DNS: come i domini vengono risolti in IP

Il Domain Name System (DNS) è l'elenco telefonico di Internet. Traduce i nomi di dominio leggibili dalle persone, come google.com, in indirizzi IP, come 142.250.80.46, che i computer utilizzano per instradare il traffico.

Quando si digita un URL, il browser interroga il DNS:

1. Controlla la cache locale (operazione rapida)
2. Interroga il resolver locale (in genere il router o il provider Internet)
3. Il resolver interroga il root nameserver per individuare l'autorità del TLD
4. Interroga il TLD nameserver (ad esempio, .com) per individuare l'autorità del dominio
5. Interroga il authoritative nameserver per ottenere il record effettivo
6. L'IP viene restituito e memorizzato nella cache

Tipi comuni di record DNS:

• A — associa il dominio a un indirizzo IPv4
• AAAA — associa il dominio a un indirizzo IPv6
• CNAME — alias che punta a un altro dominio
• MX — server di posta per un dominio
• TXT — testo arbitrario (SPF, DKIM, verifica)
• NS — nameserver per un dominio

Ogni record DNS ha un valore TTL (time-to-live) espresso in secondi. Una volta memorizzato nella cache, il resolver utilizza il valore memorizzato finché il TTL non scade, quindi esegue una nuova query. Ridurre il TTL prima di una migrazione diminuisce il ritardo di propagazione.

I professionisti della sicurezza enumerano i record DNS per mappare l'infrastruttura di un'organizzazione:

Un trasferimento di zona DNS (AXFR) copia tutti i record da un nameserver: è utile per i backup, ma pericoloso se esposto a chiunque. Nameserver configurati in modo errato possono rivelare l'intero DNS interno di un'organizzazione.

L'avvelenamento della cache inserisce record DNS falsi nella cache di un resolver, reindirizzando gli utenti verso server controllati dall'attaccante. DNSSEC (DNS Security Extensions) utilizza firme crittografiche per impedire questo attacco.

Il DNS tradizionale invia le query in testo non cifrato: chiunque si trovi sulla rete può vedere quali domini si visitano. DoH e DoT cifrano le query DNS, impedendo la sorveglianza e l'intercettazione del traffico DNS tramite attacchi man-in-the-middle.

Il tunneling DNS codifica i dati all'interno di query e risposte DNS per esfiltrare dati o mantenere la comunicazione C2 attraverso firewall che consentono il traffico DNS. I team di sicurezza monitorano query DNS insolitamente lunghe e volumi elevati di query come indicatori.

Le organizzazioni utilizzano il DNS split-horizon: il DNS interno risolve gli indirizzi privati dei servizi interni, mentre il DNS esterno fornisce solo le voci esposte pubblicamente. In questo modo si impedisce che le query esterne rivelino la topologia interna.

Strumenti DNS essenziali:

Quale tipo di record DNS specifica il server di posta responsabile della gestione delle e-mail per un dominio?

Il DNS traduce i nomi di dominio in indirizzi IP attraverso un processo di risoluzione gerarchico che coinvolge root nameserver, TLD nameserver e nameserver autorevoli. I principali tipi di record includono A, AAAA, MX, CNAME e TXT. I problemi di sicurezza includono l'avvelenamento della cache, l'esposizione dovuta ai trasferimenti di zona e il tunneling DNS. DoH e DoT cifrano il DNS per garantire la privacy.