[论文解读] Unilateral Antidotes to DNS Cache Poisoning

Amir Herzberg, Haya Shulman|arXiv (Cornell University)|Sep 7, 2012

Internet Traffic Analysis and Secure E-voting被引用 3

一句话总结

本文提出两种单边防御机制——'夹心解毒剂'（sandwich antidote）和'NAT解毒剂'（NAT antidote），可在无需修改DNS解析器的情况下防止DNS缓存投毒。夹心解毒剂通过两个阶段检测并阻止投毒尝试，而NAT解毒剂通过轮换解析器的源IP地址来增加熵值。这两种机制均可部署在网关上，以极低的开销提供对欺骗攻击的强力防护。

ABSTRACT

We investigate defenses against DNS cache poisoning focusing on mechanisms that can be readily deployed unilaterally by the resolving organisation, preferably in a single gateway or a proxy. DNS poisoning is (still) a major threat to Internet security; determined spoofing attackers are often able to circumvent currently deployed antidotes such as port randomisation. The adoption of DNSSEC, which would foil DNS poisoning, remains a long-term challenge. We discuss limitations of the prominent resolver-only defenses, mainly port and IP randomisation, 0x20 encoding and birthday protection. We then present two new (unilateral) defenses: the sandwich antidote and the NAT antidote. The defenses are simple, effective and efficient, and can be implemented in a gateway connecting the resolver to the Internet. The sandwich antidote is composed of two phases: poisoning-attack detection and then prevention. The NAT antidote adds entropy to DNS requests by switching the resolver's IP address to a random address (belonging to the same autonomous system). Finally, we show how to implement the birthday protection mechanism in the gateway, thus allowing to restrict the number of DNS requests with the same query to 1 even when the resolver does not support this.

研究动机与目标

• 为应对尽管已有端口随机化和0x20编码等防御措施，DNS缓存投毒威胁依然持续存在的问题。
• 提供实用且可部署的防御方案，无需修改DNS解析器或广泛部署DNSSEC。
• 通过在网关级别增加熵值并检测投毒尝试，提升安全性。
• 为能够绕过标准解析器防御的有备而来攻击者提供即时且有效的防护。

提出的方法

• 夹心解毒剂分两个阶段运行：首先通过响应验证检测投毒尝试，随后阻止后续恶意响应。
• NAT解毒剂通过从同一自治系统内的地址池中为解析器分配随机源IP地址，提高源IP的熵值。
• 在网关上实现生日保护机制，将针对同一资源记录的重复DNS请求限制为仅一个。
• 网关维护一个出站DNS请求表，仅转发每个查询的第一个响应，丢弃后续重复响应。
• 系统使用防火墙规则捕获并排队端口53上的DNS数据包，实现对数据包的实时处理和响应构造。
• 概念验证实现表明，网关能够为所有待处理请求构造并转发匹配的响应，确保解析的一致性。

实验结果

研究问题

• RQ1 能否在不修改DNS解析器或依赖DNSSEC的前提下，实现有效且单边的DNS缓存投毒防御？
• RQ2 当解析器级别的防护被绕过时，网关级别的机制如何检测并阻止投毒攻击？
• RQ3 通过在网关级别对源IP进行随机化，可实现多大的熵值提升？这如何影响攻击的可行性？
• RQ4 能否在网关级别有效实施生日保护，以防止基于生日悖论的攻击向量？
• RQ5 网关如何在保持低延迟和高吞吐量的前提下，区分合法响应与伪造响应？

主要发现

• 夹心解毒剂通过验证响应字段并丢弃同一查询的后续响应，成功检测并阻止了DNS缓存投毒尝试。
• NAT解毒剂通过从可用地址池中轮换源IP地址，将DNS请求的有效熵值提高了高达2^11倍。
• 在网关上实施生日保护可防止重复查询被处理，从而有效中和基于生日悖论的攻击向量。
• 基于网关的生日保护机制即使在解析器不支持该功能的情况下，也能将同一资源记录的并发请求数限制为一个。
• 所提出的防御机制简单高效，可直接部署于现有网络基础设施中，无需修改DNS解析器或广泛部署DNSSEC。
• 概念验证代码表明，网关能够为所有待处理请求构造并转发匹配的响应，确保DNS解析的一致性与安全性。