DNS

DNS blev udviklet af Paul Mockapetris (RFC 882/883, 1983) som afløser for den centralt distribuerede HOSTS.TXT-fil og er stadig specificeret i RFC 1034 og RFC 1035 (1987) plus en lang række opdateringer. Navnerummet er et træ af labels; hver zone betjenes af autoritative navneservere, og delegering sker via NS-poster i den overordnede zone. Et opslag involverer normalt en stub-resolver på enheden, som sender en rekursiv forespørgsel til en rekursiv resolver (internetudbyderens, virksomhedens eller en offentlig), som derefter går træet igennem iterativt: Rodserverne (13 navngivne identiteter, a til m, der hver drives som mange anycast-instanser) henviser til TLD-serverne, som henviser til domænets autoritative servere, som leverer svaret.

Svarene er resource records som A og AAAA (IPv4-/IPv6-adresser), CNAME (alias), MX (mailservere), NS, SOA, PTR (omvendte opslag), TXT (bruges til SPF, DKIM og DMARC) og CAA (hvilke certifikatudstedere der må udstede for domænet). Hver post har en TTL, der styrer, hvor længe resolvere må cache den; mislykkede opslag caches også (negativ caching, RFC 2308). TTL forklarer, hvorfor DNS-ændringer "spreder sig" langsomt, og hvorfor man sænker TTL før en migrering. Forespørgsler går over UDP eller TCP port 53; den oprindelige grænse på 512 byte over UDP udvides med EDNS(0) (RFC 6891), og afkortede svar falder tilbage til TCP.

Klassisk DNS har ingen kryptografisk beskyttelse. Cache poisoning udefra bygger på at gætte det 16-bit transaktions-ID, og derfor randomiserer resolvere også kildeporten; Dan Kaminskys angreb fra 2008 viste, hvor praktisk forgiftning var blevet. DNSSEC (RFC 4033-4035) tilføjer signaturer og en tillidskæde fra den signerede rod via DS-poster og giver dermed ægthed og integritet, men ikke fortrolighed. Af hensyn til privatlivet krypterer DNS over TLS (RFC 7858, port 853), DNS over HTTPS (RFC 8484) og DNS over QUIC (RFC 9250) strækningen fra stub til resolver, og QNAME-minimering (RFC 9156) begrænser, hvad hver server længere oppe får at vide.

Mange reelle hændelser går helt uden om protokollen. Overtager en angriber kontoen hos registratoren eller DNS-udbyderen, som i eksemplet med pensionskassen, hjælper DNSSEC ikke, for angriberen kan udgive korrekt signerede poster; de relevante kontroller er MFA på kontiene, registry lock og overvågning af ændringer i NS- og A-poster. Andre tilbagevendende problemer er hængende CNAME-poster, der muliggør overtagelse af subdomæner, åbne resolvere, der misbruges til reflektions- og forstærkningsangreb (DDoS), og DNS-tunnelering til command-and-control eller dataudtræk. På forsvarssiden er beskyttende DNS, der blokerer kendte ondsindede domæner, og resolverens forespørgselslogs billige og værdifulde kilder til detektion.