dnstrace : uma ferramenta de medição ativa para análise do nível de centralização do DNS da internet

Abstract

O Sistema de Nomes de Domínio (Domain Name System) é um dos pilares da internet e já foi alvo de diversos ataques distribuídos de Negação de Serviço (Distributed Denial of Service - DDoS) ao longo dos anos. Como contra medida, a infraestrutura do DNS é projetada com uma série de mecanismos de replicação, tais como o uso de uma arquitetura distribuída de servidores DNS autoritativos e IP Anycast. Apesar da existência destas medidas, já foi possível observar que, quando sites dependem de um provedor terceirizado de serviços de DNS, é possível existir um certo nível de compartilhamento de infraestrutura. Nesse caso, há o risco de que um ataque destinado a um servidor DNS possa afetar outros servidores DNS que estejam compartilhando a sua infraestrutura com a do servidor alvo. No entanto, medir tais níveis de compartilhamento de infraestrutura é uma tarefa desafiadora, tendo em vista que a maioria dos pesquisadores tipicamente não têm acesso aos dados internos de provedores de DNS. Neste trabalho, apresentamos uma metodologia e uma ferramenta à ela associada - dnstrace - que permite medir, tanto o grau de centralização como o grau de compartilhamento da infraestrutura de DNS, utilizando medições ativas. Como estudo de caso, foram analisados os servidores de DNS autoritativos de todos os domínios presentes na lista Alexa’s Top 1 Million, que reúne o 1 milhão de sites mais acessados na Internet. Os resultados mostram que, em alguns casos, até 12.000 servidores autoritativos de DNS compartilham a mesma infraestrutura de base de um provedor de DNS terceirizado. Portanto, na eventualidade de algum ataque, estes servidores autoritativos correm maior risco de serem afetados por danos colaterais.

The Internet Domain Name System (DNS) is one of the pillars for the Internet and is the subject of various Distributed Denial-of-Service (DDoS) attacks along the years. As a counter measure, the DNS infrastructure has been engineered with a series of replication measures, such as relying on multiple authoritative name servers and using IP anycast. Even though these measures have been in place, we have seen that, when websites rely on third-party DNS providers for authoritative services, there may be certain levels of infrastructure centralization. In this case, there is a risk that an attack against a DNS target might affect other DNS name servers sharing part of the infrastructure with the intended victim. However, measuring such levels of infrastructure sharing is a daunting task, given that researchers typically do not have access to DNS provider internals. In this work, we introduce a methodology and associated tool - dnstrace - that allows measuring, to various degrees, the level of both concentration and infrastructure sharing using active DNS measurements. As a case study, the authoritative name servers of all domains of the Alexa Top 1 Million most visited websites were analyzed. The results show that, in some cases, up to 12.000 authoritative name servers share the same underlying infrastructure of a third-party DNS provider. As such, in the event of an attack, those authoritative servers have increased risk of suffering from collateral damage.