DNS bei Angriffen und in der Verteidigung

DNS sitzt so früh in jeder Verbindung, dass es auf beiden Seiten der Sicherheit auftaucht: Angreifer verlassen sich darauf, wie Domainnamen gewählt und aufgelöst werden, und Verteidiger nutzen dasselbe System, um bekannt schädliche Ziele zu blockieren. Drei Nutzungen von DNS lohnen es, sie für sich zu verstehen.

Phishing und Nachahmer-Domains

Eine Phishing-Seite muss DNS nicht brechen; sie braucht nur einen Domainnamen, der nah genug ist, um einen eiligen Leser zu täuschen. Die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) beschreibt genau dieses Muster: „Bösartige Websites können identisch mit einer legitimen Seite aussehen, aber die URL kann eine Variation in der Schreibweise oder eine andere Domain verwenden (z. B. .com statt .net).“ CISA empfiehlt außerdem, vor dem Vertrauen zu prüfen, wohin ein Link tatsächlich führt: „Wenn Sie den Mauszeiger über Links im Text einer E-Mail bewegen und die Links nicht mit dem beim Darüberfahren angezeigten Text übereinstimmen, könnte der Link gefälscht sein.“

DNS-Sperrung

Weil ein Gerät einen Resolver fragen muss, bevor es eine Seite überhaupt erreichen kann, kann, wer diesen Resolver kontrolliert, die Verbindung still verhindern, bevor sie je zustande kommt. Die Electronic Frontier Foundation erklärt den Mechanismus unmissverständlich: „Ein Internetanbieter kann seinen DNS-Resolver so programmieren, dass er eine falsche Antwort oder gar keine Antwort gibt, wann immer ein Nutzer versucht, den Standort einer gesperrten Seite oder eines gesperrten Dienstes nachzuschlagen.“ Der Wechsel zu einem Resolver, der ehrlich antwortet, kann den Zugang wiederherstellen, und die Nutzung verschlüsselten DNS (vorige Lektion) fügt eine weitere Schicht hinzu, da sie „jeden Netzwerkakteur davon abhalten kann, Ihren DNS-Datenverkehr zu sehen (und zu filtern)“. Die EFF weist aber auch auf die Grenzen dieses Ansatzes hin: „Nutzen Sie einen der populären verschlüsselten DNS-Dienste wie 1.1.1.1 oder 8.8.8.8, sollten Sie wissen, dass Regierungen diese Endpunkte“ direkt ins Visier nehmen können.

DNS-Tunneling

DNS-Datenverkehr wird so routinemäßig durch Firewalls gelassen, dass er als eigener Kanal missbraucht werden kann. MITRE ATT&CK, der weit verbreitete Katalog realer Angreifertechniken, beschreibt dies als DNS-Tunneling: „Angreifer können DNS missbrauchen, um mit Systemen unter ihrer Kontrolle innerhalb eines Opfernetzwerks zu kommunizieren und dabei normalen, erwarteten Datenverkehr vorzutäuschen.“ In der Praxis bedeutet das, dass Befehle oder gestohlene Daten in DNS-Abfragen und -Antworten codiert werden, die unbemerkt zwischen den legitimen Abfragen jedes Geräts vorbeiziehen. Es ist eine Technik, die in ein ansonsten gewöhnliches, unentbehrliches Protokoll eingebaut ist, was mit ein Grund ist, warum ein Netzwerk sie schwer vollständig blockieren kann.

Einen Resolver wählen

Es gibt keinen einzelnen Resolver, der einfach „sicher“ ist: Jede Wahl verlagert die Sichtbarkeit irgendwohin. Cloudflare merkt an, dass sein eigener öffentlicher Resolver, 1.1.1.1, „sowohl DoT als auch DoH unterstützt“, und andere öffentliche Resolver bieten dieselben verschlüsselten Optionen; welchen auch immer Sie wählen, dieser Betreiber wird zu der Partei, die Ihre Abfragen sieht, wie es die frühere Lektion zur Sichtbarkeit beschrieb. Ein Resolver, der außerdem bekannt bösartige Domains blockiert, kann verhindern, dass eine Abfrage je eine bestätigte Phishing- oder Angriffsdomain erreicht, aber er ist ein Filter, keine Garantie, dass jede gefährliche Domain auf seiner Liste steht.

Nichts davon ist ein Versprechen, dass eine einzelne Einstellung ein Gerät sicher macht: DNS ist eine Schicht unter vielen, und entschlossene, gut ausgestattete Angreifer passen sich an jede einzelne Verteidigung an. Wer einer konkreten, ernsten Bedrohung gegenübersteht — ein Journalist, ein Aktivist, jemand unter gezielter Überwachung — ist mit fachkundiger Hilfe besser bedient als mit einer Checkliste. Die Digital Security Helpline von Access Now bietet Menschen und Organisationen in Gefahr kostenlose, direkte technische Unterstützung, und die Freedom of the Press Foundation unterstützt Journalisten mit ähnlichen Hinweisen zur digitalen Sicherheit.