Tunneling DNS. BOUCADAIR Moussa 24/05/2012. Université de Versailles Saint-Quentin-En-Yvelines. UVSQ - Tunneling DNS BOUCADAIR Moussa 1/ 17

Transcription

1 Tunneling DNS BOUCADAIR Moussa Université de Versailles Saint-Quentin-En-Yvelines 24/05/2012 UVSQ - Tunneling DNS BOUCADAIR Moussa 1/ 17

2 Plan Introduction 1 DNS (Domain Name System) 2 HTTP (HyperText Transfer Protocol) 3 Description de l application 1 Schéma global de la procédure 2 Les étapes de traitement et d acheminement de la requête 3 Les étapes de traitement et d acheminement de la réponse Conclusion UVSQ - Tunneling DNS BOUCADAIR Moussa 2/ 17

3 Introduction Problème à résoudre Des HotSpots sont largement déployés pour offrir un accès Internet; L accès à ce service est généralement restreint aux utilisateurs ayant souscrit au service; Les requêtes sont généralement redirigées vers un portail captif pour inviter les utilisateurs à s authentifier; Des règles de filtrage sont configurées dans les HotSpots pour contrôler le trafic; Le DNS est autorisé : Détourner le DNS pour encapsuler les messages HTTP permettra d accéder au service. UVSQ - Tunneling DNS BOUCADAIR Moussa 3/ 17

4 Déroulement du projet Comprendre le fonctionnement des protocoles DNS et HTTP; Modéliser le comportement des entités fonctionnelles Client HTTP Proxy Serveur DNS Serveur HTTP Implémenter les modules logiciels pour encapsuler et décapsuler les messages HTTP dans des messages DNS; Tester et valider les entités fonctionnelles intervenant dans la réalisation de la procédure de contournement des filtres de sécurité. UVSQ - Tunneling DNS BOUCADAIR Moussa 4/ 17

5 Format du paquet DNS Entête de 12 octets; Une question DNS contient : Nom de domaine; Type; Classe. Les réponses sont une liste d enregistrements de ressources; Un enregistrement de ressource contient les éléments suivants : Nom de doamine; Type; Classe; Longueur de la réponse; TTL (Time to live); Ressource. Identification Flags Nombre de questions Nombre de réponses Nbr de RRs autoriaires Nombre de RRs supp Questions Réponses Réponses Réponses UVSQ - Tunneling DNS BOUCADAIR Moussa 5/ 17

6 Le protocole HTTP Les requêtes Les réponses Méthode URL Version Entêtes Corps de la requête Version Code de réponse Entêtes Corps de la réponse Version : la version du protocole utilisé; Méthode : (ex. GET, HEAD, POST, etc.); URL : La ressource demandée par le client; Version : la version du protocole utilisé. Les entêtes sont optionnelles; Le corps dépend de la méthode utilisée. Code de réponse : 20x : Indique le bon déroulement de la transaction; 30x : Indique que la ressource n est plus à l emplacement demandé; 40x : Indique un erreur côté client; 50x : Indique un erreur côté serveur. Les entêtes sont optionnelles; Corps de la réponse correspond à la page web demandée. UVSQ - Tunneling DNS BOUCADAIR Moussa 6/ 17

7 Schéma global de la procédure & les entités fonctionnelles serveur DNS Client HTTP : Etablir les connexions avec les serveurs HTTP; Envoyer les requêtes HTTP au proxy HTTP. Proxy HTTP : Entité intermédiaire entre le client HTTP et le serveur HTTP; Permet d encapsuler les messages HTTP dans les messages DNS. Serveur DNS : Entité passerelle entre le proxy et le serveur HTTP. Serveur HTTP : Répondre aux questions du serveur DNS. message DNS message HTTP serveur http UVSQ - Tunneling DNS BOUCADAIR Moussa 7/ 17

8 Les étapes de traitement et d acheminement de la requête serveur DNS réponse DNS réponse HTTP serveur http Proxy HTTP : Tâches réalisées Récupérer la requête HTTP; Extraire la méthode HTTP utilisée; Récupérer les données supplémentaires; UVSQ - Tunneling DNS BOUCADAIR Moussa 8/ 17

9 Les étapes de traitement et d acheminement de la requête serveur DNS réponse DNS réponse HTTP serveur http Proxy HTTP : Tâches réalisées Vérifier les données reçues; Fragmenter la question HTTP; Construire les questions DNS; Envoyer les requêtes DNS; Retransmettre les fragments non acquittés. Serveur DNS : Tâches réalisées Recevoir les requêtes DNS; Réassembler la question HTTP; Envoyer les acquittements. UVSQ - Tunneling DNS BOUCADAIR Moussa 9/ 17

