DNSSEC
IT위키
더 많은 작업
- DNS Security Extensions
- DNS 대상의 "데이터 위조-변조 공격"을 방지하기 위한 인터넷 표준기술
- DNSSEC을 이용해서 막을 수 있는 공격
| 공격유형 | 방어여부 | 비고 |
|---|---|---|
| 파밍 (캐시 포이즈닝) | 방어/방지 | - DNS 데이터 위-변조 방식 이용 공격에 효과적 대응 |
| 피싱 | 해당없음 | - 피싱은 유사 도메인네임 사용하지만, 데이터 위-변조에 해당하지 않음 |
| DDoS 공격 | 해당없음 | - DDoS 공격방어 메커니즘이 아님 |
| 웜바이러스에 의한 호스트 정보변조 | 해당없음 | - DNSSEC은 DNS 질의응답 절차관련 "데이터 위-변조" 방지기술 |
| 구분 | 내용 |
|---|---|
| 제공한다 | 데이터 출처 인증(응답이 그 영역의 정당한 관리자가 서명한 것인지)과 데이터 무결성(전달 중 바뀌지 않았는지). 없는 이름이라는 응답도 NSEC·NSEC3 레코드로 증명한다 |
| 제공하지 않는다 | 기밀성. 질의와 응답을 암호화하지 않으므로 내용은 그대로 보인다. 전송 구간 암호화는 DNS over TLS(DoT), DNS over HTTPS(DoH)가 맡는다 |
| 제공하지 않는다 | 성능 향상. 캐싱 기능이 아니며, 서명 레코드가 붙어 응답이 오히려 커진다 |
- RRSIG : 레코드 집합에 대한 전자서명
- DNSKEY : 영역 서명 키(ZSK)·키 서명 키(KSK)의 공개 키
- DS : 상위 영역에 등록하는 하위 영역 키의 해시. 루트에서 내려오는 신뢰 체인을 만든다
- NSEC, NSEC3 : 그 이름이 없음을 증명한다
- 윈도우 서버는 2008 R2 부터 DNS 서버에서 DNSSEC 을 지원했고, 2012 부터는 DNS 관리자의 영역 서명 마법사로 영역에 바로 서명한다. Windows Server 2016·2019·2022 의 DNS 서버도 지원한다 → 윈도우 서버
- BIND 는 dnssec-keygen 으로 키를 만들고 dnssec-signzone 으로 영역에 서명한다