- 會議論文
在文字型資訊記錄中加入隨機字串抵禦DNS快取毒害攻擊之方法
Random String in TXT-RRs Approach to Mitigate DNS Cache Poisoning Attack
摘要
網域名稱系統（Domain Name System，簡稱DNS）為一個將網域名稱（簡稱域名）對映至IP位址的分散式資料庫系統，它使人們不用記住一串複雜的IP位址即可遨遊網際網路，為現今網路環境不可或缺的網路基礎建設之一。早在2002年已有網頁嫁接(Pharming)等類似透過DNS快取毒害攻擊，2008年的世界黑帽(Black Hat)大會，資深安全專家Dan Kaminsky提出一種新型域名伺服器快取毒害攻擊(DNS Cache Poisoning Attack)方式，稱為Kaminsky-class快取毒害攻擊。攻擊者可在極短時間內偽造含有正確驗證項目的偽DNS傳輸封包，並將此封包內之惡意或錯誤的資訊存入遞迴域名伺服器(Recursive Domain Name Server, R-DNS)快取資料庫中，藉此修改遞迴域名伺服器之快取記錄，可對網路環境造成極大的影響。自此，DNS快取機制成為DNS協定中脆弱的一環，相關資安事件亦層出不窮。本論文針對域名伺服器快取毒害攻擊提出一個輕量型的防禦方法(Random Stringin TXT-RR, RSTR)，藉由提高DNS傳輸封包的熵(Entropy)，強化遞迴域名伺服器與權威域名伺服器(Authoritative Domain Name Server, A-DNS)之間的驗證機制。我們利用DNS協定所支援的文字型態資源記錄(TXT Resource Record, TXT-RR)搭配一組隨機產生的驗證碼放入DNS傳輸封包中，使DNS Server間的傳輸封包都有一組獨特的驗證訊息(authenticated TXT-RR)，此方法可以有效地增強遞迴域名伺服器抵擋快取毒害攻擊的能力，大幅降低攻擊成功率。
延伸閱讀
- Tung, S. P. (2021). 利用生成測試封包偵測軟體定義網路資料平面上的IP前綴不符 [master's thesis, National Taiwan University]. Airiti Library. https://doi.org/10.6342/NTU202101229
- 陳建麟（2007）。適合高速網路入侵偵測系統之平行字串比對演算法設計〔碩士論文，國立清華大學〕。華藝線上圖書館。https://www.airitilibrary.com/Article/Detail?DocID=U0016-1411200715165341
- Chang, M. C. (2004). 運用於提升入侵偵測效能的快速多重字串比對 [master's thesis, National Taiwan University]. Airiti Library. https://doi.org/10.6342/NTU.2004.10228
- 蘇永護（2010）。以DNS封包內涵為基礎之殭屍網路封包行為之偵測與阻擋〔碩士論文，大同大學〕。華藝線上圖書館。https://www.airitilibrary.com/Article/Detail?DocID=U0081-3001201315105804
- Xiong, H., Geng, J., Qin, Z. G., & Zhu, G. (2015). Cryptanalysis of Attribute-based Ring Signcryption Scheme. International Journal of Network Security, 17(2), 224-228. https://doi.org/10.6633/IJNS.201503.17(2).15