DNSSEC birgt einige Risiken, die jedoch nicht direkt mit der Reflexion oder Verstärkung zusammenhängen. Die Erweiterung der EDNS0-Nachrichtengröße ist in diesem Fall ein roter Hering. Lassen Sie mich erklären.
Jeder Austausch von Paketen, der nicht von einem vorherigen Identitätsnachweis abhängt, wird von DDoS-Angreifern missbraucht, die diesen nicht authentifizierten Paketaustausch als Reflektor und möglicherweise auch als Verstärker verwenden können. Zum Beispiel kann ICMP (das Protokoll hinter "Ping") auf diese Weise missbraucht werden. Ebenso das TCP-SYN-Paket, das bis zu 40 SYN-ACK-Pakete abruft, selbst wenn das SYN-Paket von einem Opfer gefälscht wurde, das diese SYN-ACK-Pakete nicht haben möchte. Und natürlich sind alle UDP-Dienste für diesen Angriff anfällig, einschließlich NTP, SSDP, uPNP und, wie in anderen Antworten angegeben, auch DNS.
Die meisten Intrusion-Detection-, Intrusion-Prevention- und Load-Balancer-Appliances sind Engpässe, die nicht mit dem "Line-Rate" -Verkehr Schritt halten können. Außerdem können viele Router und einige Switches nicht mit Leitungsgeschwindigkeit betrieben werden. Diese Engpässe sind das kleinste "auf dem Weg" und kleiner als die Verbindungen selbst. Sie sind das eigentliche Ziel überlastungsbasierter DDoS-Angriffe. Wenn Sie die Firewall einer Person mit dem Angriffsverkehr beschäftigen können, wird kein guter Verkehr durchgelassen, auch wenn die Links nicht voll sind. Und was eine Firewall verlangsamt, ist nicht die Gesamtzahl der Bits pro Sekunde (die durch die Verwendung größerer Nachrichten und EDNS0 und DNSSEC erhöht werden kann), sondern die Gesamtzahl der Pakete pro Sekunde.
Es gibt viele urbane Legenden darüber, wie DNSSEC DDoS aufgrund der größeren Nachrichtengröße von DNSSEC verschlimmert, und obwohl dies intuitiv sinnvoll ist und "gut klingt", ist es einfach falsch. Aber wenn diese Legende ein bisschen wahr wäre, würde die wahre Antwort immer noch an anderer Stelle liegen - [da DNSSEC immer EDNS0 verwendet, aber EDNS0 ohne DNSSEC verwendet werden kann], und viele normale Nicht-DNSSEC-Antworten sind so groß wie DNSSEC Antwort wäre. Berücksichtigen Sie die TXT-Datensätze, die zur Darstellung von SPF-Richtlinien oder DKIM-Schlüsseln verwendet werden. Oder einfach eine große Anzahl von Adress- oder MX-Einträgen. Kurz gesagt, für keinen Angriff ist DNSSEC erforderlich, und daher ist jede Konzentration auf DNSSEC als DDoS-Risiko eine Fehlleistung.
DNSSEC hat Risiken! Es ist schwer zu benutzen und schwieriger, es richtig zu benutzen. Häufig ist ein neuer Arbeitsablauf für die Änderung von Zonendaten, die Registrierung und die Installation neuer Serverinstanzen erforderlich. All dies muss getestet und dokumentiert werden, und wenn etwas im Zusammenhang mit DNS kaputt geht, muss die DNSSEC-Technologie als mögliche Ursache untersucht werden. Und das Endergebnis, wenn Sie alles richtig machen, ist, dass Ihre eigenen Online-Inhalte und -Systeme als Zonensignierer für Ihre Kunden anfälliger sind. Als Server-Betreiber am fernen Ende wird das Ergebnis sein, dass die Inhalte und Systeme aller anderen für Sie anfälliger sind. Diese Risiken überwiegen häufig die Vorteile, da der einzige Vorteil darin besteht, DNS-Daten vor Änderungen oder Ersetzungen während des Flugs zu schützen. Dieser Angriff ist so selten, dass er diese Mühe nicht wert ist. Wir alle hoffen, dass DNSSEC eines Tages aufgrund der neuen Anwendungen, die es ermöglichen wird, allgegenwärtig wird. Die Wahrheit ist jedoch, dass DNSSEC heute nur noch Kosten, keinen Nutzen und hohe Risiken birgt.
Wenn Sie also DNSSEC nicht verwenden möchten, ist dies Ihr Vorrecht, aber lassen Sie sich nicht verwirren, dass das Problem von DNSSEC seine Rolle als DDoS-Verstärker ist. DNSSEC spielt keine notwendige Rolle als DDoS-Verstärker. Es gibt andere günstigere und bessere Möglichkeiten, DNS als DDoS-Verstärker zu verwenden. Wenn Sie DNSSEC nicht verwenden möchten, lassen Sie es sein, weil Sie die Kool Aid noch nicht getrunken haben und ein Last-Mover (später) und kein First-Mover (jetzt) sein möchten.
DNS-Inhaltsserver, die manchmal als "Autoritätsserver" bezeichnet werden, müssen daran gehindert werden, als DNS-reflektierende Verstärker missbraucht zu werden, da DNS UDP verwendet und UDP durch gefälschte Quellpakete missbraucht werden kann. Sie können Ihren DNS-Inhaltsserver nicht vor dieser Art von Missbrauch schützen, indem Sie UDP blockieren, TCP erzwingen (mit dem TC = 1-Trick), die ANY-Abfrage blockieren oder DNSSEC deaktivieren. Keines dieser Dinge wird dir helfen. Sie benötigen eine Begrenzung der DNS-Antwortrate(DNS RRL), eine völlig kostenlose Technologie, die jetzt auf mehreren Open-Source-Nameservern wie BIND, Knot und NSD verfügbar ist. Sie können das Problem mit der DNS-Reflektion mit Ihrer Firewall nicht beheben, da nur eine inhaltsbezogene Middlebox wie der DNS-Server selbst (mit RRL) über die Anforderung ausreichend Bescheid weiß, um genau zu erraten, was ein Angriff ist und was nicht. Ich möchte noch einmal betonen: DNS RRL ist kostenlos, und jeder Autoritätsserver sollte es ausführen.
Abschließend möchte ich meine Vorurteile aufdecken. Ich habe den größten Teil von BIND8 geschrieben, EDNS0 erfunden und DNS RRL miterfunden. Ich arbeite seit 1988 als 20-Jähriger an DNS, und jetzt bin ich ein mürrischer 50-Jähriger, mit immer weniger Geduld für halbherzige Lösungen für missverstandene Probleme. Bitte nehmen Sie meine Entschuldigung an, wenn diese Nachricht zu sehr nach "Hey, Kinder, verschwinde von meinem Rasen!" Klingt.