dns basics 20140422-2 - citel - spanish
DESCRIPTION
Curso básico de DNS de CITELTRANSCRIPT
Fundamentos del Sistema de Nombres de Dominio (DNS)
Security, Stability & Resiliency TeamICANN
Junio de 2014
1
Temas
• Qué son los identificadores de Internet
• Qué es el DNS• DNSSEC• Quién administra el DNS• Cómo puede el DNS ser
abusado o explotado
2
Tema
• Qué son los identificadores de Internet
3
4
Conectándose a una red de área localTodos los dispositivos que se conectan a una red de área local tienen al menos una dirección MAC
Las direcciones MAC son identificadores únicos de 48 bits
Asignadas a cada adaptador de red durante su fabricación
Si no son alteradas, no cambian de una red a otra
Encuentre su dirección MAC
5
Sistema Operativo Método
Dispositivos Windows Ejecute cmd.exe, escriba getmac
Open BSD en Mac OS Xy Linux
Abra Terminal, escriba“ ifconfig en0 | grep ether “ (sin comillas)
iPhone Settings -> General -> Acerca de baje hasta WiFi Address
Android Settings -> About Tablet -> Estadobaje hasta Wi-Fi MAC address
6
Conectándose a una red IP• Todos los dispositivos que se conectan a una
red IP deben tener una dirección IP (Internet Protocol)
• Dos clases de direcciones IP– Clase A o IP versión 4: son típicamente
representadas como números decimales separados por puntos, ej. 192.168.2.1
– Clase AAAA o IP versión 6: son números hexadecimales separados por “:”, ej. fe80::226:bbff:fe11:5b32
Asociando direcciones MAC e IP• Mientras que las direcciones MAC están asociadas al
hardware, las direcciones IP suelen ser asignadas dinámicamente.
• Los dispositivos pueden comunicarse directamente con otros en las redes locales– Para asociar las direcciones MAC y las direcciones IP:
Address Resolution Protocol:
7
_____:~ user$ arp -a? (10.0.0.1) at d2:4a:c7:5e:68:76 on en0 ifscope [ethernet]? (10.0.0.255) at ff:ff:ff:ff:ff:ff on en0 ifscope [ethernet]______:~ user$ arp -a? (10.0.0.1) at d2:4a:c7:5e:68:76 on en0 ifscope [ethernet]? (10.0.0.6) at f1:e5:7f:a1:cd:48 on en0 ifscope [ethernet]? (10.0.0.255) at ff:ff:ff:ff:ff:ff on en0 ifscope [ethernet]
Conectándose a Internet• Los dispositivos deben saber cómo conectarse con
otros por fuera de su red local– Un gateway provee esta información usando el
protocolo DHCP• Los dispositivos usan el gateway para dirigir el tráfico
hacia y desde destinos en el Internet
8
Alguien me ayuda a conectarme a
una red?Hola! Soy tu gateway • Mi dirección es 192.168.4.1• Tu dirección IP es
192.168.4.94• Tu subred es 255.255.252.0
Direcciones IP públicas vs privadas• Los dispositivos o gateways deben tener una
dirección pública única para poder comunicarse con otros hosts por fuera de su red local
• Sin embargo, el router, el ISP o el proveedor móvil pueden asignar direcciones privadas a los dispositivos
9
ICANNGoogleeBayTwitter
Espacio IP de uso privado Espacio IP de uso público
Encuentre su configuración IP local
10
Sistema Operativo Método
Dispositivos Windows Ejecute cmd.exe, escriba ipconfig
BSD en Mac y Linux
Ejecute Terminal, escriba ifconfig
iPhone Settings -> WiFi, luego ID de red inalámbrica
Android Settings -> About Tablet -> Statusluego baje hasta Wi-Fi MAC address
Su dirección IP global?• Google “what is my IP?• Visite http://whatismyip.com
Tema
• Qué es el DNS
11
Qué es el Sistema de Nombres de Dominio
• Una base de datos distribuida usada primordialmente para obtener la dirección IP (192.168.23.1 or fe80::226:bbff:fe11:5b32) asociada a un nombre humanamente memorizable (www.ejemplo.com)
¿Por qué es necesario el DNS? Es imposible recordar tantos octetos de números decimales y
es aún peor recordar números hexadecimales!
