I record DNS sono informazioni private?

Supponendo di voler creare un sottodominio che punti a una posizione privata (forse la posizione di un database o l'indirizzo IP di un computer in cui non si desidera che le persone tentino di inserire SSH), quindi si aggiunge un record DNS chiamato qualcosa come questo:

private-AGhR9xJPF4.example.com

Questo sarebbe "nascosto" a tutti tranne quelli che conoscono l'URI esatto per il subdoman? Oppure, c'è un modo per "elencare" tutti i sottodomini registrati di un determinato dominio?

domain-name-system security subdomain

— IQAndreas
fonte

Se non vuoi che sia conosciuto o scoperto, perché dovresti creare un record DNS per esso in primo luogo?

— joeqwerty,

@joeqwerty Se il server utilizza un IP dinamico o se voglio modificare l'IP di destinazione in un secondo momento, desidero che tutte le applicazioni che si connettono a quel server continuino a funzionare senza modifiche.

— IQAndreas

Sono sicuro che questa è una risposta in un'altra domanda da qualche parte, ma non sono riuscito a trovarlo con una ricerca.

— Andrew B

Si noti che ci sono molti cattivi che eseguono la scansione dell'intero spazio IP per i computer in cui possono SSH. Se è raggiungibile da Internet pubblico, farai sbattere le persone sulla porta SSH.

— pjc50,

La vera soluzione al tuo problema è un firewall e una VPN.

— josh3736,

Risposte:

Esiste una sorta di query "elenco sottodominio" per DNS?

Non esiste una query per questo scopo specifico, ma esistono alcuni metodi indiretti.

Un trasferimento di zona non incrementale ( AXFR). La maggior parte degli operatori di server blocca i trasferimenti di zona verso indirizzi IP specifici per impedire a parti non affiliate di curiosare.
Se DNSSEC è abilitato, è NSECpossibile utilizzare le richieste iterative per percorrere la zona . NSEC3è stato implementato per rendere la camminata di zona più intensa dal punto di vista computazionale.

C'è anche un trucco che farà sapere a qualcuno se esiste un sottodominio arbitrario.

        example.com. IN A 198.51.100.1
www.sub.example.com. IN A 198.51.100.2

Nell'esempio sopra, si wwwtrova dentro sub. Una query per sub.example.com IN Anon restituirà una sezione RISPOSTA, ma il codice del risultato sarà NOERROR anziché NXDOMAIN, tradendo l'esistenza di record più in basso nella struttura. (ma non come si chiamano quei record)

Si dovrebbe mai fare affidamento sulla segretezza dei record DNS?

No. L'unico modo per nascondere in modo affidabile i dati da un client è assicurarsi che questi non possano mai iniziare. Supponiamo che l'esistenza dei tuoi record DNS sia diffusa tra chiunque abbia accesso ad essi, sia con il passaparola che osservando i pacchetti.

Se stai cercando di nascondere i record da un client DNS instradabile, stai facendo Wrong ™ . Assicurarsi che i dati siano esposti solo agli ambienti che ne hanno bisogno. (vale a dire utilizzare domini indirizzati privatamente per IP privati) Anche se si dispone di una tale divisione impostata, si supponga che la conoscenza degli indirizzi IP verrà diffusa comunque.

L'attenzione alla sicurezza dovrebbe essere su ciò che accade quando qualcuno ottiene l'indirizzo IP, perché accadrà.

Sono consapevole che l'elenco dei motivi per cui il segreto dell'indirizzo IP è un sogno irrealizzabile potrebbe essere ampliato ulteriormente. Scansione IP, ingegneria sociale ... l'elenco è infinito e mi sto concentrando principalmente sugli aspetti del protocollo DNS di questa domanda. Alla fine, tutto cade sotto lo stesso ombrello: qualcuno riceverà il tuo indirizzo IP .

— Andrew B
fonte

Dipende.

La risposta di Andrew B è precisa, quando registri il sottodominio nella zona DNS pubblica che ospita, ad esempio, anche i record MX della tua azienda e il sito Web pubblico.

La maggior parte delle aziende avrebbe un server DNS interno, non disponibile pubblicamente in cui registrereste i nomi host per i vostri host ( segreti ) interni .

Il metodo consigliato è quello di registrare un dominio dedicato per uso interno o in alternativa creare un sottodominio nel dominio primario per uso interno.

Ma tecnicamente usi anche il tuo dominio principale creando una vista interna sul tuo dominio, dove a seconda dell'origine del client DNS sarebbe visibile una versione alternativa della zona DNS.

— HBruijn
fonte