.
Như một ví dụ về mối đe dọa gây ra bởi một cuộc tấn công gây ngộ độc bộ nhớ cache, hãy xem xét những gì xảy ra khi người dùng truy cập trang web của ngân hàng của họ. Thiết bị của người dùng truy vấn máy chủ tên đệ quy được định cấu hình của nó cho địa chỉ IP của trang web ngân hàng. Nhưng kẻ tấn công có thể đã đầu độc người giải quyết bằng một địa chỉ IP không chỉ đến trang web hợp pháp mà là một trang web được tạo bởi kẻ tấn công. Trang web lừa đảo này mạo danh trang web của ngân hàng và trông giống nhau. Người dùng không biết sẽ nhập tên và mật khẩu của họ, như thường lệ. Thật không may, người dùng đã vô tình cung cấp thông tin ngân hàng của họ cho kẻ tấn công, sau đó họ có thể đăng nhập với tư cách là người dùng đó tại trang web ngân hàng hợp pháp để chuyển tiền hoặc thực hiện các hành động trái phép khác.
Tiện ích mở rộng bảo mật DNS (DNSSEC) – DNSSEC Security Extensions
Các kỹ sư trong Lực lượng đặc nhiệm kỹ thuật Internet (IETF), tổ chức chịu trách nhiệm về các tiêu chuẩn giao thức DNS, từ lâu đã nhận ra việc thiếu xác thực mạnh hơn trong DNS là một vấn đề. Làm việc trên một giải pháp bắt đầu từ những năm 1990 và kết quả là Phần mở rộng bảo mật DNSSEC (DNSSEC – DNSSEC Security Extensions).
Ngày nay, chủ sở hữu khu vực thường cần truyền đạt tài liệu khóa công khai của khu vực cho phụ huynh theo cách thủ công. Trong hầu hết các trường hợp, giao tiếp đó xảy ra thông qua nhà đăng ký của chủ sở hữu khu vực. Giống như chủ sở hữu khu vực tương tác với công ty đăng ký để thực hiện các thay đổi khác đối với khu vực, chẳng hạn như danh sách máy chủ tên có thẩm quyền của khu vực, chủ sở hữu khu vực cũng tương tác với nhà đăng ký để cập nhật tài liệu khóa công khai của khu vực. Mặc dù quá trình này hiện đang là thủ công, các giao thức được phát triển gần đây dự kiến sẽ cho phép quá trình này được tự động hóa trong tương lai.