12
Cómo compro un nombre de dominio?
• Los registros administran los nombres de dominio y la información de registro
• Los registradores y los revendedores administran los servicios de registro• El costo del registro corresponde al uso
del nombre de dominio y su inclusión en el DNS durante uno o más años.
• Algunos registros (e.g., ccTLDs) ofrecen registro directamente al público
13
Registro de dominios 101
• Usuario elige nombre a registrar “ejemplo”
• Usuario pide a registrador verificar su disponibilidad bajo un TLD
• Usuario paga registro para usar el nombre
• Información de registro:– “nombre” + TLD
(administrada en base de datos del registro)
– Contactos, DNS (administrada en el Whois)
– DNS, status(administrada en base de datos de Whois)
14
Qué puedo hacer con un nombre de dominio?
• Asignar nombres amigables a un dispositivo (servidor) que ofrezca (hosts) aplicaciones de Internet:– Web, blog, redes sociales, servidores de archivos, wiki…
• Asociar direcciones IP a esos nombres• Describir los recursos de los hosts del dominio
– Relays de email (MX), name servers (NS), voz (NAPTR) tipos especiales de recursos
– Cualquier servicio puede ser descrito usando records de ubicación de servidores (server location records, SRV)
15
Qué es una zona del DNS?
• Una zona del DNS es una parte del espacio de nombres de dominio– Es un límite de la autoridad del registro– Su administración es delegada de parent a child
• Ejemplo: en “ssac.icann.org”“.” delega la autoridad a “org”
“org” autoriza subdominios {icann, ncfta…}
“org” delega la autoridad a “icann”“icann autoriza subdominios {www, ssac…} “icann” delega la autoridad a “ssac” y “www”
16
Qué es un archivo de zona?• Un archivo de texto
que contiene todos los records de los recursos (resource records o RRs) de la zona
• Los RRs describen los name servers, direcciones IP, hosts, servicios, servidores de email, llaves y firmas criptográficas…
US ASCII-7 letras, dígitos y guiones
17
RRs comunes
18
Start of Authority RR• Source: la zona fue creada acá• Email del administrador
• Número de revisión del • archivo de zona
• Zone transfer timers (secondary)
Time to live• Por cuánto tiempo son • válidos los RRs
Name Server (NS)• IN (Internet)• Nombre del servidor autoritario
Servidor de correo (MX)• IN (Internet) • Nombre del servidor de correo
19
Record de la dirección del name server• NS1 (nombre del name server)• IN (Internet)• A (IPv4) * AAA es IPv6• Dirección IPv4 (192.168.0.1)Record de la dirección del servidor web• www (world wide web)• IN (Internet)• A (IPv4) * • is IPv6• Dirección IPv4 (192.168.0.2)
Record de la dirección del servidor FTP• FTP (file transfer protocol)• IN (Internet)• CNAME= “misma dirección que
www”
RRs comunes
Cómo se accede a los datos de una zona del DNS?
• Las aplicaciones de usuarios y clientes acceden a la información de las zonas usando Users and client applications access DNS zone data using “stub resolvers”– Comandos: dig, nslookup– Funcionalidad incluida en navegadores y aplicaciones
(clientes)• Los stub resolvers usualmente hacen queries a servidores
repetitivos (recursivos)– La resolución de nombres de dominios es un método para
referir a recursos y un proceso iterativo– Los usuarios pueden enviar queries a los servidores
autoritarios pero esta configuración es menos frecuente
20
ping www.acme.com.
Resolución de Nombres de Dominio
pc1.icann.org
21
¿Cuál es la dirección IP de
www.acme.com?
Resolución de Nombres de Dominiopc1 le pregunta al resolutor repetitivo (recursive server) dns1.icann.org la dirección de www.acme.com
ping www.acme.com.pc1.icann.org
dns1.icann.org
22
dns1.icann.org le pregunta al servidor raíz m.root-servers.net la dirección de www.acme.com
¿Cuál es la dirección de www.acme.com?
