Extensiones de seguridad del DNS (DNSSEC) y riesgo de ciberseguridad

Los sectores que recopilan datos de los usuarios, como el financiero, el sanitario y el gubernamental, son objetivos de alto perfil para los ataques de DNS porque los datos son atractivos para los actores malintencionados. La incorporación de una variedad de mitigaciones de seguridad, incluidas las extensiones de seguridad del sistema de nombres de dominio para evitar ataques de suplantación de identidad, puede ayudar a una organización a prevenir violaciones de datos y proteger a sus usuarios y sus datos del uso indebido.

En este artículo se describe cómo las extensiones de seguridad de DNS (DNSSEC) crean seguridad adicional para su dominio, aclaran la necesidad normativa para la implementación de DNSSEC y evalúan los riesgos asociados con el uso de DNSSEC.

¿Qué es DNSSEC?

DNS, o el Sistema de Nombres de Dominio, proporciona la infraestructura de enrutamiento para conectar a un visitante del sitio web a la dirección IP apropiada que corresponde con un nombre de dominio. Las extensiones de seguridad DNS, también conocidas como DNSSEC, ofrecen resolución de autenticidad para los registros DNS, verificando la firma del registro de recursos ([.rt-script]RRSIG[.rt-script]) con una clave pública almacenada en el registro ([.rt-script]DNSKEY[.rt-script]). En cierto sentido, DNSSEC recupera una firma para el registro DNS, confirmando que un sitio web es auténtico a través de la criptografía de clave pública. DNSSEC amplía el protocolo DNS con autenticación criptográfica.

Con DNSSEC habilitado para su dominio, un solucionador de DNS verificará los datos de DNS en busca de una cadena de confianza asociada con la configuración de autenticación de su dominio. El solucionador verificará que las firmas digitales se originen en una zona de confianza que se pueda confirmar criptográficamente, lo que se conoce como autenticación de origen de datos. Además, DNSSEC proporciona protección de la integridad de los datos contra los ataques de envenenamiento de caché de DNS para afirmar que los datos en tránsito no se han modificado para que el solucionador de DNS pueda devolver el sitio verificado al navegador del cliente. Si se produce un error en la autenticación y la validación, el solucionador devolverá un error en lugar del sitio web.

Sin estas disposiciones de seguridad, un solucionador podría redirigir a un usuario al sitio elegido por un atacante a través de la suplantación de DNS o el envenenamiento de la caché de DNS. La forma en que DNSSEC funciona con el origen, la autenticación y la integridad de los datos se detalla en la Solicitud de comentarios 4033 (RFC 4033) del Grupo de Trabajo de Ingeniería de Internet (IETF).

DNSSEC utiliza una cadena de confianza para afirmar la autenticidad de arriba hacia abajo desde la zona raíz. Los operadores de dominio de nivel superior (TLD) crean un anclaje de confianza para la zona raíz del DNS. La Autoridad de Números Asignados de Internet (IANA) coordina los recursos del DNS, incluida la administración de la zona raíz y las operaciones de clave de firma de claves para las conexiones anclaje de confianza de TLD. Cuando los TLD proporcionan un anclaje de confianza a la zona raíz del DNS, cualquier propietario de dominio que se registre con ese TLD puede configurar DNSSEC con una cadena de confianza que se resuelva en la zona raíz firmada y verificada. Puede encontrar más información sobre la firma y resolución de zonas en el RFC 4035 del IETF. Si se requiere la zona firmada (como es el caso cuando se implementa DNSSEC), entonces el acceso al dominio es más limitado, ya que debe estar autenticado, pero también está protegido contra ataques de adversarios en el medio.

Aunque DNSSEC agrega una función de autenticación beneficiosa para los dominios, aún no se ha implementado ampliamente. APNIC Labs informa que las tasas de validación de DNSSEC en todo el mundo ascienden al 40%, y el 8,35% de ellas son solo validación parcial.

DNSSEC y requisitos regulatorios de los Estados Unidos

Si bien las extensiones de seguridad de DNS no son obligatorias para muchas regulaciones de cumplimiento, es una configuración necesaria para las necesidades regulatorias federales de los Estados Unidos. Entre la Ley Federal de Administración de Seguridad de la Información (FISMA, por sus siglas en inglés) y los estándares publicados por el NIST (incluida la Publicación Especial 800-53 y el Estándar Federal de Procesamiento de Información 140-2), las agencias federales de los Estados Unidos y los proveedores externos de esas agencias federales tienen una variedad de líneas de base de seguridad que lograr. NIST SP 800-81-2 proporciona una guía de implementación de DNS seguro que incluye secciones para usar extensiones de seguridad de DNS.