10 Fragmentation des données Fragmentation Le proxy vérifie si la taille du paquet est supérieure au seuil prédifini : La taille maximale d un fragment est 20 caractères; Le seuil pourrait être changé; Le choix de la taille est motivé par deux raisons : Ralentissement du transfert de données; Le message pourrait être tronqué; Le paquet pourrait être mal formé. Exemple de fragmentation Data Après la fragmentation, on obtient deux fragments : data 1 Data 2 Pour chaque fragment, on insère les éléments suivants : ID : Identification du message DNS; NBR FRAG : Nombre des fragments; MF : 1 0 : Le dernier fragment; 2 1 : Les autres fragments. SEQ : Numéro de séquence du fragment. Les deux fragments sont sous forme : 1 er fragment ID data 1 2ème fragment ID data 2 UVSQ - Tunneling DNS BOUCADAIR Moussa 10/ 17

11 Réassemblage des données Réassemblage Le serveur DNS construit deux tableaux pour enregistrer les fragments reçus : 1 MSG TAB : Le serveur enregistre deux types de messages dans ce tableau : 1 Les fragments ayant un numéro de séquence égal au nombre des fragments; 2 Les messages déjà réassemblés. 2 FRAG TAB : Tableau des fragments. Le serveur vérifie deux conditions avant d enregistrer les fragments : 1 Si le numéro de séquence est égal à 0; 2 Si non, le serveur vérifie son ID s il existe dans FRAG TAB; Le serveur n enregistre pas tous les champs des fragments, seul le premier fragment est enregistré; Le serveur réassemble le paquet HTTP s il a reçu le nombre de réponses total; puis il le sauvegarde dans le tableau MSG STORE. UVSQ - Tunneling DNS BOUCADAIR Moussa 11/ 17

12 Time to wait Les étapes de traitement et d acheminement de la requête Le proxy envoie tous les paquets; Chaque paquet envoyé est enregistré dans un tableau; Le proxy déclenche un temporisateur pour chaque paquet envoyé; Le serveur DNS répond avec des acquittements; Si un acquittement est perdu, le proxy après la fin de la temporisation retransmet le fragment ayant le même numéro de séquence. Proxy Questions DNS les données HTTP contiennent{ Question DNS supplémentaire { Retransmission du 2ème fragment { X Serveur DNS Réponses DNS (ACK) } } Réponse DNS (ACK) UVSQ - Tunneling DNS BOUCADAIR Moussa 12/ 17

13 Les étapes de traitement et d acheminement de la requête serveur DNS réponse DNS réponse HTTP serveur http Serveur DNS : Tâches réalisées Construire la requête HTTP; Envoyer la requête HTTP; Recevoir la réponse HTTP. UVSQ - Tunneling DNS BOUCADAIR Moussa 13/ 17

14 Les étapes de traitement et d acheminement de la réponse serveur DNS réponse DNS réponse HTTP serveur http Serveur DNS : Tâches réalisées (Suite) Vérifier les données reçues; Fragmenter la réponse HTTP; Envoyer le nombre des fragments (réponses HTTP); Recevoir les questions DNS; Envoyer les réponses DNS. UVSQ - Tunneling DNS BOUCADAIR Moussa 14/ 17

15 Les étapes de traitement et d acheminement de la réponse 1 Après la fragmentation de la réponse, le serveur DNS calcule le nombre des réponses, puis il envoie ce nombre dans une réponse au proxy; 2 Le proxy envoie les questions DNS nécessaires; 3 Le serveur commence à envoyer les réponses après la réception de toutes les questions DNS; 4 Le serveur envoie 10 fragments HTTP par réponse DNS. 3 questions DNS { Proxy Serveur DNS } le nombre des réponses dans une réponse DNS ex : Nbr = 3 } Réponses DNS contenant la réponse HTTP UVSQ - Tunneling DNS BOUCADAIR Moussa 15/ 17

16 Les étapes de traitement et d acheminement de la réponse serveur DNS réponse DNS réponse HTTP serveur http Proxy HTTP : Tâches réalisées Réassembler la réponse HTTP; Envoyer la réponse au client HTTP. UVSQ - Tunneling DNS BOUCADAIR Moussa 16/ 17

17 Conclusions Fonctionnalités Format du message DNS non modifié; L utilisateur a le choix de : Afficher les détails des transactions en cours; Spécifier le port ou/et l hôte désiré; Ce programme gère les requêtes avec les méthodes GET et POST. Des pages de documentation ont été produites dans le but de fournir plus d informations concernant l implémentation des modules de ce logiciel. Améliorations Paralléliser le programme; Gérer les redirections; Supporter les connexions sécurisées; Réaliser l interface graphique. UVSQ - Tunneling DNS BOUCADAIR Moussa 17/ 17