Отвличане на DNS – какво представлява тази атака и как работи?

DNS често се сравнява телефонния указател, но на интернета. Въвеждате името на даден сайт и системата тихо и бързо ви съобщава IP адреса, на който да отидете. Ако нападател се намеси в този процес, браузърът ви послушно отива не там, където сте искали, а там, където е бил насочен. Така започва историята на DNS Hijacking (Отвличане на DNS) – семейство атаки, които подменят отговора на услугата за имена на домейни.

Интересното в тази тема е, че отвличането на DNS не изисква хакване на самия сайт или на криптирането му. Достатъчно е да ви накарат да се обърнете към фалшив адрес.

Визуално всичко изглежда нормално: познатото име в адресната лента, логото на компанията, дори зеленото катинарче може да не ви спасят, ако нападателят е обмислил сценария. Нека разберем къде точно се извършва подмяната на адреса, какви методи се използват за постигането ѝ и как да изградим многостепенна защита.

Какво представлява DNS Hijacking от гледна точка на практиката

Под DNS hijacking обикновено се разбира намеса в разрешаването на имената на домейни, когато нападателят се уверява, че потребителят получава „грешен“ IP адрес. Това може да бъде подправяне на незабавен отговор, подмяна на кеша на резолвера или пренасочване на заявката към „чужд“ сървър. Съществуват много варианти, но целта е една и съща: да се промени маршрутът на трафика още преди да се установи връзка с желания ресурс.

Често се използват и други термини. „Spoofing“ подчертава факта, че е даден неправилен отговор. „Отравяне на кеша“ е ситуация, при която неверни данни попадат в кеша на DNS сървъра и се разпространяват по-нататък. „Отвличане“ е по-широко явление и включва случаи, при които заявката се отвежда към друг резолвер чрез мрежови трикове. Съществуват и „търговски“ версии – например, когато доставчиците на интернет услуги подменят отговорите, за да показват реклами на несъществуващи домейни. Технически това също е форма на намеса в нормалната работа на DNS.

Къде точно се извършва подмяната: нива на атака

Вътре в локалната мрежа

Най-приземената равнина е локалната мрежа у дома или в офиса. Тук нападателят може да се представи за „доверен“ източник на мрежови настройки и да подмени адреса на вашия DNS сървър. Това често се постига чрез подправяне на отговорите на услугата за разпределение на адреси или манипулиране на таблиците за съседство. Потребителят не забелязва нищо: интернет „работи“, само отговорите идват със стойностите, от които се нуждае нападателят.

Защо това е ефективно? Локалните протоколи първоначално са били проектирани с приоритет удобство и не винаги предвиждат стриктно удостоверяване на отговорите. Ако мрежата няма контрол върху издаването на настройките и няма филтриране, подмяната на данните протича тихо. В корпоративна среда се добавя факторът на доверие на „вътрешните“ адреси, което улеснява маскирането на злонамерени отговори като легитимни.

От страна на доставчика на интернет услуги или публичния резолвер

Следващата рискова зона са външните резолвери: доставчик на интернет услуги, публични и корпоративни. Ако нападателят получи достъп до тях или пренастрои трафика към тях, мащабът на последствията нараства драстично: всички клиенти на този сървър ще видят подмяната. Съществуват и по-малко радикални сценарии: филтриране на отделни домейни, пренасочване към „предупредителен портал“ и намеса по регулаторни причини. За потребителя това изглежда като „DNS работи странно“, въпреки че технически това е целенасочена модификация на отговорите.

Дори без да хаква сървъра, нападателят може да принуди заявките ви да преминават през „неговия“ посредник. Това става чрез използване на пренасочване или принудително подправяне на маршрути. Ако системата не криптира DNS заявките, те лесно могат да бъдат прихванати и модифицирани по пътя.

На ниво глобално маршрутизиране

Понякога атаката отива по-надълбоко – в опорната мрежа. Отвличането на маршрути позволява трафикът да бъде временно пренасочен към правилните автономни системи, където вече може да бъде анализиран и подправен. Това е по-сложен клас атаки, но последиците са мащабни: засегнати са цели региони и доставчици на интернет услуги, а заедно с тях и техният DNS трафик.

Такива инциденти обикновено са краткотрайни: операторската екосистема реагира бързо. Но дори и няколко минути на „грешен“ маршрут са достатъчни, за да се кешират фалшиви записи в много резолвери. След това подправянето ще продължи да „живее“, докато изтече срокът на живот на записа.

От страна на собственика на домейна

Отделна опасност е акаунтът с настройките на регистратора и авторитетния сървър. Ако атакуващият получи достъп до контролния панел на домейна, той може да промени списъка на NS сървърите или записите директно в зоната. Това не е превземане в мрежовия смисъл, а компрометиране на управлението на домейна, но ефектът е същият за потребителя: името започва да сочи към „грешното“ място.

Добрата новина е, че този вектор се контролира най-добре от самия собственик на домейна: включеното двуфакторно удостоверяване, блокирането на критични операции и наблюдението на промените значително намаляват риска.

Техники на атаките

Фалшифицирането на отговор може да се извърши по различни начини. По-долу е представен преглед на високо ниво на основните техники без оперативни подробности.