NIST SP 800-53 incluye un conjunto de controles relacionados con la protección del sistema y las comunicaciones, denominados "SC". SC-21 y SC-22 establecen las expectativas para la resolución de DNS, incluida una validación a través de DNSSEC u otro canal autenticado en SC-21. No parece haber un cambio significativo para este control de la Revisión 4 a la Revisión 5 (Rev 5) recientemente implementada.

La certificación del Programa Federal de Administración de Riesgos y Autorizaciones (FedRAMP) incluye DNSSEC en el ámbito de control requerido, y las organizaciones que avanzan en el proceso de certificación deben dar fe de su configuración de DNSSEC o aceptar el umbral de riesgo de no implementar DNSSEC. El informe de evaluación de preparación de FedRAMP incluye las siguientes preguntas en relación con la configuración de DNSSEC de su organización:

• "¿La solución de DNS externo del sistema es compatible con DNS Security (DNSSEC) para proporcionar garantías de autenticación de origen y verificación de integridad? Esto se aplica a los controles SC-20, SC-21 y SC-22 en el SSP" (sección 4.1).
• "¿Verificó la 3PAO [organización de evaluación de terceros] que el servidor DNS externo responde con respuestas DNSSEC válidas y que el servidor recursivo está dentro de un límite autorizado por FedRAMP, realiza solicitudes DNSSEC para dominios fuera del límite y que las llamadas DNS mantienen la autenticación e integridad DNSSEC? [SC-20, SC-21]" (sección 4.2)

El Instituto Nacional de Estándares y Tecnología (NIST) estima menos de 1100 dominios IPv6 del gobierno de EE. UU. con una implementación operativa de DNSSEC, 73 implementaciones operativas de la industria y 30 implementaciones operativas de universidades con la mayoría de las implementaciones de DNSSEC universitarias sin firmar (a partir del 8 de enero de 2023).

La implementación limitada de DNSSEC en todo el mundo puede deberse, en parte, a que no ha sido obligatoria en todas las certificaciones de cumplimiento. También puede ser que los propietarios y administradores de dominios hayan aceptado el nivel de riesgo asociado con no usar DNSSEC, ya que pueden tener medidas de seguridad alternativas para protegerse contra los riesgos.

DNSSEC y riesgos de ciberseguridad

DNSSEC ofrece protección contra una variedad de ataques de DNS, incluidos los siguientes:

• Suplantación de DNS y envenenamiento de caché de DNS, donde el solucionador de DNS devuelve información falsa, como el sitio web malicioso de un atacante.
• Secuestro de DNS, donde un atacante redirige la consulta.
• Ataques de adversario en el medio (a veces denominados ataques de intermediario o ataques de persona en el medio), en los que un atacante intercepta la comunicación y puede modificar la información en tránsito. Los ataques de adversario en el medio están limitados debido a la validación de DNSSEC, ya que el atacante no puede firmar su intercepción con la clave necesaria.

La autenticación y validación proporcionadas por las extensiones de seguridad de DNS agrega protección contra ciertos tipos de ataques, pero no es la estrategia de prevención de ataques cibernéticos final. Por ejemplo, la infraestructura de clave pública (PKI) en la web, como los certificados SSL/TLS, ayuda a proteger los sitios web y a mejorar la confianza de los usuarios en el sitio web que visitan, por lo que la PKI web a veces desplaza la necesidad percibida de DNSSEC. Sin embargo, DNSSEC protege al propietario del dominio de un ataque de suplantación de identidad de un atacante. El emparejamiento de DNSSEC con PKI web proporciona tácticas de seguridad complementarias para la tranquilidad tanto del administrador como del usuario.

DNSSEC también proporciona seguridad que puede ayudar a proteger contra la tunelización de DNS, pero no evita directamente los adjuntos de carga útil a las consultas de DNS. Del mismo modo, DNSSEC no protege contra ataques de denegación de servicio o typosquatting, por lo que es importante implementar una variedad de técnicas de seguridad que tengan en cuenta la amplitud de los tipos de ataque.

Dado que DNSSEC genera una zona firmada para su dominio, puede exponer cualquier subdominio dentro de la zona firmada. Si bien algunos datos de zona son benignos (se espera que la mayoría de los sitios web tengan un subdominio [.rt-script]www[.rt-script], por ejemplo), cualquier página de inicio de sesión privada o subdominios de acceso interno podría ser inspeccionado y tal vez atacado por un hacker curioso. La verificación de los datos de respuesta de DNS se puede realizar tanto en las zonas principales como en las zonas secundarias de su dominio.

