DNSSEC sobre

Question

Estou fazendo essa pergunta como software (e também porque houve algumas perguntas do DNSSEC aqui no passado).

http://en.Wikipedia.org/wiki/DNS_cache_poisoning#Prevention_and_mitigation

Eu vi isso na Wikipedia e imaginei se alguém poderia explicar isso para mim:

"As stated above, source port randomization for DNS requests, combined with the use of cryptographically-secure random numbers for selecting both the source port and the 16-bit cryptographic nonce, can greatly reduce the probability of successful DNS race attacks"

Eu não entendo como a randomização de portas impediria ataques de envenenamento de DNS no lado do cliente? Ou isso é apenas referindo-se ao servidor DNS? A mesma randomização de porta poderia ser usada no lado do cliente?

    

Answer 1

As solicitações DNS são sempre de um cliente para o servidor, portanto, a porta de origem está no lado do cliente e é aquela que precisa ser randomizada.

A resposta do servidor vem da porta 53 para a porta de origem original no lado do cliente. Como você provavelmente imaginou a partir de sua leitura, se a próxima porta de origem usada pelo cliente puder ser prevista, então uma resposta poderá ser falsificada antes da resposta real.

Observe que um servidor DNS é, ele próprio, um cliente quando não é a autoridade de um domínio solicitado e tem a recursão ativada. Então você pergunta ao seu servidor DNS o endereço IP do Google.com, então esse servidor DNS é desligado e consulta os servidores-raiz para descobrir a resposta. É aqui que é vital que as respostas sejam reais, pois o servidor DNS solicitante armazenará em cache todas as respostas e as fornecerá como respostas para quaisquer solicitações subsequentes.

Se eu pudesse prever a porta de origem que seu servidor DNS de ISP usaria para a próxima consulta, eu poderia injetar minha própria resposta à solicitação antes da resposta real, então seu DNS do ISP seria envenenado para todos que a usassem.

(note que este cenário é muito simplificado por causa da clareza (esperançosa))