• Подправяне на мрежов отговор в локална мрежа. Нападателят принуждава устройствата да го приемат като „основен“ източник на мрежови параметри, след което дава адреса на „своя“ DNS-сървър. Следващата стъпка е въпрос на техника: всяка заявка след името връща удобен за нападателя IP адрес.
• Отравяне на кеша на резолвера. В кеша на DNS-сървъра се инжектират злонамерени отговори, така че следващите потребители да получават неверни данни. Исторически са известни цели класове атаки, които ускоряват еволюцията на случайността на идентификаторите на заявките, портовете на източниците и други защити.
• Принудително пренасочване на заявки. Запитванията към легитимен резолвер се пренасочват към контролиран сървър. Потребителят продължава да „пита DNS“, но всъщност разговаря с непознат.
• Манипулация на ниво маршрутизация. Временното улавяне на маршрути позволява да се види и модифицира трафикът, включително DNS пакетите. Рядко срещано, сложно, но много ефективно от гледна точка на обхвата.
• Компрометиране на домейни. Промяна на NS записите или съдържанието на зоната от страна на регистратора или авторитетния сървър. Това е административна атака, но в действителност е същото подправяне на адреси.

Каква е опасността от това на практика

Основният риск е насочването на потребителите към фалшив ресурс, като същевременно се поддържа илюзията за „обичайната дейност“. По този начин се крадат идентификационни данни, прокарват се злонамерени актуализации, прихващат се имейли и платежни транзакции. Точките на приложение не се ограничават само до уебсайтове: много услуги във фонов режим също се адресират по име и се доверяват на получения адрес.

Криптирането на трафика спасява положението, но при условие че потребителят проверява сертификата и не пренебрегва предупрежденията. В действителност подправянето често разчита на психологията: „Кликнете върху „Продължи“, всичко е безопасно“, „Сертификатът скоро ще бъде актуализиран“ и т.н. В корпоративните сегменти сценариите са още по-изтънчени: атаката може да засегне вътрешни имена, хранилища и системи за актуализация, което води до верига от компромати.

Как да разпознавате признаците на прихващане

Не съществува абсолютно надежден лакмус, но има набор от симптоми, които трябва да ви предупреждават. Колкото повече съвпадения има, толкова по-сериозна е причината да проверите веригата за разрешаване на имена и маршрутите.

• Сайтът се отваря, но изглежда по-различно от обикновено: различен домейн в линковете, странни форми за вход, непознати адреси на статични ресурси.
• TLS сертификатът не отговаря на очакванията, браузърът се кълне в подлога, а предупреждението се предлага да се „временно“ игнорира.
• Заявките за имена започват да „тръгват“ към непознати адреси на резолвери. Проверете какви DNS-сървъри са издадени на вашата система и ги сравнете с тези, които сте конфигурирали.
• Някои от популярните домейни внезапно спират да работят, а някои от тях се отварят „от първия път“. Това може да е последица от отровен кеш.

За първоначална самодиагностика е полезно да сравните отговорите от различни източници: вашия резолвер, независим публичен сървър и директна заявка към авторитетни зони. Помощните програми за командния ред ще свършат тази работа, но уеб базираните помощни програми са по-удобни за начинаещите – вижте по-долу.

Как да се защитите: основна стратегия за потребителя

За потребителя е важно да намали броя на местата, където дадена заявка може да бъде подправена, и да затрудни нападателя. Това не е вълшебен бутон, а набор от разумни навици и настройки, които работят заедно.

• Включете функцията за криптиране на DNS. Системите DNS over HTTPS (DoH), DNS over TLS (DoT) и по-новият вариант DNS over QUIC (DoQ) криптират заявките ви и затрудняват подправянето им по пътя. Съвременните браузъри и системи знаят как да правят това от самото начало.
• Използвайте надеждни резолвери с валидиране на DNSSEC. Утвърждаващият резолвер проверява криптографските подписи на записите, така че да не можете да подправите този отговор директно. Много публични услуги включват това потвърждение по подразбиране.
• Не пренебрегвайте предупрежденията на браузъра. Ако системата крещи за проблеми със сертификата, това не е „случайност“. По-добре е да спрете и да проверите връзката с помощта на алтернативен метод, отколкото да „пропуснете грешката“.
• Следете за адресите на DNS сървърите в настройките си. Всяка внезапна промяна в адресите на резолверите е причина да я разгледате. При мобилните телефони си струва да погледнете и какво дава Wi-Fi мрежата за гости.

Криптираният тунел може да добави защита, ако DNS трафикът се насочва вътре в него и не „изтича“ навън. Той обаче не е панацея: качеството на защитата зависи от настройките и интегритета на доставчика на услуги. И, разбира се, такава комуникация трябва да се използва отговорно и в рамките на закона.

Често срещани погрешни схващания

„Ако в адресната лента има катинарче, значи всичко е защитено.“ Катинарчето означава криптиране между вас и сървъра, към който се свързвате. Ако адресът е бил фалшифициран преди това, криптирането честно ще защити връзката към „грешния“ сървър. Проверете името на домейна и издателя на сертификата.

„DNSSEC криптира трафика.“ Не. DNSSEC потвърждава автентичността и целостта на записите с помощта на подписи. Други технологии, като DoH, DoT и DoQ криптират канала.

„Всичко, от което се нуждаете, е публичен резолвер и проблемът е решен.“ Добрият публичен резолвер е силен елемент на защита, но той не покрива локалните рискове и не елиминира дисциплината при клиентите. Необходима е комбинация от мерки.

Заключение

Превземането на DNS не е единична „суператака“, а семейство от техники, които ни удрят там, където сме най-слаби: в момент, когато просто търсим връзка. Добрата новина е, че е лесно да се изгради защита на слоеве. Криптиран канал за заявките, валидиращи резолвери, дисциплина в локалната мрежа и внимание към промените – заедно те драстично увеличават цената на атаката и намаляват вероятността за успех.

Криптографското подписване на зони, контролът при регистратора и основното наблюдение допълват картината. В резултат на това, дори ако някой се опита да открадне трафика ви тихомълком, алармата ще прозвучи достатъчно силно и навреме. Това означава, че можете да върнете заявките към правилния адрес и да продължите да работите там, където сте спрели.