Enverinament de DNS
El enverinament de caché DNS[1] o enverinament de DNS (DNS cache poisoning o DNS poisoning) és una situació creada de manera maliciosa o no desijada que proveïx senyes d'un servidor de noms de domini (DNS) que no s'origina de fonts autoritatives DNS. Açò pot passar per dissenys inapropiats de software, falta de configuració de noms de servidors i escenaris maliciosamente dissenyats que exploten l'arquitectura tradicionalment oberta d'un sistema DNS. Una volta que un servidor DNS ha rebut aquelles senyes no autentificados i els almagasena temporalment per a futurs increments d'eixercite, és considerat enverinat, estenent l'efecte de la situació als clients del servidor.[2]
Atacs d'Enverinament de Caché
Normalment, una computadora conectada a Internet utilisa un servidor DNS proporcionat pel proveïdor de servicis d'Internet (ISP). Este DNS generalment atén solament als propis clients del ISP i conté una chicoteta cantitat d'informació sobre DNS almagasenada temporalment per usuaris previs del servidor. Un atac d'enverinament (poisoning attack) d'un sol servidor DNS d'un ISP pot afectar als usuaris atesos directament pel servidor compromés o indirectament pels servidors depenents del servidor.[3]
Per a realisar un atac d'enverinament de caché, l'atacant explota una vulnerabilitat en el software de DNS que pot fer que este accepte informació incorrecta. Si el servidor no valida correctament les respostes DNS per a assegurar-se de que elles provenen d'una font autoritativa, el servidor pot terminar almagasenant localment informació incorrecta i enviant-la als usuaris per a que facen la mateixa petició.
Esta tècnica pot ser usada per a reemplaçar arbitrariamente contingut d'una série de víctimes en contingut elegit per un atacant. Per eixemple, un atacant enverina les entrades DNS de direccionar IP per a un sitie web objectiu, reemplaçant-les en la direcció IP d'un servidor que ell controla. Despuix, l'atacant crea entrades falses per a archius en el servidor que ell controla en noms que coincidixen en els archius del servidor objectiu. Estos archius poden contindre contingut maliciós, com un virus o un cuc. Un usuari que la seua computadora ha referenciado al servidor DNS enverinat pot ser enganyat en creure que el contingut prové del servidor objectiu i sense saber-ho descarrega contingut maliciós.
Com a part del proyecte Golden Shield, China, de forma regular fa us d'enverinament de DNS per a rets o llocs específics que violen les polítiques baix les quals el proyecte opera.[4]
Variants
En les següents variants, les entrades del servidor ns. wikipedia. org poden ser enverinades i redirigides al servidor de noms de l'atacant en la direcció w. x. i. z. Estos atacs assumixen que el servidor per a wikipedia. org és ns. wikipedia. org.
Per a conseguir èxit en l'atac, l'atacant deu forçar que el servidor DNS objectiu faça una petició cap a un domini controlat per un dels servidors de noms de l'atacant.
Redirecció al servidor de noms del domini objectiu
La primera variant de l'enverinament de caché de DNS involucra redirigir el nom del servidor de l'atacant del domini cap al servidor de noms del domini objectiu, despuix s'assigna a dit servidor de noms una direcció IP especificada per l'atacant.
Petició del servidor DNS: quins són els registres de direccions per a subdomini. eixemple. com?
subdomini. eixemple. com. IN A
Resposta de l'atacant:
Answer: (no response)
Authority section: example. com. 3600 IN NS ns. wikipedia. org
Additional section: ns. wikipedia. org. IN A w. x. i. z
Un servidor vulnerable pot almagasenar en caché el registre A adicional (la direcció IP) per a ns. wikipedia. org, permetent a l'atacant resoldre consultes per a tot el domini wikipedia. org.
Redirigir el registre DNS a un atre domini objectiu
La segona variant d'enverinament de caché DNS involucra redirigir el servidor de noms d'un atre domini cap a un atre domini no relacionat en la petició original d'una direcció IP especificada per l'atacant.
Petició del servidor DNS: quins són els registres de direcció per a subdomini. eixemple. com?
subdomini. eixemple. com. IN A
Resposta de l'atacant:
Answer: (no response)
Authority section: wikipedia. org. 3600 IN NS ns. eixemple. com.
Additional section: ns. eixemple. com. IN A w. x. i. z
Un servidor vulnerable pot almagasenar l'informació d'autoritat no relacionada dels registres de servidor de noms de wikipedia. org, permetent a l'atacant resoldre consultes per a tot el domini wikipedia. org.
