DNS в атаках і захисті

DNS стоїть настільки рано в кожному з’єднанні, що з’являється по обидва боки безпеки: зловмисники покладаються на те, як обираються й вирішуються доменні імена, а захисники використовують ту саму систему, щоб блокувати відомо небезпечні місця призначення. Варто окремо розібратися в трьох застосуваннях DNS.

Фішинг і домени-двійники

Фішинговому сайту не потрібно ламати DNS; йому достатньо доменного імені, досить схожого, щоб обдурити читача, який поспішає. Агентство США з кібербезпеки та захисту інфраструктури (CISA) описує саме цю схему: «шкідливі сайти можуть виглядати ідентично легітимному сайту, але URL-адреса може використовувати варіацію написання чи інший домен (наприклад, .com замість .net)». CISA також рекомендує перевіряти, куди насправді веде посилання, перш ніж йому довіряти: «якщо навести курсор на будь-яке посилання в тілі листа, і посилання не збігається з текстом, що з’являється при наведенні, посилання може бути підробленим».

Блокування через DNS

Оскільки пристрій запитує резолвер, перш ніж узагалі дістатися сайту, той, хто контролює цей резолвер, може тихо запобігти самому початку з’єднання. Electronic Frontier Foundation пояснює механізм прямо: «інтернет-провайдер може налаштувати свій DNS-резолвер видавати неправильну відповідь або жодної відповіді щоразу, коли користувач намагається знайти адресу заблокованого сайту чи сервісу». Перехід на резолвер, що відповідає чесно, може відновити доступ, а використання шифрованого DNS (попереднє заняття) додає ще один шар, оскільки може «завадити будь-якому мережевому учаснику бачити (і фільтрувати) ваш DNS-трафік». EFF також вказує на межі такого підходу: «якщо ви користуєтеся якимось із популярних сервісів шифрованого DNS, таких як 1.1.1.1 чи 8.8.8.8, майте на увазі, що уряди можуть цілитися саме в ці кінцеві точки» напряму.

Тунелювання через DNS

DNS-трафік настільки рутинно пропускають фаєрволи, що його можна зловживати як окремий канал. MITRE ATT&CK, широковживаний каталог реальних технік зловмисників, описує це як тунелювання DNS: «зловмисники можуть зловживати DNS для спілкування із системами під своїм контролем усередині мережі жертви, водночас імітуючи звичайний, очікуваний трафік». На практиці це означає, що команди чи вкрадені дані кодуються в DNS-запити й відповіді, які проходять непоміченими серед легітимних пошуків, які постійно робить кожен пристрій. Це техніка, вбудована в загалом звичайний, необхідний протокол, що частково пояснює, чому мережі важко заблокувати її повністю.

Вибір резолвера

Немає єдиного резолвера, який просто «безпечний»: кожен вибір переміщує видимість кудись. Cloudflare зазначає, що її власний публічний резолвер, 1.1.1.1, «підтримує і DoT, і DoH», і інші публічні резолвери пропонують такі самі шифровані варіанти; який би ви не обрали, саме цей оператор стає стороною, що бачить ваші пошуки, як описано в попередньому занятті про видимість. Резолвер, що також блокує відомо шкідливі домени, може завадити пошуку взагалі дістатися підтвердженого фішингового чи атакувального домену, але це фільтр, а не гарантія, що кожен небезпечний домен буде в його списку.

Ніщо з цього не рівнозначне обіцянці, що якесь одне налаштування робить пристрій безпечним: DNS — лише один шар серед багатьох, а вмотивовані, добре забезпечені ресурсами зловмисники адаптуються в обхід будь-якого окремого захисту. Кожному, хто стикається з конкретною, серйозною загрозою — журналісту, активісту, людині під цілеспрямованим спостереженням — краще звернутися по експертну допомогу, ніж покладатися на список порад. Служба цифрової безпеки Access Now пропонує безкоштовну, пряму технічну допомогу людям та організаціям під ризиком, а Freedom of the Press Foundation підтримує журналістів подібними настановами з цифрової безпеки.