DNS w atakach i obronie

DNS pojawia się tak wcześnie w każdym połączeniu, że widnieje po obu stronach bezpieczeństwa: atakujący polegają na tym, jak wybierane i rozwiązywane są nazwy domen, a obrońcy używają tego samego systemu, by blokować znane, złe cele. Warto zrozumieć osobno trzy zastosowania DNS.

Phishing i podszywające się domeny

Strona phishingowa nie musi łamać DNS; potrzebuje tylko nazwy domeny wystarczająco zbliżonej, by oszukać spieszącego się czytelnika. Amerykańska Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) opisuje dokładnie ten wzorzec: „szkodliwe strony mogą wyglądać identycznie jak legalna strona, ale adres URL może zawierać wariant pisowni albo inną domenę (np. .com zamiast .net)”. CISA zaleca też sprawdzenie, dokąd faktycznie prowadzi link, zanim mu zaufasz: „jeśli najedziesz kursorem na dowolny link w treści e-maila, a linki nie zgadzają się z tekstem pojawiającym się po najechaniu na nie, link może być sfałszowany”.

Blokowanie przez DNS

Ponieważ urządzenie pyta resolver, zanim w ogóle będzie mogło dotrzeć do strony, kontrolujący ten resolver może po cichu uniemożliwić, by połączenie w ogóle się rozpoczęło. Electronic Frontier Foundation wprost wyjaśnia ten mechanizm: „dostawca internetu może zaprogramować swój resolver DNS tak, by dawał niepoprawną odpowiedź albo żadną odpowiedź, gdy tylko użytkownik próbuje wyszukać lokalizację zablokowanej strony lub usługi”. Przełączenie się na resolver, który odpowiada uczciwie, może przywrócić dostęp, a użycie szyfrowanego DNS (poprzednia lekcja) dodaje kolejną warstwę, ponieważ może „uniemożliwić dowolnemu podmiotowi w sieci widzenie (i filtrowanie) twojego ruchu DNS”. EFF zaznacza też ograniczenia tego podejścia: „jeśli korzystasz z któregokolwiek z popularnych szyfrowanych usług DNS, takich jak 1.1.1.1 czy 8.8.8.8, miej świadomość, że rządy mogą bezpośrednio celować w te punkty końcowe”.

Tunelowanie DNS

Ruch DNS jest tak rutynowo przepuszczany przez firewalle, że można go nadużyć jako własny kanał. MITRE ATT&CK, powszechnie używany katalog rzeczywistych technik atakujących, opisuje to jako tunelowanie DNS: „przeciwnicy mogą nadużywać DNS, by komunikować się z systemami pod ich kontrolą wewnątrz sieci ofiary, jednocześnie naśladując normalny, oczekiwany ruch”. W praktyce oznacza to, że polecenia lub skradzione dane są kodowane w zapytaniach i odpowiedziach DNS, które przechodzą niezauważone wśród prawowitych zapytań, jakie każde urządzenie wykonuje bez przerwy. To technika wbudowana w poza tym zwykły, niezbędny protokół, co częściowo tłumaczy, dlaczego sieci trudno ją całkowicie zablokować.

Wybór resolvera

Nie ma jednego resolvera, który byłby po prostu „bezpieczny”: każdy wybór gdzieś przenosi widoczność. Cloudflare zaznacza, że jego własny publiczny resolver, 1.1.1.1, „wspiera zarówno DoT, jak i DoH”, a inne publiczne resolvery oferują te same szyfrowane opcje; niezależnie od wyboru, ten operator staje się stroną widzącą twoje zapytania, jak opisała wcześniejsza lekcja o widoczności. Resolver, który blokuje też znane, szkodliwe domeny, może uniemożliwić dotarcie zapytania do potwierdzonej domeny phishingowej lub atakującej, ale to filtr, nie gwarancja, że każda niebezpieczna domena znajdzie się na jego liście.

Nic z tego nie oznacza obietnicy, że jedno ustawienie czyni urządzenie bezpiecznym: DNS to jedna warstwa spośród wielu, a zdeterminowani, dobrze wyposażeni atakujący dostosowują się do każdej pojedynczej obrony. Każdy, kto stoi w obliczu konkretnego, poważnego zagrożenia — dziennikarz, aktywista, osoba pod celowaną inwigilacją — lepiej skorzysta z pomocy ekspertów niż z listy kontrolnej. Digital Security Helpline organizacji Access Now oferuje bezpłatną, bezpośrednią pomoc techniczną osobom i organizacjom zagrożonym, a Freedom of the Press Foundation wspiera dziennikarzy podobnymi wskazówkami dotyczącymi bezpieczeństwa cyfrowego.