Respondre abans del servidor de noms real
La tercera variant d'enverinament de caché de DNS, que és denominada falsificació de DNS (DNS Forgery) involucra fer demorar la resposta real cap a una consulta recursiva DNS cap al servidor DNS. Les consultes DNS contenen un número identificador (nonce) de 16 bits, utilisat per a identificar les respostes associades a una resposta donada. Si l'atacant pot predir exitosamente el valor de dit número identificador i tornar la resposta primer, el servidor acceptarà la resposta de l'atacant com a vàlida. Si el servidor elegix aleatoriamente el port orige de resposta, l'atac es tornarà més dificultoso, ya que la resposta falsa deu ser enviada pel mateix port des d'a on la consulta es va originar.
Enviant un número de peticions simultànees de DNS al servidor per a forçar-ho a enviar més consultes recursivas, la provabilitat de predir exitosamente un dels números identificadors s'incrementa. Esta modificació és una forma d'atac de natalici (birthday attack).
Prevenció i mitigació
Molts atacs d'enverinament de caché contra servidors DNS poden evitar-se en desconfiar de l'informació que atres servidors DNS els passen i ignorar qualsevol registre DNS passat que no siga directament rellevant per a la consulta. Per eixemple, les versions de BIND 9.5.0-P1 [2] i superiors realisen estes comprovacions. [3] La aleatorisació del port d'orige per a solicituts DNS, combinada en l'us de números aleatoris criptográficamente segurs per a seleccionar tant el port d'orige com el nonce criptogràfic de 16 bits , pot reduir en gran medida la provabilitat d'atacs exitosos de DNS.
Una versió segura de DNS, DNSSEC, utilisa firmes criptogràfiques electròniques validades en un certificat digital confiable per a determinar l'autenticitat de les senyes. DNSSEC pot bloquejar atacs d'enverinament de caché.[5] [6]
Este tipo d'atac pot ser mitigat també per les capes de transport o aplicació per a conseguir validació extrem a extrem (end-to-end validation) una volta que una conexió és establida en extrem. Un eixemple comú d'açò és l'us de Seguritat de Capa de Transport i firmes digitals. Per eixemple, usant la versió segura d'HTTP, HTTPS, els usuaris poden verificar si el certificat digital és vàlit i pertany a l'amo esperat d'un lloc web.[6] De manera similar, el programa d'inici de sessió remot SSH verifica certificats digitals en els extrems (si els coneix) abans de proseguir en una sessió. Per a aplicacions que descarreguen actualisacions automàticament, l'aplicació pot estajar una còpia local del certificat digital de les senyes i validar el certificat almagasenat en l'actualisació de software contra el certificat estajat.
En abril del 2016, Google va llançar el servici de DNS-sobre-HTTPS (DNS-over-HTTPS).[7] Este esquema pot esquivar les llimitacions del protocol DNS. Fa una revisió remota DNSSEC i transferix els resultats usant un túnel segur HTTPS.
Vore també
Referències
- ↑ «¿Qué és un atac d'enverinament de la caché del servidor de noms de domini (DNS)? | Definició de "atac d'enverinament de la caché de DNS" | Kaspersky Lab». www. kaspersky. es. Consultat el 21 de setembre de 2016.
- ↑ «¿Qué és l'enverinament de caché DNS? | Suplantació de DNS» (en es-és). www. cloudflare. com. Consultat el 2025-09-10.
- ↑ «¿Qué és l'atac DNS Cache Poisoning i cóm detindre-ho?» (en es). powerdmarc. com (2022-08-19). Consultat el 2025-09-10.
- ↑ «Cóm funciona el "Gran Tallafocs de China" per a censurar l'Internet de China» (en es-és). és. phhsnews. com. Consultat el 2025-09-10.
- ↑ «Universal DNSSEC» (en en). Consultat el 13 de setembre de 2025.
- ↑ 6,0 6,1 «Cache Poisoning» (en en). Consultat el 13 de setembre de 2025.
- ↑ «DNS-over-HTTPS - Public DNS» (en en) (4 de setembre de 2018). Consultat el 13 de setembre de 2025.
Enllaços externs
- BIND 9 DNS Cache Poisoning - Discovered by Amit Klein (Trusteer)
- Predictable transaction IDs in Microsoft DNS server allow cache poisoning
- Microsoft Knowledge Base: How to prevent DNS cache pollution
- SANS DNS cache poisoning update
- DNS Threats & Weaknesses: research and presentations
- Blocking Unwanted Domain Names
- DNS Poisoning - a practical example
- Notes on the Domain Name System about Poisoning
- Nova tècnica de frau informàtic: el pharming
- Archivat el 28 de març de 2007 archivat en Wayback Machine.
- mspx Pharming: ¿És el seu lloc Web de confiança ... o una bona falsificació?
- AyCarrumba - ARP and DNS spoofing tool
- Este artícul conté una traducció derivada de «Envenenamiento de DNS» de Wikipedia en castellà publicada baix la Llicència de documentació lliure de GNU i la Llicència Creative Commons Reconeiximent-CompartirIgual 4.0 Internacional.