DNSSEC có một số rủi ro, nhưng chúng không liên quan trực tiếp đến sự phản xạ hoặc khuếch đại. Việc mở rộng kích thước tin nhắn EDNS0 là một cá trích đỏ trong trường hợp này. Hãy để tôi giải thích.
Bất kỳ trao đổi gói nào không phụ thuộc vào bằng chứng nhận dạng trước đó đều bị lạm dụng bởi những kẻ tấn công DDoS, những người có thể sử dụng trao đổi gói không được xác thực đó làm bộ phản xạ và có lẽ là bộ khuếch đại. Ví dụ, ICMP (giao thức đằng sau "ping") có thể bị lạm dụng theo cách này. Có thể gói TCP SYN, có thể thu hút tới 40 gói SYN-ACK ngay cả khi SYN bị giả mạo đến từ một số nạn nhân không muốn các gói SYN-ACK đó. Và tất nhiên, tất cả các dịch vụ UDP đều dễ bị tấn công này, bao gồm NTP, SSDP, uPNP và như được lưu ý bởi các phản hồi khác ở đây, bao gồm cả DNS.
Hầu hết các thiết bị phát hiện xâm nhập, ngăn chặn xâm nhập và các thiết bị cân bằng tải đều bị nghẽn cổ chai, không thể theo kịp lưu lượng "tốc độ đường truyền". Ngoài ra, nhiều bộ định tuyến không thể chạy ở tốc độ đường truyền và một số thiết bị chuyển mạch. Những nút thắt này, bằng cách là thứ nhỏ nhất "trong đường dẫn" và nhỏ hơn chính các liên kết, là mục tiêu thực sự của các cuộc tấn công DDoS dựa trên tắc nghẽn. Nếu bạn có thể khiến tường lửa của ai đó bận rộn với lưu lượng tấn công, thì lưu lượng truy cập tốt sẽ không vượt qua được, ngay cả khi các liên kết không đầy đủ. Và những gì làm chậm tường lửa không phải là tổng số bit mỗi giây (có thể tăng lên bằng cách sử dụng các tin nhắn lớn hơn, và EDNS0 và DNSSEC sẽ làm), mà là tổng số gói mỗi giây.
Có rất nhiều truyền thuyết đô thị về cách DNSSEC làm cho DDoS trở nên tồi tệ hơn vì kích thước thư lớn hơn của DNSSEC, và trong khi điều này có ý nghĩa trực quan và "nghe có vẻ tốt", thì điều đó chỉ sai. Nhưng nếu có sự thật về truyền thuyết này, câu trả lời thực sự vẫn sẽ nằm ở chỗ khác-- [vì DNSSEC luôn sử dụng EDNS0, nhưng EDNS0 có thể được sử dụng mà không cần DNSSEC], và nhiều phản hồi phi DNSSEC bình thường lớn như một DNSSEC đáp ứng sẽ được. Xem xét các bản ghi TXT được sử dụng để thể hiện các chính sách SPF hoặc khóa DKIM. Hoặc chỉ bất kỳ bộ địa chỉ hoặc bản ghi MX lớn. Nói tóm lại, không có cuộc tấn công nào đòi hỏi DNSSEC, và do đó, bất kỳ sự tập trung nào vào DNSSEC vì rủi ro DDoS là năng lượng sai lầm.
DNSSEC không có rủi ro! Thật khó để sử dụng và khó sử dụng hơn. Thông thường, nó đòi hỏi một luồng công việc mới để thay đổi dữ liệu vùng, quản lý đăng ký, cài đặt các phiên bản máy chủ mới. Tất cả những điều đó phải được kiểm tra và ghi lại, và bất cứ khi nào có sự cố xảy ra liên quan đến DNS, công nghệ DNSSEC phải được điều tra là nguyên nhân có thể. Và kết quả cuối cùng nếu bạn làm mọi thứ đúng sẽ là, với tư cách là người ký khu vực, nội dung và hệ thống trực tuyến của bạn sẽ dễ vỡ hơn đối với khách hàng của bạn. Là một nhà điều hành máy chủ xa, kết quả sẽ là, nội dung và hệ thống của mọi người khác sẽ dễ vỡ hơn đối với bạn. Những rủi ro này thường được xem là vượt trội hơn các lợi ích, vì lợi ích duy nhất là bảo vệ dữ liệu DNS khỏi sự thay đổi hoặc thay thế trên chuyến bay. Cuộc tấn công đó rất hiếm khi không xứng đáng với tất cả nỗ lực này. Tất cả chúng ta đều hy vọng DNSSEC sẽ trở nên phổ biến vào một ngày nào đó, bởi vì các ứng dụng mới mà nó sẽ kích hoạt. Nhưng sự thật là ngày nay, DNSSEC là tất cả chi phí, không có lợi ích và có rủi ro cao.
Vì vậy, nếu bạn không muốn sử dụng DNSSEC, đó là đặc quyền của bạn, nhưng đừng để ai nhầm lẫn rằng vấn đề của DNSSEC là vai trò của bộ khuếch đại DDoS. DNSSEC không có vai trò cần thiết như bộ khuếch đại DDoS; có nhiều cách khác tốt hơn rẻ hơn để sử dụng DNS làm bộ khuếch đại DDoS. Nếu bạn không muốn sử dụng DNSSEC, hãy để nó là vì bạn chưa uống Kool Aid và bạn muốn trở thành người cuối cùng (sau này) không phải là người đầu tiên (bây giờ).
Các máy chủ nội dung DNS, đôi khi được gọi là "máy chủ có thẩm quyền", phải được ngăn chặn khỏi bị lạm dụng làm bộ khuếch đại phản xạ DNS, vì DNS sử dụng UDP và vì UDP có thể bị lạm dụng bởi các gói nguồn giả mạo. Cách để bảo mật máy chủ nội dung DNS của bạn chống lại loại lạm dụng này là không chặn UDP, cũng không bắt buộc TCP (sử dụng thủ thuật TC = 1), cũng không chặn truy vấn BẤT K ,, cũng không chọn từ chối DNSSEC. Không ai trong số những điều đó sẽ giúp bạn. Bạn cần giới hạn tỷ lệ phản hồi DNS(DNS RRL), một công nghệ hoàn toàn miễn phí hiện có trong một số máy chủ tên nguồn mở bao gồm BIND, Knot và NSD. Bạn không thể khắc phục sự cố phản xạ DNS với tường lửa của mình, vì chỉ có hộp trung gian nhận biết nội dung như máy chủ DNS (có thêm RRL) biết đủ về yêu cầu để có thể đoán chính xác cuộc tấn công và điều gì không. Tôi muốn nhấn mạnh một lần nữa: DNS RRL là miễn phí và mọi máy chủ có thẩm quyền nên chạy nó.
Cuối cùng, tôi muốn phơi bày những thành kiến của mình. Tôi đã viết hầu hết BIND8, tôi đã phát minh ra EDNS0 và tôi đồng phát minh ra DNS RRL. Tôi đã làm việc trên DNS từ năm 1988 với tư cách là một thứ gì đó và bây giờ tôi đã cằn nhằn 50 cái gì đó, với sự ít kiên nhẫn hơn đối với các giải pháp nửa vời đối với các vấn đề bị hiểu lầm. Hãy chấp nhận lời xin lỗi của tôi nếu tin nhắn này nghe có vẻ giống như "hey các bạn, hãy ra khỏi bãi cỏ của tôi!"