TCVN11237-3:2015

Tiêu chuẩn quốc gia TCVN 11237-3:2015 về Giao thức cấu hình động Internet phiên bản 6 (DHCPv6) - Phần 3: Các tùy chọn cấu hình DNS TIÊU CHUẨN QUỐC GIA TCVN 11237-3:2015 GIAO THỨC CẤU HÌNH ĐỘNG CHO INTERNET PHIÊN BẢN 6 (DHCPV6) - PHẦN 3: CÁC TÙY CHỌN CẤU HÌNH DNS Dynamic host con f iguration protocol for IPv6 (DHCPv6) - Part 3: DNS con f iguration options for dynamic host con f iguration protocol for IPv6 (DHCPv6) Lời nói đầu TCVN 11237-3:2015 được xây dựng trên cơ sở tài liệu IETF RFC 3646:2003 (Các tùy chọn cấu h ì nh DNS cho DHCPv6) của Nhóm đặc trách về kỹ thuật Internet ( IETF). TCVN 11237-3:2015 do Vụ Khoa học và Công nghệ biên soạn, Bộ Thông tin và Truyền thông đề nghị, Tổng cục Tiêu chuẩn Đo lường Chất lượng th ẩ m định, Bộ Khoa học và Công nghệ công bố. Bộ tiêu chuẩn TCVN 11237 Giao thức cấu hình động cho Internet phiên b ả n 6 (DHCPv6) gồm ba phần: - TCVN 11237-1:2015, Phần 1: Đặc tả giao thức; - TCVN 11237-2:2015, Phần 2: Dịch vụ DHCP không giữ trạng th á i cho IPv6; - TCVN 11237-3:2015, Phần 3: Các tùy chọn c ấ u hình DNS. GIAO THỨC CẤU HÌNH ĐỘNG CHO INTERNET PHIÊN BẢN 6 (DHCPV6) - PHẦN 3: CÁC TÙY CHỌN CẤU HÌNH DNS Dynamic host con f iguration protocol for IPv6 (DHCPv6) - Part 3: DNS con f iguration options for (DHCPv6) 1 . Phạm vi áp dụng Tiêu chuẩn này mô tả hai tùy chọn để chuyển thông tin cấu hình liên quan đến d ị ch vụ tên miền (DNS) trong TCVN 11237-1:2015. Trong Tiêu chu ẩ n này DHCP được hiểu l à DHCPv6. 2 . Tài liệu viện dẫn Tài liệu viện dẫn sau rất cần thiết cho việc áp dụng tiêu chuẩn này. Đ ố i với các tài liệu viện dẫn ghi năm công bố thì áp dụng phiên bản được nêu. Đối với các tài liệu viện dẫn không ghi năm công bố thì áp dụng phiên bản mới nhất, bao gồm c ả sửa đổi, bổ sung (nếu có). TCVN 11237-1:2015, Giao thức cấu hình động cho Internet phiên bản 6 (DHCPv6) - Phần 1: Đặc tả giao thức; IETF RFC 1035, Domain names - implementation and pecification, 1987 (Các tên miền - đặc điểm kỹ thuật và thực hiện) ; IETF RFC 2119, Key w ords for use in RFCs to Indicate Requirement Levels, 1997 (Các từ khóa dùng trong RFC để ch ỉ báo các mức độ yêu c ầ u) ; IETF RFC 2535, Domain Name System Security Extensions, 1999 (Các mở rộng bảo mật cho hệ thống tên miền) ; IETF RFC 1536, Common DNS Implementation Errors and Suggested Fixes, 1993 (C á c lỗi thực thi và khuyến nghị sửa lỗi thường gặp cho DNS) . 3 . Thuật ngữ và định nghĩa Tiêu chuẩn này sử dụng các thuật ngữ và định nghĩa được nêu trong TCVN 11237-1:2015 và các thuật ngữ và định nghĩa sau: 3.1 . Bộ phân giải DNS (DNS Resolver) DNS phía máy khách có trách nhiệm kh ở i tạo và thiết đặt trình tự của các truy vấn để có thể dịch đổi đầy đủ, hoàn thiện của một tìm kiếm đã kh ở i tạo. Ví dụ, dịch đổi một tên miền thành một địa chỉ IP. 3.2. FQDN (Fully Quali f ied Domain Name) Địa chỉ tên miền to à n bộ, bao gồm c ả tên của máy ch ủ lưu trữ tên miền và tên miền cấp cao nhất. 4 . Tùy chọn máy chủ tên miền DNS đệ quy Tùy chọn máy chủ tên miền DNS đệ quy cung cấp danh sách một hoặc nhiều địa chỉ IPv6 của các máy chủ tên miền DNS đệ quy mà bộ phân giải DNS của máy khách có thể gửi các truy vấn DNS tới các địa chỉ đó. Các máy ch ủ DNS được liệt kê theo thứ tự ưu tiên để bộ phân giải DNS của máy khách sử dụng. Định dạng của Tùy chọn máy chủ tên miền DNS đệ quy như sau: Mã tùy chọn: OPTION_DNS_SERVERS (mã 23) Option-len: Độ dài Danh sách các máy chủ tên miền DNS đệ quy tính bằng octet và phải là bội của 16 DNS-recursive-name-server: Địa chỉ IPv6 của mỗi máy chủ tên miền DNS đệ quy 5 . Tùy chọn danh sách tìm kiếm miền Tùy chọn danh sách tìm kiếm miền xác định danh sách tìm ki ế m miền mà máy khách sử dụng khi phân giải tên máy ch ủ (hostname) với DNS. Tùy chọn này không áp dụng đối với các cơ chế phân giải tên khác. Định dạng của Tùy chọn danh sách t ì m kiếm miền như sau: Mã tùy chọn: OPTION_DOMAIN_LIST (mã 24) option-len: Độ dài của trường “searchlist" t í nh b ằ ng octet searchlist: B ả n danh sách tên miền trong danh sách tìm kiếm miền Danh sách tên miền trong “searchlist” PHẢI được mã hóa như quy định trong Điều 8 - Biểu diễn và sử dụng các tên miền trong TCVN 11237-1:2015. 