O DNS nos ataques e na defesa

O DNS fica tão cedo em cada ligação que aparece nos dois lados da segurança: os atacantes dependem de como os nomes de domínio são escolhidos e resolvidos, e os defensores usam o mesmo sistema para bloquear destinos conhecidos como maus. Três usos do DNS valem a pena ser entendidos por si só.

Phishing e domínios parecidos

Um site de phishing não precisa de quebrar o DNS; só precisa de um nome de domínio suficientemente parecido para enganar um leitor apressado. A agência norte-americana de cibersegurança e infraestrutura (CISA) descreve exatamente este padrão: "os sites maliciosos podem parecer idênticos a um site legítimo, mas o URL pode usar uma variação na ortografia ou um domínio diferente (por exemplo, .com versus .net)." A CISA também recomenda verificar para onde uma hiperligação realmente aponta antes de confiar nela: "se passar o cursor sobre quaisquer hiperligações no corpo do e-mail, e as hiperligações não corresponderem ao texto que aparece ao passar o cursor sobre elas, a hiperligação pode estar falsificada."

Bloqueio por DNS

Como um dispositivo pergunta a um resolvedor antes de sequer conseguir chegar a um site, quem controla esse resolvedor pode impedir silenciosamente que a ligação alguma vez comece. A Electronic Frontier Foundation explica o mecanismo claramente: "um ISP pode programar o seu resolvedor de DNS para dar uma resposta incorreta, ou nenhuma resposta, sempre que um utilizador tenta pesquisar a localização de um site ou serviço bloqueado." Mudar para um resolvedor que responda honestamente pode restaurar o acesso, e usar DNS encriptado (a lição anterior) acrescenta outra camada, já que pode "impedir que qualquer agente de rede veja (e filtre) o seu tráfego DNS." A EFF também assinala os limites dessa abordagem: "se estiver a usar algum dos serviços populares de DNS encriptado, como o 1.1.1.1 ou o 8.8.8.8, tenha em conta que os governos podem visar diretamente estes pontos finais."

Tunelamento de DNS

O tráfego DNS é permitido de forma tão rotineira através dos firewalls que pode ser usado de forma abusiva como um canal próprio. O MITRE ATT&CK, o catálogo amplamente usado de técnicas reais de atacantes, descreve isto como tunelamento de DNS: "os adversários podem abusar do DNS para comunicar com sistemas sob o seu controlo dentro de uma rede vítima, ao mesmo tempo que imitam tráfego normal e esperado." Na prática, isto significa que comandos ou dados roubados são codificados em consultas e respostas DNS, que passam despercebidos entre as pesquisas legítimas que cada dispositivo faz constantemente. É uma técnica construída sobre um protocolo, de resto comum e essencial, o que é parte do motivo pelo qual é difícil para uma rede bloquear por completo.

Escolher um resolvedor

Não há um único resolvedor que seja simplesmente "seguro": cada escolha desloca a visibilidade para algum lugar. A Cloudflare nota que o seu próprio resolvedor público, o 1.1.1.1, "suporta tanto o DoT como o DoH", e outros resolvedores públicos oferecem as mesmas opções encriptadas; seja qual for o que escolher, esse operador torna-se a parte que vê as suas pesquisas, como descreveu a lição anterior sobre visibilidade. Um resolvedor que também bloqueia domínios conhecidos como maliciosos pode impedir que uma pesquisa alguma vez chegue a um domínio confirmado de phishing ou ataque, mas é um filtro, não uma garantia de que todos os domínios perigosos estarão na sua lista.

Nada disto equivale à promessa de que uma única definição torna um dispositivo seguro: o DNS é uma camada entre muitas, e atacantes determinados e bem equipados adaptam-se a qualquer defesa isolada. Quem enfrenta uma ameaça específica e séria — um jornalista, um ativista, alguém sob vigilância direcionada — está melhor servido por ajuda especializada do que por uma lista de verificações. A Linha de Ajuda de Segurança Digital da Access Now oferece assistência técnica gratuita e direta a pessoas e organizações em risco, e a Freedom of the Press Foundation apoia jornalistas com orientação de segurança digital semelhante.