Vliv šifrovaného DNS na síťovou bezpečnost

Abstract

Šifrované DNS vzniklo jako odpověď na zvýšené obavy uživatelů ohledně soukromí a zpracování dat. Masové sledování doménových jmen bylo v minulosti prokázáno u několika amerických poskytovatelů internetu, ale i u tajných služeb v rámci rámci rozsáhlých špionážních programů jako byly MORECOWBELL a QUANTUMDNS. Šifrování doménových jmen značně snižuje možnost jejich odposlechu a případného zneužití k profilování uživatelů, na druhou stranu ale zabraňuje i jejich legitimnímu použití. Analýza doménových jmen je naprosto zásadní při detekci síťové aktivity malwaru. Využití šifrovaného DNS má tedy i negativní dopad na síťovou bezpečnost. Tato dizertační práce se zabývá mapováním dopadů šifrovaného DNS na bezpečnost uživatelů a vývojem metod analýzy šifrovaného provozu, které mohou zmírnit dopady snižené viditelnosti do provozu. Práce obsahuje následující hlavní přínosy: - Vyhodnocování adopce šifrovaného DNS. - Popis zneužívání šifrovaného DNS ke škodlivým účelům. - Vytvoření a vyhodnocení nového detektoru šifrovaného DNS.

The encrypted DNS is a natural response of the engineering community to the privacy concerns raised due to domain name misuse by internet service providers, threat actors, or government surveillance programs such as MORECOWBELL or QUANTUMDNS. However, visible domain names are essential for network intrusion detection, and their encryption has a great impact on security. This dissertation thesis maps the impacts of encrypted DNS on security, its state of deployment, and the possibilities of encrypted traffic analysis to overcome the reduced visibility. We partnered our research with the CESNET association, which is a Czech national education and research network operator, which kindly provided us with the anonymized flow-based telemetry that we used in our studies. In particular, the main contributions of the dissertation thesis are: 1. Evaluation of encrypted DNS adoption. 2. Description of encrypted DNS misuse by threat actors. 3. Design and evaluation of flow-based encrypted DNS detectors.