DNSSEC คืออะไร และองค์กรใช้เพื่อความปลอดภัยเครือข่ายอย่างไร

DNSSEC ใช้ Cryptography ป้องกัน Network Traffic อย่างไร

DNSSEC (Domain Name System Security Extensions) ปกป้องผู้ใช้และแอปพลิเคชันจาก DNS Data ปลอมหรือทำลาย โดยเซ็น Authoritative Zone Data เมื่อเข้าสู่ DNS และ Validate ที่ปลายทางด้วย Public Key Cryptography ต้องมี Private/Public Key Pair อย่างน้อย 1 คู่ต่อ Zone

วัตถุประสงค์ของ DNSSEC

เป้าหมายหลัก: ป้องกัน Spoofing โดย Authenticate DNS Responses

DNSSEC แก้ไขปัญหาความปลอดภัย DNS อย่างไร

DNSSEC สร้างขึ้นเพื่อแก้ปัญหา DNS ทั่วไป ใช้ Digital Signature เซ็นข้อมูล รับรองความถูกต้อง ป้องกันการโจมตี Digital Signatures ให้ Data Integrity

DNSSEC Implement (นำไปใช้) อย่างไร

ใช้ Digital Signatures ใน DNS Lookups ต้องมี Chain of Trust เริ่มจาก Verified Public Keys ของ DNS Root Zone เพื่อ Verify DNSKEY Record

DNSSEC ป้องกันอะไร

ป้องกัน DNS Attacks: DNS Cache Poisoning, DNS Spoofing ปกป้อง Data ระหว่าง Signed Zones ไม่ได้ปกป้องทั้ง Server ไม่ให้ Privacy

DNSSEC ใน Network Security คืออะไร

DNSSEC ใช้ Digital Signatures บน Public Key Encryption เสริม DNS Authentication เซ็น DNS Data เอง ไม่ใช่ DNS Queries/Responses

3 บริการพื้นฐานของ DNSSEC

1. Data Origin Authentication: Resolver ยืนยันข้อมูลมาจาก Zone ที่ขอ โดย Verify ทาง Cryptography
2. Data Integrity Protection: Private Key ของ Zone Owner + Data Integrity = Resolver รู้ว่าข้อมูลไม่ถูกแก้ไขระหว่างทาง
3. (ข้อ 3 ไม่ชัดเจนในต้นฉบับ - อาจเป็น Authenticated Denial of Existence)

DNSSEC จำเป็นหรือไม่

DNSSEC = ส่วนสำคัญของ Enterprise DNS Security ยุคใหม่ ธุรกิจควรใส่ใจปกป้องข้อมูลลูกค้าและธุรกิจ DNSSEC ช่วยด้านนี้

DNSSEC Mitigate (บรรเทา) อะไร

ช่วย Verify DNS Requests ลดความเสี่ยง DNS Spoofing DNSSEC Response ใหญ่กว่า (มี Fields เพิ่ม + Crypto Info สำหรับ Verify Records/Identity)

ปรับปรุง DNS Security อย่างไร

• หลายชั้นป้องกัน (Multi-layer) ลดผลกระทบ DDoS
• Segmentation แยก Nameservers
• Resolver ที่ไม่ใช่ Open Source
• DNSSEC (DNS Security Extensions)
• ปรับปรุง DNS Network ให้ Resilient

ปัญหาความปลอดภัย DNS มีอะไรบ้าง

DNS Hijacking, Tunneling, Phishing, Cache Poisoning, DDoS Attacks - ภัยคุกคามเพิ่มขึ้นและพัฒนาตลอดเวลา

DNSSEC Enabled แล้วหรือไม่

ต้อง Deploy ให้กว้างขวางสำหรับ Internet Security ปัจจุบัน: ไม่ Enable อัตโนมัติ Network Operators ต้อง Enable ที่ Recursive Resolvers Domain Owners ต้อง Enable ที่ Authoritative Servers ใน Zone ของตน

ตรวจสอบ DNSSEC Enabled อย่างไร

• Verify Signatures: Root Zone หรือ WHOIS Record
• ตรวจ RRSIG และ DS Records บน Domains
• ติดตามวันหมดอายุ DS Records
• จำกัด RRSIG Validity Period
• Centralized DNS Management

DNSSEC ใช้จริงหรือไม่

เกือบ 90% TLDs รองรับ DNSSEC แต่ยังไม่ Deploy/Implement ใช้จริงมาก เช่น 30% Keys ใน DNS ถูก Compromise ผู้ใช้ไม่ไว้วिश DNSSEC Signed Data

DNSSEC No หมายถึงอะไร

DNSSEC เพิ่ม Cryptographic Authentication ให้ DNS Responses จาก Authoritative DNS Servers ขยาย DNS Protocol ป้องกัน Hacker นำทางไป Rogue Websites/Servers