DNS spoofing

DNS-сервери зіставляють зручні для читання доменні імена (наприклад, example.com) з IP-адресою, яка використовується для маршрутизації повідомлень між вузлами. Зазвичай, якщо сервер не знає даної IP-адреси, він виконує запит до іншого сервера, і процес триває рекурсивно. Для збільшення продуктивності, сервер, як правило, зберігає (кешує) значення IP-адреси і доменного імені на певний проміжок часу. Це означає, що якщо він отримує ще один запит на той самий запис, він зможе відповісти без необхідності запитувати інші сервери, до закінчення терміну дії кешу.

Коли DNS-сервер отримує помилкове значення IP адреси і кешує його для оптимізації продуктивності, це значення вважається отруйним, і сервер подає неправдиві відомості клієнтам. Якщо DNS-сервер отруєний, він може повертати невірну IP-адресу, передаючи трафік на інший комп'ютер (частіше зловмисника).[1]

Як правило, мережевий комп'ютер використовує DNS-сервери, що надаються Інтернет-провайдером (ISP) або власний сервер організації. DNS-сервери використовуються в організації мережі, щоб поліпшити продуктивність за рахунок кешування раніше отриманих результатів. Отруєння кешу на одному DNS-сервері може вплинути на користувачів, що обслуговуються безпосередньо на віддаленому сервері або тих, хто обслуговується даним сервером.

Щоб виконати отруєння кешу, зловмисник експлуатує недоліки програмного забезпечення сервера DNS. Сервер повинен правильно перевірити DNS відповіді, щоб переконатися, що вони належать надійному джерелу (наприклад, з допомогою DNSSEC); у противному випадку сервер може кешувати невірні записи локально і надавати іншим користувачам, які здійснюють запит.

Ця атака може бути використана для перенаправлення користувачів з сайту на інший сайт за вибором зловмисника. Наприклад, зловмисник підміняє IP-адреса вебсайту на даному DNS-сервері і замінює його IP-адресу сервера під власним контролем. Зловмисник створює файли на власному сервері з іменами, що збігаються з тими, що знаходяться на цільовому сервері. Ці файли зазвичай містять шкідливий контент, такий як комп'ютерні черв'яки або віруси.

Користувач, чий комп'ютер посилається на отруєні DNS-сервери обманом отримує контент, що надходить від неавторизованого сервера і несвідомо завантажує шкідливий контент. Цей метод може також використовуватися для фішингових атак, де фальшива версія справжнього сайту створюється для того, щоб зібрати особисті дані, такі як номери банківських та кредитних/дебетових карт.

Наприклад запис для сервера ns.target.example може бути отруєна і перенаправляти всі запити на IP-адресу зловмисника w.x.y.z. Ці атаки припускають, що сервер імен для target.example є ns.target.example.

Щоб виконати атаки, зловмисник повинен змусити цільовий DNS-сервер зробити запит на домен, контрольований одним з серверів імен зловмисників

subdomain.attacker.example. IN A

Answer:
(no response)

Authority section:
attacker.example. 3600 IN NS ns.target.example.

Additional section:
ns.target.example. IN A w.x.y.z

subdomain.attacker.example. IN A

Answer:
(no response)

Authority section:
target.example. 3600 IN NS ns.attacker.example.

Additional section:
ns.attacker.example. IN A w.x.y.z

Більшість атак, пов'язаних з отруєнням кешу на DNS-серверах, можуть бути відвернені, оскільки вони не довіряють інформації, переданої їм іншими DNS-серверами, і ігнорують будь-які передані назад записи DNS, які не мають прямого відношення до запиту. Наприклад, версії BIND 9.5.0-P1 і вище виконують ці перевірки. Рандомізація порту джерела для DNS-запитів в поєднанні з використанням криптографічно безпечних випадкових чисел для вибору як вихідного порту, так і 16-розрядного криптографічного числа може значно знизити ймовірність успішних DNS-атак.

Однак, коли маршрутизатори, брандмауери, проксі і інші аварійні пристрої виконують трансляцію мережевих адрес (NAT) або, більш конкретно, перетворення адрес порту (PAT), вони можуть переписувати вихідні порти, щоб відслідковувати стан з'єднання. При зміні портів джерела, пристрої PAT можуть видаляти випадкову випадковість порту, реалізовану серверами імен і захисними заглушками.

Secure DNS (DNSSEC) використовує криптографічні цифрові підписи, підписані довіреним сертифікатом відкритого ключа, для визначення достовірності даних. DNSSEC може протидіяти атакам отруєння кешу, але з 2008 року ще не отримала широкого застосування. У 2010 році DNSSEC була реалізована на серверах кореневої зони Інтернету.[2]

Така атака може бути зменшена на транспортному рівні або на рівні програми шляхом виконання наскрізної перевірки після встановлення з'єднання. Загальним прикладом цього є використання безпеки транспортного рівня і цифрових підписів.

Наприклад, використовуючи HTTPS (безпечну версію HTTP), користувачі можуть перевірити, чи є цифровий сертифікат сервера дійсним і належить очікуваному власнику вебсайту. Аналогічним чином, програма віддаленого входу в безпечний сервер перевіряє цифрові сертифікати на кінцевих точках (якщо вони відомі) перед продовженням сеансу. Для додатків, які завантажують оновлення автоматично, програма може вставляти копію сертифіката підпису локально і перевіряти підпис, що зберігається в оновленні програмного забезпечення, по вбудованому сертифікату.

• DNS hijacking
• DNS rebinding
• IP-спуфінг
• Mausezahn
• Pharming
• Root name server
• Dan Kaminsky