Domain Name Resolution Process
ping www.acme.com.
pc1.icann.org
dns1.icann.org
m.root-servers.net
23
Acá está la lista de servidores de
resolución del .com. Pregúntele a uno de
ellos.
Domain Name Resolution Processm.root-servers.net pide a dns1.icann.org ir a los servidores de resolución del
TLD com. Esta clase de respuesta es considerada una referencia.
ping www.acme.com.
dns1.icann.org
m.root-servers.net
pc1.icann.org
24
¿Cuál es la dirección de www.acme.com?
Domain Name Resolution Processdns1.icann.org le pregunta a un servidor del com, f.gtld-servers.net la dirección de www.acme.com
ping www.acme.com.
m.root-servers.net
f.gtld-servers.net
dns1.icann.org
pc1.icann.org
25
Acá está la lista de servidores de resolución de acme.com.
Pregúntele a uno de ellos.
Domain Name Resolution Processf.gtld-servers.net le pide a dns1.icann.org preguntar a los servidores de resolución de acme.com (referral)
m.root-servers.net
f.gtld-servers.net
ping www.acme.com.
dns1.icann.org
pc1.icann.org
26
¿Cuál es la dirección IP de
www.acme.com?
Domain Name Resolution Processdns1.icann.org pregunta a los servidores de resolución de acme.com, ns1.sanjose.acme.net la dirección de www.acme.com
ping www.acme.com.
m.root-servers.net
f.gtld-servers.net
ns1.sanjose.acme.net
dns1.icann.org
pc1.icann.org
27
Esta es la dirección IP de
www.acme.com
Domain Name Resolution Processns1.sanjose.acme.net le responde a dns1.icann.org con la dirección de www.acme.com
m.root-servers.net
f.gtld-servers.net
ping www.acme.com.
ns1.sanjose.acme.net
dns1.icann.org
pc1.icann.org
28
Esta es la dirección IP de
www.acme.com
Domain Name Resolution Processdns1.icann.org le responde a pc1.icann.org con la dirección de www.acme.com
ping www.acme.com.
m.root-servers.net
f.gtld-servers.net
nsl.sanjose.acme.net
dns1.icann.org
pc1.icann.org
29
icann.orgAAAA 2001:500:88:200::7
¿Qué es caching?• Los resolutores repetitivos
(iterative) pueden guardar en su memoria temporal los records del DNS que reciben de otros servidores de resolución, al procesar queries de sus clientes– Acelera la resolución– Ahorra ancho de banda– Las respuestas son no-
autoritarias (non-authoritative)• ¿Los records guardados en el
cache son eternos?– No. El campo TTL (time to live o
tiempo de vida) determina cuánto tiempo cada record puede ser guardado en el cache
¿Cuál es la dirección IPv6 de
icann.org?
Mi Mac
Mi resolutor local
Servidor de resolución de ICANN (autoritario)
Voy a guardar esta
respuesta
30
Cómo hace mi dispositivo para encontrar un resolutor: DHCP
¿Alguien me ayuda a
conectarme a una red?
Hola! Soy su gateway• Mi dirección es 192.168.4.1• Su dirección IP es
192.168.4.94• Su subred es 255.255.252.0• Envíe sus queries de DNS al
resolutor que está en la dirección 192.168.4.1 (es decir, yo!)