Cómo configurar DNSSEC

La configuración de DNSSEC se produce en el nivel del proveedor de dominio. El propietario del dominio y todos los proveedores de servicios participan en el proceso de DNSSEC: propietario del dominio, registrador del dominio, registro de dominio y proveedor de DNS. Tanto el registrador como el registro deben ser compatibles con DNSSEC.

El proceso de configuración de DNSSEC incluye tres tareas:

1. Configure DNSSEC con su proveedor de alojamiento de DNS y cree los registros necesarios.
2. Activa los registros con tu registrador de dominios (en algunos casos, el proveedor de alojamiento y el registrador de dominios pueden ser la misma organización, como Cloudflare).
3. Habilite la validación de firmas en servidores DNS.

Los registros de recursos para la implementación de DNSSEC incluyen los registros [.rt-script]A[.rt-script] o [.rt-script]AAAA[.rt-script] para su dirección IP, el registro [.rt-script]DNSKEY[.rt-script], el registro [.rt-script]DS[.rt-script] para el firmante de delegación y el registro [.rt-script]RRSIG[.rt-script]. Para crear un registro [.rt-script]DS[.rt-script] con el registrador de dominios, también necesitarás las firmas de clave para tu zona DNS, normalmente una clave de firma de clave (KSK) y una clave de firma de zona (ZSK), así como la etiqueta de clave, el algoritmo, el tipo de resumen y el resumen.

Los registradores de dominios y los proveedores de alojamiento a menudo proporcionan documentación de soporte para DNSSEC. Puede buscar directamente en la documentación del proveedor o utilizar estos enlaces para los proveedores más populares:

• Amazon Web Services (AWS): Configuración de la firma de DNSSEC en Amazon Route 53
• Cloudflare: Habilitar DNSSEC
• dnsimple: Guía de DNSSEC
• GoDaddy: Activar o desactivar DNSSEC
• Google Domains: Configurar DNSSEC y seguridad de DNS
• Squarespace: Servidores de nombres y DNSSEC para dominios administrados por Squarespace

Sin embargo, Microsoft Azure no es compatible actualmente con DNSSEC.

El monitoreo continuo puede ayudarlo a realizar un seguimiento de sus implementaciones de seguridad, incluido el estado actual de su configuración de DNSSEC.

Junto con otros riesgos de configuración y vulnerabilidades de software, UpGuard BreachSight analiza su superficie de ataque externa para evaluar los ajustes de configuración de DNS. En el caso de los hallazgos relacionados con el DNS, BreachSight proporciona dos notificaciones:

• DNSSEC no habilitado
• Puerto 'DNS' abierto

La búsqueda de DNSSEC no habilitado informa de que la implementación de su dominio no se ha configurado con DNSSEC. Configure DNSSEC para autenticar las respuestas a las solicitudes de DNS y confirmar que solo se devolverán a los usuarios las resoluciones autorizadas. Al incluir DNSSEC en la configuración de su dominio, puede evitar que los atacantes inserten su propio dominio durante una resolución de DNS.

Si recibe la búsqueda de apertura del puerto 'DNS', entonces su servidor no ha protegido el puerto DNS contra amenazas públicas como el envenenamiento de la caché DNS, los ataques de adversarios en el medio o la suplantación de DNS. DNS utiliza el puerto [.rt-script]53[.rt-script] para la conexión UDP y TCP. Su búsqueda de riesgos en UpGuard identificará en qué puerto escucha DNS si está expuesto a la Internet pública. Para evitar la explotación de DNS, cierre el puerto a la red pública de Internet. Si necesita mantener cierto acceso entre la red pública de Internet y su servicio DNS, considere la posibilidad de limitar el acceso a los servidores reforzados que se mantienen regularmente e implementar DNSSEC para la protección de zona. Ten en cuenta que DNSSEC puede exponer la arquitectura de tu subdominio.

Los usuarios actuales de UpGuard pueden iniciar sesión y acceder a su perfil de riesgo en BreachSight para evaluar si estos hallazgos relacionados con el DNS afectan a su organización. Para obtener más información sobre otros servicios que UpGuard identifica a través del escaneo de puertos, consulte nuestro artículo de soporte sobre ¿Qué servicios identifica UpGuard con el escaneo de puertos?