Što je trovanje predmemorijom DNS-a?

Trovanje predmemorije DNS-a, poznato i kao DNS podvala, vrsta je napada koji iskorištava ranjivosti u sustavu naziva domena (DNS) kako bi se odvratio internetski promet od legitimnih poslužitelja i prema lažnim.

Jedan od razloga zašto je trovanje DNS-om toliko opasno je to što se može prenijeti s DNS poslužitelja na DNS poslužitelj. Tijekom 2010. godine, događaj trovanja DNS-om doveo je do toga da je Veliki vatrozid Kine privremeno pobjegao iz kineskih nacionalnih granica, cenzurirajući internet u SAD-u dok se problem ne riješi.

Kako funkcionira DNS

Kad god vaše računalo kontaktira naziv domene kao što je “google.com”, prvo mora kontaktirati svoj DNS poslužitelj. DNS poslužitelj odgovara s jednom ili više IP adresa na kojima računalo može doći do google.com. Računalo se zatim izravno povezuje s tom numeričkom IP adresom. DNS konvertira ljudski čitljive adrese poput "google.com" u računalno čitljive IP adrese poput "173.194.67.102".

• Pročitajte više: HTG objašnjava: Što je DNS?

Spremanje DNS-a

Internet nema samo jedan DNS poslužitelj, jer bi to bio iznimno neučinkovit. Vaš davatelj internetskih usluga pokreće vlastite DNS poslužitelje, koji predmemoriraju informacije s drugih DNS poslužitelja. Vaš kućni usmjerivač funkcionira kao DNS poslužitelj, koji sprema informacije s DNS poslužitelja vašeg ISP-a. Vaše računalo ima lokalnu DNS predmemoriju, tako da se može brzo pozabaviti DNS pregledima koji su već izvedeni, a ne stalno izvođenje DNS pretraživanja..

Trovanje predmemorije DNS-a

DNS predmemorija može biti otrovana ako sadrži pogrešan unos. Na primjer, ako napadač dobije kontrolu nad DNS poslužiteljem i promijeni neke informacije na njemu - na primjer, mogli bi reći da google.com zapravo ukazuje na IP adresu koju napadač posjeduje - taj bi DNS poslužitelj rekao korisnicima da gledaju za Google.com na pogrešnoj adresi. Adresa napadača može sadržavati neku vrstu zlonamjernog web-mjesta za krađu identiteta

Takvo DNS otrovanje također se može proširiti. Na primjer, ako razni davatelji internetskih usluga dobivaju svoje DNS informacije od ugroženog poslužitelja, otrovani DNS unos proširit će se na davatelje internetskih usluga i tamo biti spremljen u predmemoriju. Tada će se proširiti na kućne usmjerivače i DNS predmemorije na računalima dok pretražuju unos DNS-a, primaju pogrešan odgovor i pohranjuju ga.

Veliki vatrozid Kine prostire se u SAD

To nije samo teoretski problem - to se događalo u stvarnom svijetu u velikoj mjeri. Jedan od načina na koji kineski Great Firewall funkcionira je blokiranje na razini DNS-a. Na primjer, web-lokacija koja je blokirana u Kini, kao što je twitter.com, može imati svoje DNS zapise koji upućuju na pogrešnu adresu na DNS poslužiteljima u Kini. To bi rezultiralo da je Twitter normalnim sredstvima nedostupan. Razmislite o tome kako Kina namjerno truje svoje vlastite DNS poslužitelje.

U 2010, davatelj internetskih usluga izvan Kine pogrešno je konfigurirao svoje DNS poslužitelje da dohvaćaju informacije s DNS poslužitelja u Kini. Nabavio je netočne DNS zapise iz Kine i predmemorirao ih na vlastitim DNS poslužiteljima. Ostali davatelji internetskih usluga dohvatili su DNS informacije od tog davatelja internetskih usluga i koristili ih na svojim DNS poslužiteljima. Zatvoreni DNS zapisi nastavili su se širiti sve dok neki ljudi u SAD-u nisu blokirali pristup Twitteru, Facebooku i YouTubeu na svojim američkim davateljima internetskih usluga. Kineski veliki vatrozid “procurio” je izvan svojih nacionalnih granica, sprječavajući ljude iz drugih dijelova svijeta da pristupe tim stranicama. To je u suštini funkcioniralo kao napad DNS-a na trovanje velikih razmjera. (Izvor.)

Rješenje

Pravi razlog zašto je trovanje predmemorije DNS-a problem je u tome što ne postoji pravi način utvrđivanja jesu li DNS odgovori koje primate uistinu legitimni ili su manipulirani.

Dugoročno rješenje za trovanje DNS-om u kešu je DNSSEC. DNSSEC će omogućiti organizacijama da potpišu svoje DNS zapise pomoću kriptografije javnog ključa, osiguravajući da vaše računalo zna da li se DNS zapis treba pouzdati ili da li je otrovan i preusmjerava na pogrešnu lokaciju.

• Pročitajte više: Kako će DNSSEC pomoći u osiguravanju Interneta i kako je SOPA gotovo nezakonita

Image Credit: Andrew Kuznetsov na Flickr, Jemimus na Flickr, NASA