Подмена DNS и отравление кэша

Подделка DNS — это отправка сфальсифицированного ответа DNS, из-за которого жертва сопоставляет имя с IP-адресом, контролируемым злоумышленником. Отравление кэша — частный случай, при котором поддельный ответ принимается и сохраняется рекурсивным преобразователем, заражая всех использующих его клиентов.

Обычно цель состоит в перенаправлении трафика: пользователи попадают на фишинговые страницы, страницы загрузки вредоносных программ или прокси-серверы типа «человек посередине».

Когда преобразователь отправляет запрос, злоумышленник пытается внедрить поддельный ответ до того, как ответит легитимный авторитетный сервер. Если подделка приходит первой и соответствует ожидаемым полям, она выигрывает гонку и попадает в кэш.

Поэтому задержка, порядок следования пакетов и исходящий порт преобразователя так важны и при атаке, и при защите.

Чтобы поддельный ответ UDP был принят, злоумышленник должен правильно указать:

• IP-адрес источника (авторитетного сервера).
• Порт назначения (исходящий порт преобразователя).
• Имя и тип запроса.
• 16-битный идентификатор транзакции (TXID).

Без защитных механизмов единственным настоящим секретом остаётся TXID, поэтому вероятность успеха для каждого пакета составляет примерно 1 к 65 536.

Раскрытие, сделанное Дэном Каминки в 2008 году, показало, что отравление кэша было намного проще, чем считалось. Вместо одной гонки для каждой записи злоумышленник запрашивает множество несуществующих субдоменов (aaa.bank.com, aab.bank.com...) и отправляет поток поддельных ответов, содержащих вредоносную запись NS или склеечную запись для всего домена.

Каждая попытка представляет собой новую гонку без потерь из-за кэширования промаха, поэтому злоумышленник может перебирать варианты, пока не добьётся успеха и не отравит всю зону.

Основной способ защиты, появившийся после атаки Каминки, — рандомизация порта источника. Вместо фиксированного исходящего порта преобразователь выбирает случайный временный порт для каждого запроса.

Теперь злоумышленнику приходится угадывать и TXID (16 бит), и порт источника (примерно 16 бит), что расширяет пространство поиска примерно до 2^32 вариантов. Это делает слепое отравление кэша злоумышленником вне пути передачи практически невозможным, хотя атака всё ещё возможна при слабой случайности реализации.

Атакующий вне пути передачи не видит запрос и должен вслепую угадывать TXID и порт. Атакующий на пути передачи (злоумышленная сеть Wi-Fi, взломанный маршрутизатор, ISP) может напрямую прочитать запрос и легко сформировать соответствующий ответ.

Подделка на пути передачи полностью обходит рандомизацию портов, поэтому для надёжной защиты нужны шифрованный транспорт и проверка DNSSEC, а не только увеличение энтропии.

Злоумышленники не всегда подделывают пакеты. Злоумышленный DHCP-сервер может передать клиентам адрес вредоносного преобразователя DNS, и тогда на каждый запрос будет отвечать атакующий. Вредоносная программа может аналогичным образом изменить /etc/resolv.conf или настройки маршрутизатора.

Исторические угрозы, такие как вредоносная программа DNSChanger, годами незаметно перенаправляли DNS жертв на мошеннические серверы. Проверьте, какие преобразователи фактически использует Ваш парк устройств.

Преобразователи применяют правила зоны ответственности: ответ может содержать записи только для имён в зоне, за которую отвечают. Ответ для bank.com не может тайно добавить запись для unrelated.com.

Это ограничивает внедрение по методу Каминки запрошенным доменом и не позволяет одному отравленному ответу загрязнить несвязанные зоны. Убедитесь, что Ваш преобразователь применяет строгую фильтрацию по зоне ответственности.

Признаки продолжающегося или успешного отравления:

• Резкий рост числа запросов к случайным несуществующим субдоменам.
• Дублирующиеся ответы DNS или ответы, поступающие не по порядку, для одного TXID.
• IP-адреса, которые внезапно указывают на неожиданные автономные системы или географические регионы.
• Несоответствие между ответами преобразователя и результатами надёжной независимой проверки.

Одного механизма недостаточно. Сочетайте:

• Рандомизацию порта источника и TXID для повышения стоимости атаки вне пути передачи.
• Проверку DNSSEC, чтобы поддельные ответы не проходили проверку подписей.
• DoT/DoH, чтобы лишить атакующих на пути передачи возможности видеть и изменять трафик.
• Кодирование 0x20 (случайный регистр в именах запросов) для дополнительной энтропии.
• Мониторинг потоков NXDOMAIN и аномалий ответов.

На практике сегодня слепое отравление кэша атакующими вне пути передачи редко удаётся на обновлённых преобразователях, однако оно возвращается через побочные каналы (например, фрагментацию UDP и атаки на основе ICMP для определения портов, такие как SAD DNS). Поддерживайте преобразователи в обновлённом состоянии и отдавайте предпочтение проверяющим и шифрованным преобразователям.

Помните: наиболее серьёзная компрометация DNS часто происходит не из-за хитрой гонки при отравлении, а из-за украденной учётной записи регистратора. Защищайте обе стороны.

Подмена DNS создаёт поддельные ответы; отравление кэша сохраняет их в резолвере. Ответ принимается только при совпадении исходного IP-адреса, порта, имени запроса и TXID. Случайный выбор исходного порта и проверки допустимости зоны повысили защиту от атакующих вне канала, но атакующие, находящиеся на пути передачи, и побочные каналы по-прежнему представляют угрозу.

Многоуровневая защита — энтропия, проверка DNSSEC, шифрованный транспорт и контроль — крайне важна. Далее мы рассмотрим, как злоумышленники используют DNS для передачи данных: туннелирование и вывод данных.