Il DNS negli attacchi e nella difesa

Il DNS si trova così presto in ogni connessione che compare su entrambi i lati della sicurezza: gli aggressori fanno affidamento su come vengono scelti e risolti i nomi di dominio, e i difensori usano lo stesso sistema per bloccare destinazioni note per essere dannose. Tre usi del DNS meritano di essere compresi a sé.

Phishing e domini simili

Un sito di phishing non ha bisogno di violare il DNS; ha solo bisogno di un nome di dominio abbastanza simile da ingannare un lettore frettoloso. La US Cybersecurity and Infrastructure Security Agency (CISA) descrive esattamente questo schema: “i siti web dannosi possono sembrare identici a un sito legittimo, ma l’URL può usare una variazione nell’ortografia o un dominio diverso (ad es., .com contro .net).” CISA raccomanda anche di controllare dove punta effettivamente un link prima di fidarsene: “se passi il cursore su qualsiasi link nel corpo dell’email, e i link non corrispondono al testo che appare passandoci sopra, il link potrebbe essere falsificato.”

Il blocco tramite DNS

Poiché un dispositivo interpella un resolver prima di poter raggiungere del tutto un sito, chiunque controlli quel resolver può silenziosamente impedire che la connessione inizi mai. L’Electronic Frontier Foundation spiega il meccanismo chiaramente: “un ISP può programmare il proprio resolver DNS per dare una risposta scorretta, o nessuna risposta, ogni volta che un utente cerca di trovare la posizione di un sito o servizio bloccato.” Passare a un resolver che risponde onestamente può ripristinare l’accesso, e usare DNS cifrato (la lezione precedente) aggiunge un altro livello, poiché può “impedire a qualsiasi attore di rete di vedere (e filtrare) il tuo traffico DNS.” L’EFF segnala anche i limiti di questo approccio: “se usi uno dei popolari servizi DNS cifrati come 1.1.1.1 o 8.8.8.8, tieni presente che i governi possono prendere di mira questi endpoint” direttamente.

Il tunneling DNS

Il traffico DNS è talmente consentito di routine attraverso i firewall che può essere abusato come canale a sé stante. MITRE ATT&CK, il catalogo ampiamente usato delle tecniche reali degli aggressori, descrive questo come tunneling DNS: “gli avversari possono abusare del DNS per comunicare con sistemi sotto il loro controllo all’interno di una rete vittima, imitando al contempo il traffico normale e atteso.” Nella pratica questo significa che comandi o dati rubati vengono codificati in query e risposte DNS, che passano inosservati tra le ricerche legittime che ogni dispositivo fa costantemente. È una tecnica costruita dentro un protocollo altrimenti ordinario ed essenziale, il che è parte del motivo per cui è difficile per una rete bloccarlo del tutto.

Scegliere un resolver

Non esiste un unico resolver che sia semplicemente “sicuro”: ogni scelta sposta la visibilità da qualche parte. Cloudflare nota che il proprio resolver pubblico, 1.1.1.1, “supporta sia DoT che DoH”, e altri resolver pubblici offrono le stesse opzioni cifrate; qualunque tu scelga, quell’operatore diventa la parte che vede le tue ricerche, come descritto nella lezione precedente sulla visibilità. Un resolver che blocca anche i domini noti per essere dannosi può impedire che una ricerca raggiunga mai un dominio confermato di phishing o attacco, ma è un filtro, non una garanzia che ogni dominio pericoloso sarà nella sua lista.

Nulla di tutto ciò equivale alla promessa che una singola impostazione renda sicuro un dispositivo: il DNS è un livello tra molti, e gli aggressori determinati e ben attrezzati si adattano attorno a qualsiasi singola difesa. Chiunque affronti una minaccia specifica e seria, un giornalista, un attivista, qualcuno sotto sorveglianza mirata, è meglio servito da un aiuto esperto che da una lista di controllo. La Digital Security Helpline di Access Now offre assistenza tecnica gratuita e diretta a persone e organizzazioni a rischio, e la Freedom of the Press Foundation sostiene i giornalisti con una guida simile sulla sicurezza digitale.