APNIC Labs: Klientët DNS refuzojnë të pranojnë NXDOMAIN si përgjigje, duke dërguar 4.4 kërkesa për emër

Kur një pajisje pyet Sistemin e Emrave të Domainit (DNS) për një emër që nuk ekziston, serveri autoritar dërgon një përgjigje negative të quajtur NXDOMAIN (kodi i përgjigjes DNS 3), që do të thotë "nuk ekziston një domain i tillë." Në teori, një "jo" e qartë duhet të mjaftojë. Por matjet e reja nga APNIC Labs sugjerojnë se miliona klientë dhe zgjidhës thjesht refuzojnë ta pranojnë atë përgjigje herën e parë, duke dërguar kërkesa të përsëritura dhe duke shumëzuar ngarkesën në serverët e emrave. Kjo sjellje ka rëndësi sepse e bën DNS më të brishtë dhe ndihmon të shpjegohet pse një sulm i veçantë i mohimit të shërbimit, i njohur si sulm me emra të rastit, është kaq efektiv.

Një sulm me emra të rastit synon të përmbytë serverët autoritarë të emrave të një domaini me kërkesa për emra të rastit që nuk ekzistojnë në atë zonë. Për shkak se çdo kërkesë e rastit është unike, zgjidhësit me cache nuk mund t'i shërbejnë përgjigjet nga memoria, kështu që çdo kërkesë arrin te serveri autoritar. Nëse sulmi përdorte një emër ekzistues konstant, cache-i i zgjidhësit do të mbronte autoritetin; edhe një emër konstant që nuk ekziston do të ruhej në cache pas përgjigjes së parë. Por rastësia e mposht plotësisht caching-un. Nëse mbërrijnë mjaft kërkesa, serveri bëhet shumë i zënë për t'iu përgjigjur kërkesave legjitime dhe domaini i synuar mund të bëhet i padisponueshëm. Ndryshe nga sulmet më të sofistikuara, një sulm me emra të rastit nuk kërkon paketa të përpunuara ose kontroll të privilegjuar të bot-ve; një skript i thjeshtë në shumë makina të komprometuara mund të gjenerojë etiketa të pafundme të rastit nën domainin e synuar.

Për të kuptuar pse kjo funksionon, APNIC Labs kreu një eksperiment të ngulitur në reklama online. Skripti i reklamës gjeneronte një kërkesë DNS për një emër të rastit që nuk ekzistonte, serverët autoritarë të të cilit i përkisnin vetëm laboratorit. Ekipi më pas vëzhgoi sa kërkesa mbërritën në të vërtetë në ato serverë. Në tetor 2019, 60,210,983 matje prodhuan 142,631,272 kërkesa DNS, një mesatare prej 2.37 kërkesash për emër unik. Katër serverë eksperimentalë ishin të vendosur në Singapor, Frankfurt, Dallas dhe São Paulo, dhe shumica e kohërave të vajtje-ardhjes ishin shumë nën gjysmë sekonde, kështu që vonesa e rrjetit vetëm nuk mund të shpjegonte shkallën e lartë të përsëritjes. Në atë kohë, 24 përqind e klientëve të mostruar kishin aftësi IPv6 dhe kërkesat HTTPS nuk ishin në përdorim, kështu që sjellja ideale do të kishte prodhuar rreth 75 milionë kërkesa, më pak se gjysma e totalit të vëzhguar.

Kalojmë shpejt në gusht 2026. Nga 5 deri më 11 gusht, i njëjti eksperiment përdori një grup prej 115,750,503 pikash fundore të mbledhura përmes një fushate Google Ads, të mbledhura nga të gjitha pjesët e Internetit që arrin Google Ads, me Rusinë si përjashtim kryesor. Të gjithë emrat DNS u ndërtuan rastësisht për të parandaluar goditjet në cache, dhe serverët autoritarë kthenin NXDOMAIN. Zona nuk ishte e nënshkruar me Zgjatime të Sigurisë së Sistemit të Emrave të Domainit (DNSSEC), kështu që përgjigjet nuk përfshinin rekorde provë NSEC ose NSEC3. Serverët mbështesnin UDP dhe TCP, por jo transport të kriptuar DNS si DNS over TLS ose DNS over HTTPS. Në atë javë, APNIC Labs pa 509,410,787 kërkesa, ose një mesatare prej 4.40 kërkesash për emër domaini unik. Kjo është pothuajse dyfishi i mesatares së vitit 2019.

