DNS i angrep og forsvar

DNS sitter så tidlig i hver tilkobling at det dukker opp på begge sider av sikkerhet: angripere er avhengige av hvordan domenenavn velges og løses opp, og forsvarere bruker det samme systemet til å blokkere kjente skadelige mål. Tre bruksområder for DNS er verdt å forstå på egen hånd.

Phishing og lignende domener

Et phishing-nettsted trenger ikke å bryte DNS; det trenger bare et domenenavn nært nok til å lure en leser som har det travelt. Det amerikanske Cybersecurity and Infrastructure Security Agency (CISA) beskriver nøyaktig dette mønsteret: «ondsinnede nettsteder kan se identiske ut som et legitimt nettsted, men URL-en kan bruke en variasjon i staving eller et annet domene (f.eks. .com versus .net).» CISA anbefaler også å sjekke hvor en lenke faktisk peker før du stoler på den: «hvis du holder markøren over en hvilken som helst lenke i teksten i en e-post, og lenkene ikke stemmer med teksten som vises når du holder over dem, kan lenken være forfalsket.»

DNS-blokkering

Fordi en enhet spør en resolver før den i det hele tatt kan nå et nettsted, kan den som kontrollerer den resolveren stille forhindre at tilkoblingen noensinne starter. Electronic Frontier Foundation forklarer mekanismen enkelt: «en internettleverandør kan programmere sin DNS-resolver til å gi et feilaktig svar, eller intet svar, når en bruker prøver å slå opp plasseringen til et blokkert nettsted eller en blokkert tjeneste.» Å bytte til en resolver som svarer ærlig, kan gjenopprette tilgang, og bruk av kryptert DNS (forrige leksjon) legger til et ekstra lag, siden det kan «hindre enhver nettverksaktør fra å se (og filtrere) DNS-trafikken din.» EFF flagger også begrensningene ved den tilnærmingen: «hvis du bruker noen av de populære krypterte DNS-tjenestene som 1.1.1.1 eller 8.8.8.8, vær klar over at myndigheter kan målrette disse endepunktene» direkte.

DNS-tunnelering

DNS-trafikk slippes så rutinemessig gjennom brannmurer at den kan misbrukes som sin egen kanal. MITRE ATT&CK, den mye brukte katalogen over virkelige angripertekniker, beskriver dette som DNS-tunnelering: «angripere kan misbruke DNS for å kommunisere med systemer under deres kontroll i et offernettverk, samtidig som de etterligner normal, forventet trafikk.» I praksis betyr dette at kommandoer eller stjålne data kodes inn i DNS-spørringer og -svar, som passerer ubemerket blant de legitime oppslagene hver enhet gjør konstant. Det er en teknikk bygget inn i en ellers vanlig, essensiell protokoll, som er en del av hvorfor det er vanskelig for et nettverk å blokkere fullstendig.

Å velge en resolver

Det finnes ingen enkelt resolver som simpelthen er «trygg»: hvert valg flytter synligheten et sted. Cloudflare bemerker at deres egen offentlige resolver, 1.1.1.1, «støtter både DoT og DoH», og andre offentlige resolvere tilbyr de samme krypterte alternativene; uansett hvilken du velger, blir den operatøren parten som ser oppslagene dine, slik den tidligere leksjonen om synlighet beskrev. En resolver som også blokkerer kjente skadelige domener, kan stoppe et oppslag fra noensinne å nå et bekreftet phishing- eller angrepsdomene, men det er et filter, ikke en garanti for at hvert farlige domene vil være på listen dens.

Ingenting av dette utgjør et løfte om at en enkelt innstilling gjør en enhet trygg: DNS er ett lag blant mange, og målrettede angripere med gode ressurser tilpasser seg rundt ethvert enkelt forsvar. Alle som står overfor en spesifikk, alvorlig trussel, en journalist, en aktivist, noen under målrettet overvåkning, er bedre tjent med ekspertbistand enn med en sjekkliste. Access Nows Digital Security Helpline tilbyr gratis, direkte teknisk assistanse til personer og organisasjoner i risiko, og Freedom of the Press Foundation støtter journalister med lignende veiledning om digital sikkerhet.