DNS
Gizlilik ve İzleme Sorunları

Etki Alanı Adı Sistemi (DNS), orijinal olarak kullanıcı gizliliği dikkate alınmadan geliştirilmiştir ve bu nedenle, belirli ağ etkinliğiyle (ör. kullanılan uygulamalar, ziyaret edilen web siteleri, iletişim kurulan kişiler vb.) ilişkilendirilebilecek DNS sorguları ve yanıtları hakkında bilgi sızdırabilir). Kapsamlı izleme, protokol geliştirmede önemli bir endişe haline geldiğinden, önemli İnternet protokollerinin gizlilik özelliklerini iyileştirmeyi amaçlayan bir dizi çaba gösterilmiştir. “DNS Gizliliği”, Alan Adı Sisteminde son zamanlarda yapılan gizlilik iyileştirmelerini ifade eder.
DNS Gizliliğinin Etkileri
Trafiğinizin HTTPS üzerinden aktığı durumlarda bile, DNS sorgunuz gözlemlenebilir ve kolayca okunabilir. Saldırganlar, DNS trafiğini gözlemleyerek, ziyaret ettiğiniz web sitelerine dayalı olarak, bu web sitelerindeki eylemleriniz şifrelenmiş olsa bile, sizin hakkınızda önemli bilgiler elde edebilir. İSS'ler, DNS trafiğinizi gözlemleme yeteneğine sahiptir ve İSS'nizin DNS sunucusunu varsayılan DNS sunucunuz olarak kullanırsanız hatalı davranış riski daha da artar. Gözlemlenebilir sorgu içerikleri, hükûmetin içeriği birçok nedenden dolayı sansürlemesine neden olabilir.
DNS Güvenliğini Çözme – DNSSEC Genel Bakış
Etki Alanı Adı Sistemi Güvenlik Uzantıları (DNSSEC), geriye dönük uyumluluğu korurken özgünlük ve bütünlük sağlamayı amaçlar. DNSSEC uyumlu sunucuların yanıtları her düzeyde (root, TLD vb.) dijital olarak imzalanır. Cevapları inceleyerek ve imzaları doğrulayarak bir güven zinciri kurulabilir. Kimlik doğrulama zincirini tamamlamak için, DNS dışındaki bir kaynaktan, örneğin işletim sistemi veya başka yollarla elde edilen bir güven çapası gerekir. DNSSEC'nin çalışması için çözüm yolundaki her DNS sunucusunun doğru şekilde yapılandırılması gerekir. Bu, yanıtın dijital imzasını içeren RRSIG gibi yeni DNS kayıt türlerinin kullanılmasını gerektirir. İmzaların eklenmesi, sunucuların anahtarları (Bölge İmzalama Anahtarı ve Anahtar İmzalama Anahtarı) işlemesi gerektiği anlamına gelir ve ekstra görevler, sunucunun kendisinde ek yük anlamına gelir. internetsociety.org'da birden fazla DNSSEC istatistiği mevcuttur, bunlar size DNSSEC'nin şu anda ne kadar yaygın olduğu hakkında bir fikir vermelidir.
Gizliliği Çözme – TLS Üzerinden DNS
DNS over TLS (DoT), şifrelenmiş DNS trafiğini kullanarak gizlilikle ilgili kaygıları ortadan kaldırmayı amaçlar. Bağlantı iyi bilinen bir bağlantı noktası (RFC7858'e göre varsayılan olarak 853 bağlantı noktası) üzerinden kurulur, istemciler ve sunucular birbirlerinin bir TLS oturumu üzerinde anlaşmasını bekler ve ardından gelen trafik şifrelenir. Doğal olarak, DNS sunucusuna güven tesis edilmelidir. Sunucunun TLS sertifikası, istemci tarafından, örneğin, saklanan bir değere karşı sertifikanın hash'ini kontrol ederek doğrulanmalıdır. DoT'nin piyasaya sürülmesi kademelidir, bazı isim sunucuları henüz bunları desteklememektedir. DoT'nin ayrı bir bağlantı noktası kullandığından, belirli ortamlarda bayraklara neden olabilecek DNS sorguları için kullandığınız açık olacaktır.
Son yıllarda IETF, DNS gizliliğini iyileştirmek için şifreleme ve kimlik doğrulama için üç protokol üretti:
DoT: TLS üzerinden DNS, şifreleme yoluyla gizlilik sağlamak için DoT kullanımını belirten, RFC (yorum talebi) 7858'de tanımlanan standartları takip eden bir protokoldür.
DoD: RFC 8094'te tanımlanan deneysel bir protokol, Datagram Aktarım Katmanı Güvenliği üzerinden DNS, TLS'nin TCP trafiğini koruma yöntemine benzer şekilde, Kullanıcı Datagram Protokolü trafiğini korumak için DTLS protokolüne dayanır.
DoH: RFC 8484'te tanımlanan başka bir standart izleme protokolü olan HTTPS üzerinden DNS, TLS üzerinden HTTP trafiği gönderme protokolünü tanımlayan HTTP Güvenli protokolü üzerinden DNS sorguları ve yanıtları göndermek için bir mekanizma sağlar.