DNS i attacker och försvar

DNS sitter så tidigt i varje anslutning att det dyker upp på båda sidor av säkerheten: angripare förlitar sig på hur domännamn väljs och löses, och försvarare använder samma system för att blockera kända dåliga destinationer. Tre användningar av DNS är värda att förstå på egen hand.

Nätfiske och look-alike-domäner

En nätfiskesida behöver inte bryta DNS; det behöver bara ett domännamn som är tillräckligt nära för att lura en läsare i all hast. US Cybersecurity and Infrastructure Security Agency (CISA) beskriver exakt detta mönster: "skadliga webbplatser kan se identiska ut med en legitim webbplats, men webbadressen kan använda en variation i stavning eller en annan domän (t.ex. .com vs .net)." CISA rekommenderar också att du kontrollerar var en länk faktiskt pekar innan du litar på den: "om du håller muspekaren över några länkar i e-postmeddelandet och länkarna inte matchar texten som visas när du håller muspekaren över dem, kan länken vara förfalskad."

DNS-blockering

Eftersom en enhet frågar en resolver innan den kan nå en plats överhuvudtaget, kan den som kontrollerar den resolvern tyst förhindra att anslutningen någonsin startar. Electronic Frontier Foundation förklarar mekanismen tydligt: ​​"en ISP kan programmera sin DNS-resolver att ge ett felaktigt svar, eller inget svar, närhelst en användare försöker leta upp platsen för en blockerad webbplats eller tjänst." Att byta till en resolver som svarar ärligt kan återställa åtkomst, och att använda krypterad DNS (föregående lektion) lägger till ytterligare ett lager, eftersom det kan "förhindra någon nätverksaktör från att se (och filtrera) din DNS-trafik." EFF flaggar också för gränserna för det tillvägagångssättet: "om du använder någon av de populära krypterade DNS-tjänsterna som 1.1.1.1 eller 8.8.8.8, var medveten om att regeringar kan rikta in sig på dessa slutpunkter" direkt.

DNS-tunnling

DNS-trafik tillåts så rutinmässigt genom brandväggar att den kan missbrukas som en egen kanal. MITER ATT&CK, den mycket använda katalogen över verkliga angripartekniker, beskriver detta som DNS-tunnling: "motståndare kan missbruka DNS för att kommunicera med system under deras kontroll inom ett offernätverk samtidigt som de efterliknar normal, förväntad trafik." I praktiken innebär detta att kommandon eller stulna data kodas in i DNS-frågor och -svar, som passerar obemärkt bland de legitima sökningar som varje enhet gör konstant. Det är en teknik inbyggd i ett annars vanligt, väsentligt protokoll, vilket är en del av varför det är svårt för ett nätverk att blockera direkt.

Att välja en resolver

Det finns ingen enskild resolver som helt enkelt är "säker": varje val flyttar sikten någonstans. Cloudflare noterar att dess egen publika resolver, 1.1.1.1, "stödjer både DoT och DoH", och andra offentliga resolvers erbjuder samma krypterade alternativ; vilken du än väljer blir den operatören den part som ser dina uppslagningar, som den tidigare lektionen om synlighet beskrev. En resolver som också blockerar kända skadliga domäner kan stoppa en uppslagning från att någonsin nå en bekräftad nätfiske- eller attackdomän, men det är ett filter, inte en garanti för att varje farlig domän kommer att finnas på dess lista.

Inget av detta motsvarar ett löfte om att någon enskild inställning gör en enhet säker: DNS är ett lager bland många, och beslutsamma, välresursstarka angripare anpassar sig runt varje enskilt försvar. Den som står inför ett specifikt allvarligt hot, en journalist, en aktivist, någon under riktad övervakning, är bättre betjänt av experthjälp än av en checklista. Access Now Digital Security Helpline erbjuder gratis, direkt teknisk assistans till personer och organisationer i riskzonen, och Freedom of the Press Foundation stöder journalister med liknande digital säkerhetsvägledning.