31
Un sitio web, muchos queries de DNS
Para encontrar e interpretar contenido en cnn.com se deben resolver MUCHOS dominios
32
PARA INTERPRETAR EL CONTENIDO QUE USTED VE
AL VISITAR CNN.COM Su navegador
debe resolver todos estos
nombres de dominio
www.cnn.comi.cdn.turner.comz.cdn.turner.comi2.cdn.turner.com
ads.cnn.comtoes.cnn.com
www.adfusion.comcontent.pulse360.com
ad.doubleclick.nets0.2mdn.net
aranet.vo.llnwd.netcontent.dl-rms.com
icompass.insightexpressai.com
33
DNS Security (DNSSEC)• Protege información del DNS contra falsificación• Usa criptografía de llave pública para firmar información
autoritaria de zona– Asegura que el origen de la información es auténtico– Asegura que la información es la misma que que el originador
(autenticado) publicó inicialmente• El modelo (basado en la confianza) también usa
criptografía de llave pública– Zonas de nivel alto firman las zonas de niveles inferiores (el
root firma las zonas de los TLDs, los TLDs firman las zonas de los dominios registrados…)
34
Un autoridad firma la información de la zona con una llave privada
– Las autoridades deben mantener en secreto las llaves privadas
Información del DNS
Información de DNS firmada
+Firmas
digitales
Publicación
Firmada con llave privada
Criptografía de lllave pública en DNSSEC
Servidor autoritario
35
Tiene dudas? Intente “dig +dnssec icann.org”
• La autoridad publica la llave pública para que los usuarios puedan descifrar y
verificar que la información es correcta y vino del lugar correcto
36
Servidor autoritario
Información firmada de
zona
Validación de servidor repetitivo
Validación con llave pública
Criptografía de lllave pública en DNSSEC
Tema
• ¿ Quién administra el DNS?
37
¿Quién es quien en el ecosistema del DNS?
• Los registros administran las bases de datos de los TLDs y generan los archivos de zona de los TLDs
• Los registros son muy diversos:• Grandes compañías, pequeñas
organizaciones sin ánimo de lucro, departmentos en universidades…
• Algunos registros contratan a terceros para el manejo técnico del TLD
38
• Los registros de los gTLDs firman un contrato con ICANN• Tienen que cumplir contrato y
políticas• http
://www.icann.org/en/resources/registries/listing
• CcTLDs no tienen contrato con ICANN• http://www.iana.org/domains/root/
db/
• Participan en desarrollo de políticas de ICANN vía la ccNSO• http://ccnso.icann.org 39
¿Quién es quien en el ecosistema del DNS?
• Los ccTLDS son muy dispares en sus políticas y operaciones• De registros globales a sólo quienes viven en
territorio• Con o sin ánimo de lucro• Operados por gobiernos o por terceros• Desde un solo empleado de medio tiempo hasta
grandes organizaciones
40
¿Quién es quien en el ecosistema del DNS?
Registradores
41
• Empresas que procesan el registro de los nombres de dominio– En el mundo de los gTLDs firman contracto con ICANN (Registrar
Accreditation Agreement o RAA) • https://www.icann.org/resources/pages/approved-with-specs-2013-09-17-en• http://www.icann.org/registrar-reports/accredited-list.html
– Los ccTLDs definen su propio proceso de registro (algunos usan uno similar al de ICANN)
• Existen los modelos de venta al detal (retail) y al por mayor (wholesale) y con o sin revendedores
• El registro de dominios no es la única línea de negocio de los registradores
Operaciones Tercerizadas
42
• Las entidades incluidas en las bases de datos de IANA pueden prestar servicios operacionales:– Registrador– Registro– Servicio de nombre autoritario– Operador técnico (back end) (bases de datos, EPP,
DNS)– Todas las operaciones
¿Quién administra las bases de datos de Whois?
43
• No las administra una única entidad– Son BDs muy distribuidas
• Dos modelos básicos:– Whois delgado (thin)
• El registrador mantiene los points of contact y los name servers• El registro mantiene el nombre del registrador, los name servers, el status
del dominio, fechas de creación, actualización y expiración
– Whois grueso (thick) • Casi la misma información en Whois del registrador está en el Whois del
registro (registrador del dominio, name servers, status del dominio, fechas de creación, actualización y expiración, contactos)
Exactitud y Veracidad -Whois
• El registrante es responsable de su validez
• Los registros de gTLDs y sus registradores deben ofrecer el servicio de Whois
• Los ccTLDs no tienen la obligación• Los registros de los nuevos dominios
deben ofrecer thick Whois• Nuevas obligaciones: formato, validación,
verificación
44
Proveedores repetitivos (recursive providers)
45
• Las operaciones autoritarias (authoritative) son sólo un aspecto de las operaciones del DNS
• Las operaciones recursivas (repetitivas) son muy diversas:– Servidores de DNS de ISPs (tal vez las más comunes) – ISPs
suelen ser revendedores de registro de dominios– Registradores, suelen ofrecer DNS y servicios de hosting para
sus clientes– Servidores corporativos de DNS– Servidores públicos de DNS (Google, Open DNS, otros)– Servidores privados o personales de DNS
• DNS usado para cometer delitos? Claro que sí.
