Das ganze DNS -- in nur einer Viertelstunde

Peter Koch, DENIC eG

Domain pulse 2018, München, 2018-02-23

Ein Baum ...

2

Photo: Doris Antony, Berlin, CC BY‐SA 3.0

... für Informatiker

3

Photo: Doris Antony, Berlin, CC BY‐SA 3.0

Etwas formeller

Das Domain Name System (DNS) ist eine

hierarchische

verteilte

redundante

Struktur zur Abbildung von Domainnamen (Knoten im Baum)

auf IP-Adressen und andere Internetinfrastrukturelemente.

4

Hierarchie

www.denic.de heute.zdf.de ns1.cs.ucl.ac.uk 0.5.3.2.7.2.9.6.9.4.E164.ARPA

Eine Domain ist immer ein Teilbaum

Hierarchie != Vererbung Hierarchie == Delegation Verantwortung/Kontrolle DNS hierarchy neither follows nor implies

administrative hierarchy.

5

Massiv überschätzt: die DNS-Rootserver

6

Wie werden die DNS-Anfragen „aufgelöst“?

• Stub Resolver (simpel)

• Full Resolver (kann Antworten kombinieren)

• Autoritative DNS-Server (bedienen Zonen, nicht Domains!)

• Root

• TLD

• SLD

• …

7

Resolver @Endgerät

8

Resolver @CPE

9

Resolver @ISP

10

Resolution Services (random selection)

„[Ich] sprüh‘s auf jede Wand ...“

12

Photo: Twitter @kaansezyum, März 2014

Das Identifier-System

1. URL (Uniform Resource Locator)1. http://www.denic.de/news/2. https://nast.denic.de

2. Domain

3. IP-Adresse• 2001:db8::dead:beef

• 192.0.2.42

13

Wegweisend

14

Täuschung?

15

16

Zugriff ohne DNS - möglich

.

1. Ermitteln der IP-Adresse2. Host-Header „nachbauen“3. TLS-Zertifikat – DNS-basiert, aber manuell prüfbar4. Reverse-Proxy erhöht den Schwierigkeitsgrad

• Weitere Indirektionsebene• IP-Adresse gibt keinen Hinweis auf „Hoster“

17

ZUSAMMENFASSUNG

• DNS ist nur eine Schicht im Identifier-Kosmos• mangelnde Granularität!

• Weit weg von Inhalten• selbst nach der IP-Adresse kann noch eine Stufe

liegen

• Domains sind „ersetzbar“• schnell neu registriert

• DNS ist umgehbar (viele Wege führen nach Rom)• wenn man denn will ...

18

FRAGEN ?

DANKE !

KONTAKT:

koch@denic.de

19