6 . Sự xu ấ t hiện của các tùy chọn Tùy chọn máy chủ tên miền DNS đệ quy KH Ô NG ĐƯỢC xuất hiện trong các bản tin trừ các bản tin sau đây: Solicit, Advertise, Request, Renew, Rebind, lnformation-Request và Reply. Tùy chọn danh sách t ì m kiếm miền KHÔNG ĐƯỢC xuất hiện trong các bản tin trừ các bản tin sau đây: Solicit, Advertise, Request, Renew, Rebind, In f ormation-Request và Reply. 7 . Vấn đề bảo mật Tùy chọn máy chủ tên miền DNS đệ quy có thể được sử dụng b ở i một máy ch ủ DHCP xâm nhập làm cho các máy khách DHCP gửi các yêu cầu DNS đ ế n máy chủ tên miền DNS đệ quy xâm nhập. Kết quả là các yêu cầu DNS sai hướng có thể được sử dụng để giả mạo các t ê n DNS. Để tránh các cuộc tấn công bằng Tùy chọn máy chủ tên miền DNS đệ quy, máy khách DHCP NÊN yêu cầu xác thực DHCP ( xem Điều 21 - Xác thực các bản tin DHCP trong TCVN 11237-1:2015) trước khi cài đặt danh sách các máy chủ tên miền DNS đệ quy có được thông qua DHCP đã xác thực. Tùy chọn danh sách t ì m kiếm miền có thể được sử dụng b ở i một máy ch ủ DHCP thâm nhập làm cho các máy khách DHCP tìm kiếm thông qua các miền không hợp lệ với các tên miền được xác định một cách chưa hoàn c h ỉ nh. Kết quả l à các quá trình tìm kiếm sai hướng này có thể được sử dụng để gi ả mạo máy ch ủ DNS. Chú ý rằng việc hỗ trợ cho DNSSEC sẽ không ngăn chặn việc tấn công này, b ở i vì các bản ghi tài nguyên trong các miền không chính xác có thể được xác định là hợp pháp. Mức độ mà máy chủ dễ bị tấn công thông qua tùy chọn tìm kiếm miền không chính xác được xác định một phần b ở i bộ phân giải DNS. RFC 1535 ch ứ a thông tin về các điểm yếu b ả o mật liên quan đến ẩn hoặc hiện các danh sách tìm kiếm miền và cung cấp các khuyến nghị liên quan đến việc xử lý danh sách tìm kiếm của bộ phân giải. Điều 6 của RFC 1536 cũng chỉ ra ph ầ n dễ bị tấn công này và khuyến nghị đối với các bộ phân giải: - Sử dụng các danh sách t ì m kiếm chỉ khi đã hiện rõ; không cần sử dụng các danh sách tìm kiếm ẩn. - Phân giải tên chứa các chấm (.) bất kỳ bằng việc đầu tiên thử tên miền đó như một FQDN và nếu không thành công thì thêm các tên trong danh sách tìm kiếm. - Phân giải tên không chứa các dấu chấm (.) bằng cách thêm danh sách tên hợp lý, nhưng một lần nữa không cần sử dụng các danh sách tìm kiếm ẩn. Để giảm thi ể u khả năng bị tấn công, khuyến nghị rằng: - Các máy chủ triển khai tùy chọn tìm kiếm tên cũng NÊN triển khai các khuyến nghị danh sách tìm kiếm trong Điều 6 của RFC 1536; - Nếu các tham số DNS như là danh sách miền hoặc các máy ch ủ DNS được cấu hình nhân công, thì các tham số này KHÔNG NÊN bị kiểm soát bởi DHCP; - Máy chủ NÊN yêu cầu sử dụng xác thực DHCP (xem Điều 21 - Xác thực các b ả n tin DHCP trong TCVN 11237-1:2015) trước khi chấp nhận tùy chọn tìm kiếm mi ề n. 8 . Vấn đề liên quan đến IANA IANA ấn định một mã tùy chọn cho Tùy chọn máy chủ tên miền DNS đệ quy (mã 23) và Tùy chọn danh sách tìm kiếm miền (mã 24) từ không gian mã tùy chọn DHCP quy định trong Điều 24 - Các vấn đề về IA_NA trong TCVN 11237-1:2015. THƯ MỤC TÀI LIỆU THAM KHẢO 1. IETF RFC 1034, Domain names - concepts and faci l ities, 1987 (Tên miền - các khái niệm và thiết bị); 2. IETF RFC 1535, A Security Problem and Proposed Correction With Widely Deployed DNS Software, 1993 (Vấn đề an ninh và hiệu chỉnh được đề xuất đối với phần mềm DNS triển khai diện rộng); 3. IETF RFC 3397, Dynamic Host Con f iguration Protocol (DHCP) Domain Search Option, 2002 (Tùy chọn tìm kiếm tên miền của DHCP). MỤC LỤC 1 . Phạm vi áp dụng 2 . Tài liệu viện dẫn 3 . Thuật ngữ và định nghĩa 4 . Tùy chọn máy chủ tên miền DNS đệ quy 5 . Tùy chọn danh sách tìm kiếm miền 6 . Sự xuất hiện của các tùy chọn 7 . Vấn đề bảo mật 8 . Vấn đề liên quan đến IA_NA Thư mục tài liệu tham khảo