El DNS en los ataques y la defensa

El DNS está tan temprano en toda conexión que aparece en ambos lados de la seguridad: los atacantes se apoyan en cómo se eligen y resuelven los nombres de dominio, y quienes defienden usan el mismo sistema para bloquear destinos conocidos como maliciosos. Vale la pena entender tres usos del DNS por separado.

Phishing y dominios parecidos

Un sitio de phishing no necesita romper el DNS; solo necesita un nombre de dominio lo bastante parecido para engañar a alguien que lee con prisa. La Agencia de Ciberseguridad e Infraestructura de EE. UU. (CISA) describe exactamente este patrón: “los sitios web maliciosos pueden verse idénticos a un sitio legítimo, pero la URL puede usar una variación de ortografía o un dominio distinto (p. ej., .com frente a .net).” La CISA también recomienda comprobar a dónde apunta realmente un enlace antes de confiar en él: “si pasas el cursor sobre cualquier enlace en el cuerpo del correo, y los enlaces no coinciden con el texto que aparece al pasar el cursor sobre ellos, el enlace puede estar falsificado.”

Bloqueo por DNS

Como un dispositivo le pregunta a un resolvedor antes de poder llegar a un sitio en absoluto, quien controle ese resolvedor puede impedir en silencio que la conexión llegue siquiera a empezar. La Electronic Frontier Foundation explica el mecanismo sin rodeos: “un ISP puede programar su resolvedor DNS para dar una respuesta incorrecta, o ninguna respuesta, cada vez que un usuario intenta buscar la ubicación de un sitio o servicio bloqueado.” Cambiar a un resolvedor que responda con honestidad puede restaurar el acceso, y usar DNS cifrado (la lección anterior) añade otra capa, ya que puede “evitar que cualquier actor de la red vea (y filtre) tu tráfico DNS.” La EFF también señala los límites de ese enfoque: “si usas alguno de los servicios de DNS cifrado populares como 1.1.1.1 u 8.8.8.8, ten en cuenta que los gobiernos pueden apuntar a estos puntos finales” directamente.

Túneles DNS

El tráfico DNS se permite tan rutinariamente a través de los cortafuegos que se puede abusar de él como un canal propio. MITRE ATT&CK, el catálogo ampliamente usado de técnicas reales de atacantes, describe esto como túneles DNS: “los adversarios pueden abusar del DNS para comunicarse con sistemas bajo su control dentro de una red víctima, imitando a la vez el tráfico normal y esperado.” En la práctica, esto significa que se codifican comandos o datos robados en las consultas y respuestas DNS, que pasan desapercibidos entre las búsquedas legítimas que hace constantemente cada dispositivo. Es una técnica construida sobre un protocolo por lo demás ordinario y esencial, que es parte de por qué es difícil que una red lo bloquee del todo.

Elegir un resolvedor

No hay un único resolvedor que sea simplemente “seguro”: cada elección traslada la visibilidad a algún lugar. Cloudflare señala que su propio resolvedor público, 1.1.1.1, “admite tanto DoT como DoH”, y otros resolvedores públicos ofrecen las mismas opciones cifradas; elijas el que elijas, ese operador se convierte en la parte que ve tus búsquedas, como describió la lección anterior sobre visibilidad. Un resolvedor que también bloquea dominios conocidos como maliciosos puede evitar que una búsqueda llegue a un dominio confirmado de phishing o ataque, pero es un filtro, no una garantía de que todo dominio peligroso vaya a estar en su lista.

Nada de esto equivale a prometer que un solo ajuste hace seguro a un dispositivo: el DNS es una capa entre muchas, y los atacantes decididos y con buenos recursos se adaptan a cualquier defensa individual. Cualquiera que enfrente una amenaza específica y seria, un periodista, un activista, alguien bajo vigilancia dirigida, está mejor atendido por ayuda experta que por una lista de comprobación. La Línea de Ayuda de Seguridad Digital de Access Now ofrece asistencia técnica directa y gratuita a personas y organizaciones en riesgo, y Freedom of the Press Foundation apoya a periodistas con orientación de seguridad digital similar.