Le système de noms de domaine : un outil et une cible pour les mesures à l'échelle d'internet

The domain name system : a tool and a target for internet-wide measurements

• Auteur / Autrice : Yevheniya Nosyk
• Direction : Andrzej Duda, Maciej Korczynski
• Type : Thèse de doctorat
• Discipline(s) : Informatique
• Date : Soutenance le 26/11/2024
• Etablissement(s) : Université Grenoble Alpes
• Ecole(s) doctorale(s) : École doctorale Mathématiques, sciences et technologies de l'information, informatique (Grenoble ; 1995-....)
• Partenaire(s) de recherche : Laboratoire : Laboratoire d'informatique de Grenoble (Isère, France ; 2007-....)
• Partenaire(s) de recherche : Equipe de recherche : Equipe de recherche Drakkar (Grenoble ; 20..-....)
• Jury : Président / Présidente : Clément Pernet
• Jury : Examinateurs / Examinatrices : Guillaume Urvoy-Keller
• Jury : Rapporteurs / Rapporteuses : Philippe Owezarski, Cristel Pelsser

Mots clés

Mots clés contrôlés

BIND (système de résolution de noms)

Mots clés libres

Dns

Mesures passives et actives

Outils de mesure

Dns

Passive and active measurements

Measurement tools

Résumé

Le système de noms de domaine (DNS) est l'un des protocoles Internet les plus anciens à ce jour, son histoire remontant à 1987 lorsqu'il a été normalisé sous sa forme actuelle. L'Internet se développant rapidement, il était nécessaire de disposer d'un système de dénomination extensible, interopérable et distribué pour remplacer le fichier texte contenant les correspondances entre les adresses et les noms lisibles par l'homme. Bien que le DNS n'ait pas pris en compte les aspects de sécurité au départ, il a été modifié par la suite pour assurer l'authentification de l'origine, l'intégrité des données et la confidentialité des transactions. Il reste également très flexible pour s'adapter aux extensions futures du protocole.Le DNS a largement dépassé son objectif et sa taille d'origine. Il s'agit aujourd'hui d'un système extrêmement complexe qui compte plus de 460 demandes de commentaires (RFC), 362,4 millions de noms de domaine enregistrés et des millions de serveurs de noms faisant autorité et de résolveurs récursifs. C'est également l'un des composants les plus critiques de l'Internet, car de plus en plus d'opérations sont précédées d'une recherche de nom de domaine. Cette dépendance croissante à l'égard du DNS en fait une cible d'attaque attrayante, un outil d'attaque efficace et une victime de dommages collatéraux.Compte tenu de son ampleur, le DNS devient très opaque et, par conséquent, difficile à comprendre et à caractériser. Par conséquent, il est impossible de prévenir les pannes, les utilisations abusives et les mauvaises configurations si les rouages du système ne sont pas bien compris. Ce problème soulève des obstacles importants pour les chercheurs et les opérateurs dont l'objectif est de garantir la résilience de l'Internet face à de nombreuses menaces. D'un autre côté, on peut considérer l'infrastructure DNS comme un ensemble de points d'observation distribués offrant une vue unique des réseaux sous-jacents, auquel cas l'échelle devient un avantage. En l'absence de plates-formes de mesure à large couverture, les serveurs DNS peuvent être utilisés comme nœuds de mesure.Cette thèse aborde les questions de recherche suivantes : 1) L'étendue des vulnérabilités du DNS mondial peut-elle être quantifiée et évaluée de manière efficace ? et 2) Le DNS peut-il être utilisé comme un outil fiable pour mesurer d'autres aspects de l'Internet ? Quatre contributions discutées dans le reste de la thèse abordent ces deux questions à l'aide d'outils de mesure passifs et actifs.La première contribution analyse le mécanisme des erreurs DNS étendues (EDE) et examine certaines des configurations erronées les plus courantes des noms de domaine enregistrés observées dans la nature. La deuxième contribution étudie dans quelle mesure les requêtes du serveur racine du DNS sont manipulées et propose un certain nombre de contre-mesures pour éviter l'impact négatif sur les utilisateurs finaux. La troisième contribution met en évidence de puissants méga-amplificateurs basés sur le DNS et émet l'hypothèse que la combinaison de boucles de routage et de boîtes intermédiaires est à l'origine du phénomène. La dernière contribution utilise les résolveurs DNS pour découvrir l'absence ou la présence de la validation de l'adresse source (SAV) dans les réseaux distants.

The Domain Name System (DNS) is one of the oldest Internet protocols to date, with its history dating back to 1987 when it got standardized in its current form. As the Internet was growing at a rapid pace, there was a need for an extensible, interoperable, and distributed naming scheme to replace the plain text file with address to human-readable name mappings. Despite DNS not considering security aspects at first, it was subsequently amended to provide origin authentication, data integrity, and transaction privacy. It also remains highly flexible to accommodate future protocol extensions.DNS has largely outgrown in the original purpose and size, and it is now an extremely complex system with over 460 Requests for Comments (RFCs), 362.4 million registered domain names, and millions of authoritative nameservers and recursive resolvers. It is also one of the most critical components of the Internet, as more and more operations are preceded by a domain name lookup. Such an increasing reliance on DNS makes it an attractive attack target, an efficient attack tool, and a victim of collateral damage.Given its scale, DNS is becoming highly opaque and, therefore, difficult to comprehend and characterize. As a result, one cannot prevent outages, misuse, and misconfigurations if the inner workings of the system are not well understood. This issue raises significant barriers to researchers and operators alike whose aim is to ensure that the Internet remains resilient in face of numerous threats. On the other hand, one can think of DNS infrastructure as a set of distributed measurement vantage points with a unique view of the underlying networks, in which case, the scale becomes an advantage. With the lack of wide-coverage measurement platforms, DNS servers can be used as measurement nodes themselves.This thesis addresses the following research questions: 1) Can the scope of vulnerabilities in the global DNS be effectively quantified and assessed? and 2) Can DNS be leveraged as a reliable tool for measuring other aspects of the Internet? Four contributions discussed in the remainder of the thesis address the two questions with the help of passive and active measurement tools.The first contribution analyzes the mechanism of the Extended DNS Errors (EDE) and discusses some of the most common misconfigurations of registered domain names observed in the wild. The second contribution investigates the extent to which DNS root server queries suffer from manipulation and proposes a number of countermeasures to avoid the negative impact on end users. The third contribution uncovers powerful DNS-based mega amplifiers and hypothesises that the combination of routing loops and middleboxes are behind the phenomenon. The final contribution uses DNS resolvers to infer the absence and the presence of inbound Source Address Validation (SAV) in remote networks.