Компания Servicepipe, российский разработчик решений для анализа и фильтрации нежелательного трафика, обновила сервис Secure DNS Hosting, добавив поддержку криптографического протокола TSIG. Новая функция гарантирует целостность и подлинность DNS-данных.
Для бесперебойной работы сайтов компании используют систему из основного и резервных DNS-серверов, которые постоянно синхронизируются друг с другом. Момент передачи данных между ними уязвим: злоумышленники могут перехватить трафик и незаметно подменить DNS-записи. Из-за этого пользователи вместо оригинального сайта компании будут попадать на фишинговый ресурс.
Внедрение протокола TSIG полностью исключает подобные сценарии. Механизм использует криптографические ключи, которые есть только у серверов-участников обмена. Теперь при каждом обновлении резервный сервер не просто скачивает данные, а проверяет их цифровую подпись. Это дает две гарантии: пакет пришел от настоящего сервера, и по пути в него не внедрили вредоносные записи. Если подпись не совпадает, система блокирует передачу.
«Служебный обмен данными при синхронизации DNS-зон часто остается без должного внимания. Для злоумышленников это классический вектор атаки, — говорит продукт-менеджер Servicepipe Пахалуева Светлана. — Протокол TSIG полностью закрывает эту уязвимость. Мы реализовали настройку так, чтобы клиенты могли включить криптографическую защиту с помощью двух запросов к API и быть уверенными в безопасности своей маршрутизации».
Функция уже доступна всем клиентам Secure DNS Hosting. Настроить TSIG можно через RESTAPI: для этого нужно создать ключ аутентификации и привязать его к IP-адресам своих резервных серверов.