¿Y la privacidad?Los contratos de
ICANN con los registros y los registradores
establecen que la información de
registro debe ser ofrecida al público
a través del servicio de Whois
Privacidad
Accesibilidad
Anonimidad
Exactitud
Re
tos
de
Po
lítica
Los ccTLDs definen sus propias políticas
Un asunto de política nada sencillo• Para los gTLDs, la política sobre Whois es un
asunto de consenso entre todas las partes interesadas– ¿Debe la información ser reservada?– ¿Debe ser accesible con orden de un juez?– ¿Deben distinguirse los registros comerciales de los
personales? – ¿Debe haber mayor exactitud?– ¿Y los servicios de intermediario o privacidad?
Photo by robynejayflickr.com/creative commons
Y hablando de… RAA 2013!
Áreas Principales• Contacto para casos de abuso para policías y el
público• Especificación sobre servicios de privacidad e
intermediarios, futuro programa de acreditación• Registradores deben entregar más información a
ICANN al ser acreditados• Decisiones judiciales sobre violación de marcas son
causa para terminación• DNSSEC e IPv6
Y hablando de… RAA 2013!
Áreas Principales• Exactitud de Whois (validación, verificación,
formato)• Herramientas:
• Violación de marcas y provisión de información engañosa en la renovación del RAA: terminación
• Incumplimiento material: 3 veces en 12 meses: suspensión
Tema
• ¿Puede el DNS ser abusado?
50
¿Cómo puede ser atacado el DNS?Attack Description
Envenenamiento del caché
Hacer que un resolver agregue records falsos de DNS en su memoria cache
Ataque en cliente de usuario
Uso de malware para modificar información del DNS en el dispositivo del usuario, archivo /etc/hosts (ejemplo: DNSChanger)
Ataque DDoS Ataque de agotamiento de recursos en el que miles de dispositivos envían solicitudes a un servidor de DNS víctima
Ataque de amplificación (reflexión)
Miles de dispositivos envían solicitudes que provocan una respuesta de mayor tamaño, falsificando la dirección de un name server víctima e inundándolo con respuestas de DNS pesadas
Ataques contra vulnerabilidades
Ataque contra vulnerabilidades en el software de servidores de DNS, que lo hacen fallar o comportarse en una forma no prevista
Wildcards *.ejemplo.com responde con 3600 IN MX 10 host1.example.com.
51
Abuso de los servicios de registro de nombresTipo de abuso DescripciónRobo de dominios Robar un dominio a un registrante legítimo o
al tenedor de una cuentaCybersquatting Registro de términos visualmente similares a
marcas registradas (pay per click advertising, phish, malware)
Front running Uso de información privilegiada para registrar un dominio antes de que el legítimo cliente lo haga
Drop catching Registro de dominios un instante después de que son borrados tras su expiración
Suplantación de registrador
Ataque de phishing en el que el atacante pretende ser un registrador
52
No hay una ‘autoridad última’ en el DNS
53
La resolución de asuntos relacionados con el DNS involucra a múltiples partes
– Registro (base de datos de IANA)– Registrador (Whois del registro e icann.org)– Registrante (Whois registro/registrante)– Proveedor de hosting para el dominio– Cualquier tercero que opere un resolutor
(resolver)– [email protected]– En caso de duda, escríbanos y buscaremos
contactarlo con la persona correcta
Resumen
• Internet usa varios sistemas identificadores• El DNS nos permite usar nombres en lugar de números
– El DNS es una base de datos crítica para Internet
• El DNS es abierto y, por tanto, es sujeto de abuso– Es una base de datos pública, con información proveída y
ofrecida por miles de autoridades individuales• El registro de nombres también es susceptible de ser abusado• Mantener la seguridad y la estabilidad del DNS y de los
servicios de registro es un elemento importante de la misión de ICANN
54
Preguntas?
56