انتحال DNS وتسميم ذاكرة التخزين المؤقت

انتحال DNS هو تقديم استجابة DNS مزورة بحيث يحل الضحية اسمًا إلى عنوان IP يتحكم فيه المهاجم. أما تسميم ذاكرة التخزين المؤقت فهو شكل محدد من ذلك، تُقبل فيه الإجابة المزورة ويخزنها محلل تكراري مؤقتًا، مما يصيب كل عميل يستخدمه.

يكون الهدف عادةً إعادة توجيه حركة المرور: إرسال المستخدمين إلى صفحات تصيد أو ملفات برمجيات ضارة أو وكلاء وسيط من نوع man-in-the-middle.

عندما يرسل المحلل استعلامًا، يحاول مهاجم حقن رد مزور قبل أن يجيب الخادم المعتمد الشرعي. فإذا وصلت الإجابة المزورة أولًا وطابقت الحقول المتوقعة، تفوز بالسباق وتُخزّن مؤقتًا.

ولهذا تؤثر عوامل مثل زمن الاستجابة وترتيب الحزم ومنفذ الخروج الخاص بالمحلل تأثيرًا كبيرًا في الهجوم والدفاع.

لقبول استجابة UDP مزورة، يجب على المهاجم مطابقة ما يلي:

• عنوان IP المصدر (الخادم المعتمد).
• منفذ الوجهة (منفذ خروج المحلل).
• اسم الاستعلام ونوعه.
• معرّف المعاملة (TXID) المكوّن من 16 بت.

من دون وسائل حماية، يكون السر الحقيقي الوحيد هو TXID، مما يمنح احتمالًا يقارب 1 من 65,536 لكل حزمة.

أظهر إفصاح Dan Kaminsky في عام 2008 أن التسميم أسهل بكثير مما كان يُعتقد. فبدلًا من إجراء سباق واحد لكل سجل، يستعلم المهاجم عن العديد من النطاقات الفرعية غير الموجودة (aaa.bank.com، aab.bank.com...) ويغرق المحلل بإجابات مزورة تحتوي على سجل NS أو سجل glue ضار للنطاق بأكمله.

كل محاولة هي سباق جديد من دون عقوبة التخزين المؤقت الناتجة عن عدم العثور على السجل، لذلك يمكن للمهاجم تكرار المحاولات حتى يصيب التخمين ويُسمّم المنطقة بأكملها.

كان الإجراء الأساسي للتخفيف بعد هجوم Kaminsky هو عشوائية منفذ المصدر. فبدلًا من استخدام منفذ خروج ثابت، يختار المحلل منفذًا عشوائيًا مؤقتًا لكل استعلام.

أصبح على المهاجم الآن تخمين كل من TXID (16 بت) ومنفذ المصدر (نحو 16 بت)، مما يوسع مساحة البحث إلى نحو 2^32. وهذا يجعل تسميم ذاكرة التخزين المؤقت من خارج المسار وبشكل أعمى غير عملي، وإن لم يكن مستحيلًا في التطبيقات ذات العشوائية الضعيفة.

لا يستطيع المهاجم خارج المسار رؤية الاستعلام، وعليه تخمين TXID والمنفذ بشكل أعمى. أما المهاجم على المسار (مثل شبكة Wi-Fi مارقة أو جهاز توجيه مخترق أو مزود خدمة الإنترنت) فيستطيع قراءة الاستعلام مباشرةً وصياغة إجابة مطابقة بسهولة.

يتجاوز الانتحال على المسار عشوائية المنفذ تمامًا، ولذلك يلزم النقل المشفّر والتحقق من DNSSEC للحصول على ضمان قوي، وليس مجرد الاعتماد على العشوائية.

لا يزوّر المهاجمون الحزم دائمًا. إذ يستطيع خادم DHCP مارق تزويد العملاء بعنوان محلل DNS ضار، بحيث يجيب المهاجم عن كل عملية بحث. وبالمثل، تعيد البرمجيات الضارة كتابة /etc/resolv.conf أو إعدادات جهاز التوجيه.

وقد أعادت تهديدات تاريخية مثل برمجية DNSChanger توجيه DNS الخاص بالضحايا خفيةً إلى خوادم احتيالية لسنوات. تحققوا من المحللات التي تستخدمها أجهزتكم فعليًا.

تفرض المحللات قواعد النطاق المسموح: لا يمكن للاستجابة أن توفر إلا سجلات لأسماء تقع داخل المنطقة التي يملك الخادم صلاحية اعتمادها. فلا يمكن لإجابة عن bank.com أن تهرّب سجلًا لـ unrelated.com.

يحد ذلك من عمليات الحقن على نمط Kaminsky إلى النطاق الذي جرى الاستعلام عنه، ويمنع إجابة مسمّمة واحدة من تلويث مناطق غير مرتبطة. تحققوا من أن المحلل يفرض تصفية صارمة وفق النطاق المسموح.

علامات تدل على تسميم جارٍ أو ناجح:

• ارتفاع مفاجئ في الاستعلامات عن نطاقات فرعية عشوائية وغير موجودة.
• استجابات DNS مكررة أو خارجة عن الترتيب لنفس TXID.
• عناوين IP محلولة تشير فجأةً إلى أرقام أنظمة مستقلة أو مناطق جغرافية غير متوقعة.
• اختلاف بين إجابات المحلل ونتيجة بحث موثوقة خارج القناة.

لا تكفي أي وسيلة تحكم منفردة. اجمعوا بين ما يلي:

• عشوائية منفذ المصدر وTXID لزيادة تكلفة الهجوم من خارج المسار.
• التحقق من DNSSEC حتى تفشل الإجابات المزورة في فحوصات التوقيع.
• DoT/DoH لمنع المهاجمين على المسار من الرؤية والتلاعب.
• ترميز 0x20 (استخدام حالة عشوائية في أسماء الاستعلامات) لإضافة مزيد من العشوائية.
• مراقبة فيضانات NXDOMAIN وشذوذ الإجابات.

عمليًا، أصبح تسميم ذاكرة التخزين المؤقت من خارج المسار وبشكل أعمى نادرًا اليوم في المحللات المصححة، لكنه يعود عبر قنوات جانبية (مثل تجزئة UDP وهجمات استنتاج المنفذ المستندة إلى ICMP، ومنها SAD DNS). حافظوا على تحديث المحللات، وفضّلوا استخدام محللات تتحقق من الإجابات وتوفر نقلًا مشفّرًا.

تذكروا أن الاختراق الأعلى أثرًا لـ DNS لا يكون غالبًا سباق تسميم مبتكرًا، بل حسابًا مسروقًا لدى المسجل. احموا الطرفين.

اختبروا مدى استيعابكم لتقنية Kaminsky.

ينشئ انتحال DNS استجابات مزوّرة؛ ويجعل تسميم ذاكرة التخزين المؤقت هذه الاستجابات تستمر في محلّل. يتوقف قبولها على تطابق عنوان IP المصدر والمنفذ واسم الاستعلام وTXID. جعلت عشوائية منفذ المصدر وفحوصات bailiwick مهمة المهاجمين خارج المسار أصعب، لكن المهاجمين داخل المسار والقنوات الجانبية ما زالوا يشكّلون تهديدًا.

يُعدّ الدفاع متعدد الطبقات (الإنتروبيا، والتحقق من DNSSEC، والنقل المشفّر، والمراقبة) ضروريًا. بعد ذلك، سننظر في كيفية إساءة المهاجمين استخدام DNS لنقل البيانات: عبر الأنفاق والاستخراج.