Rritja ka disa komponentë. 48 përqind e pikave fundore kërkuan të dy rekordet A dhe AAAA, nga 23 përqind në 2019, ndërsa 51 përqind kërkuan vetëm rekorde A, nga 74 përqind, dhe 1 përqind kërkoi vetëm AAAA. Përveç kësaj, 39 përqind e pikave fundore gjeneruan një kërkesë për rekord HTTPS. Nëse çdo lloj kërkese do të dërgohej saktësisht një herë, totali do të ishte 218 milionë kërkesa. 291 milionë kërkesat e mbetura, ose 57 përqind e të gjitha kërkimeve të vëzhguara, erdhën nga një formë përsëritjeje. Mesatarisht, çdo emër i përsëritur u kërkua edhe 2.5 herë të tjera. Por mesataret fshehin detajet: 67,316,541 pika fundore përfunduan zgjidhjen me jo më shumë se një kërkesë për lloj, ndërsa 48,433,962 pika fundore ishin përgjegjëse për 291,919,927 kërkesa të përsëritura, një normë mesatare përsëritjeje prej 6.03 midis atyre që përsërisnin.

Pse klientët dhe zgjidhësit përsërisin një kërkesë pasi marrin një përgjigje negative të qartë? Një pjesë e shpjegimit qëndron në mënyrën se si janë ndërtuar zgjidhësit stub të klientit. Një zgjidhës stub është biblioteka e vogël DNS brenda një pajisjeje që dërgon kërkesa te një zgjidhës rekursiv. Për shkak se DNS normalisht funksionon mbi Protokollin e Datagramit të Përdoruesit (UDP), nuk ka garanci të dorëzimit. Nëse një kohëmatës skadon para se të mbërrijë një përgjigje, zgjidhësi stub e dërgon kërkesën përsëri, shpesh te një zgjidhës tjetër i konfiguruar. Biblioteka e zgjidhësit të klientit të Microsoft, për shembull, përdor një kohëmatës prej një sekonde për përsëritjen e parë, pastaj dy sekonda, pastaj katër sekonda, dhe heq dorë pas pesë kërkesash dhe dhjetë sekondash. Zgjidhësit rekursivë kanë logjikën e tyre të ngjashme të kohës dhe gjithashtu mund të rikërkojnë serverët autoritarë. Rregulli i përgjithshëm është se serverët që nuk përgjigjen do të nxisin kërkesa të mëtejshme, por këto ri-kërkesa nuk duhet të shumëzohen deri në atë pikë sa të imponojnë një ngarkesë shtesë të konsiderueshme në server. Nëse ato shumëzohen, një kërkesë e vetme përdoruesi mund të kthehet në një stuhi, dhe një ngjarje e përkohshme ngarkese mund të bëhet një mohim i paqëllimshëm i shërbimit.

Premtimi origjinal i NXDOMAIN është se është një përgjigje përfundimtare dhe e ruajtshme në cache. Një zgjidhës rekursiv mund ta ruajë përgjigjen negative në cache për kohëzgjatjen e kohës së jetës së saj (TTL) dhe t'u përgjigjet kërkesave të përsëritura për të njëjtin emër lokalisht. Por me emra të rastit, çdo kërkesë është e re, kështu që caching-u nuk mund të ndihmojë. Të dhënat e vitit 2026 tregojnë se pas një përgjigjeje negative, shumë sisteme pyesin përsëri, sikur nuk i besojnë serverit. Kjo ngre pyetjen nëse NXDOMAIN është mënyra më efikase për të thënë "jo" në DNS. APNIC Labs vëren se ekzistojnë përgjigje të tjera negative, si NOERROR pa të dhëna përgjigjeje, por krahasimi do të jetë pjesë e një studimi të veçantë.

Burimi gjithashtu prek problemet e pyetjes nëse një emër ekziston në DNS. Çdo kërkesë DNS kërkon një lloj specifik rekordi, si A për IPv4 ose AAAA për IPv6. Lloji i kërkesës ANY historikisht është trajtuar nga disa serverë si një kërkesë për të gjitha rekordet, por kjo krijon rreziqe reflektimi dhe amplifikimi, veçanërisht me zona të nënshkruara me DNSSEC. RFC 8482, "Sigurimi i Përgjigjeve me Madhësi Minimale ndaj Kërkesave DNS që Kanë QTYPE=ANY", rekomandon që serverët t'u përgjigjen kërkesave ANY me një rekord sintetik kompakt si HINFO, ose me rekorde NS, në vend që të hedhin të gjithë zonën. Kjo ndihmon në kufizimin e abuzimit dhe e mban DNS më të fortë.

Gjetjet janë një kujtesë se DNS është ndërtuar mbi një zinxhir besimi dhe riprovash që mund të shfrytëzohet kur një sulmues gjeneron emra të rastit që nuk ekzistojnë. Për përdoruesit e zakonshëm të internetit dhe pronarët e faqeve të internetit, mësimi është të mos supozohet se DNS do të sillet gjithmonë në mënyrë efikase. Përdorimi i një zgjidhësi të kriptuar me fokus privatësinë si AEU DNS mund të mbrojë kërkimet tuaja nga spoofing-u dhe survejimi lokal, dhe caching-u dhe filtrimi i tij ndihmojnë në reduktimin e kërkesave të panevojshme lart. Për njerëzit që drejtojnë domain-e, zgjedhja e një ofruesi DNS me kufizim shpejtësie, shpërndarje anycast dhe mbrojtje nga DDoS është thelbësore për të mbijetuar një përmbytje me emra të rastit.