DNS spoofing dhe cache poisoning: Çfarë janë dhe si t’i ndaloni

DNS spoofing mund ta dërgojë në heshtje një browser te faqja e gabuar e internetit, edhe kur përdoruesi shkruan domain name të saktë. Domain Name System, ose DNS, përkthen një adresë të njohur interneti në destinacionin me të cilin duhet të lidhet një pajisje. Gjatë atij lookup, një sulmues mund të përpiqet ta zëvendësojë përgjigjen e vërtetë me një përgjigje DNS të rreme, duke bërë që browser të lidhet diku tjetër pa ndonjë paralajmërim të dukshëm.

Në një sulm DNS spoofing, sulmuesi injekton një response të falsifikuar përpara se të mbërrijë përgjigjja e vërtetë. Pajisja e pranon përgjigjen e rreme dhe ndjek destinacionin që ajo përmban. Më pas, browser mund të hapë një faqe phishing, pra një faqe mashtruese të krijuar për të keqorientuar vizitorin, ose një faqe që shpërndan malware, domethënë software të dëmshëm. Nga këndvështrimi i përdoruesit, lookup ndodhi automatikisht dhe u shfaq faqja e kërkuar, ndaj ridrejtimi mund të mos jetë i dukshëm.

Koha është thelbësore për këtë formë të DNS spoofing. Sulmuesi nuk po ndryshon domosdoshmërisht adresën e faqes së internetit që shkroi përdoruesi. Në vend të kësaj, sulmuesi ndërhyn te përgjigjja që i tregon browser se ku duhet të çojë ajo adresë. Nëse response i falsifikuar pranohet i pari, përgjigjja legjitime që mbërrin më pas nuk e zhbën lidhjen që tashmë ka filluar. Viktima e drejtpërdrejtë është pajisja që pranoi përgjigjen e rreme.

Cache poisoning e vendos mashtrimin në një pikë tjetër. Një resolver, sistemi DNS që merr pyetjen e përdoruesit dhe siguron një përgjigje, zakonisht i ruan rezultatet e kërkuara së fundmi në një cache. Një cache është informacion i ruajtur përkohësisht, i cili mund të ripërdoret në vend që të kërkohet përsëri menjëherë. Nëse një sulmues vendos një DNS record të rremë në atë cache, resolver mund të vazhdojë të kthejë destinacionin e rremë sa herë që përdoruesit kërkojnë domain e prekur.

Kjo ndryshon përmasat e problemit. DNS spoofing mund të synojë një shkëmbim të caktuar midis një pajisjeje dhe DNS, ndërsa cache poisoning bën që vetë resolver ta shpërndajë vazhdimisht përgjigjen e vendosur nga sulmuesi. Çdo përdorues që mbështetet te ai cache i helmuar mund të marrë të njëjtin rezultat të rremë derisa DNS record i rremë të mos ofrohet më. Kjo nuk e helmon DNS kudo, por mund të prekë këdo që merr atë përgjigje të ruajtur në cache nga resolver i komprometuar.

Të dy sulmet janë të vështira për t’u vënë re nga një përdorues i zakonshëm, sepse DNS normalisht funksionon larg syrit të tij. Një person shkruan domain e pritshëm, browser kërkon një destinacion dhe ngarkohet një faqe. As lookup rutinë i browser dhe as prania e një adrese të njohur nuk i tregojnë domosdoshmërisht personit se përgjigjja DNS ishte e falsifikuar. Prandaj, një faqe bindëse phishing mund të duket si destinacioni i pritshëm, ndërsa një faqe malware mund të arrihet përmes një veprimi që dukej si shfletim i zakonshëm.

Domain Name System Security Extensions (DNSSEC) trajton vërtetësinë e DNS record. Ai përdor signature verification, një kontroll matematikor që përcakton nëse një DNS record është i mirëfilltë dhe i pandryshuar. Kur DNSSEC zbatohet dhe kontrollohet siç duhet, një record i falsifikuar dështon në këtë verifikim, në vend që të pranohet si autentik. Kjo lidhet drejtpërdrejt me përgjigjet e rreme dhe hyrjet e helmuara në cache, sepse record i rremë nuk mund ta kalojë kontrollin e kërkuar të signature.

DNSSEC nuk e enkripton DNS request dhe as nuk e fsheh atë nga dikush që vëzhgon rrjetin. Roli i tij është të verifikojë record, jo të mbrojë transport path. Ky dallim ka rëndësi, sepse një kontroll i vlefshëm i signature dhe një lidhje private zgjidhin pjesë të ndryshme të problemit.

Encrypted DNS mbron rrugëtimin midis një pajisjeje dhe shërbimit DNS. DNS over HTTPS (DoH) e përcjell DNS përmes një lidhjeje të enkriptuar HTTPS, DNS over TLS (DoT) përdor një lidhje të enkriptuar Transport Layer Security dhe DNS over QUIC (DoQ) përdor protokollin e enkriptuar të transport QUIC. Këto metoda e pengojnë një vëzhgues të rrjetit që të ndërhyjë te DNS query ndërsa ajo është në transit.

Vetëm encryption nuk përcakton nëse çdo DNS record është i mirëfilltë. Ai mbron transport të query nga një vëzhgues në atë rrugë, por nuk e zëvendëson signature verification të DNSSEC. Po kështu, DNSSEC nuk e zëvendëson encrypted transport. Përdorimi i të dyjave trajton dy pyetje të veçanta: nëse dikush mund të ndërhyjë te query në rrjet dhe nëse DNS record i kthyer mund të verifikohet si autentik.

Për pronarët e faqeve të internetit, DNSSEC lidhet me DNS record që publikohen për domain e tyre. Për përdoruesit dhe ekipet e IT-së, DoH, DoT ose DoQ lidhet me lidhjen që përdoret për të dërguar DNS request. Prandaj, administratorët duhet të shqyrtojnë si verifikimin e record, ashtu edhe transport encryption, në vend që ta trajtojnë njërën prej tyre si përgjigje të plotë ndaj çdo forme të manipulimit të DNS.

Si një opsion i përshtatshëm shërbimi, AEU DNS ofron DNS privat dhe të sigurt për të gjithë. Mësimi praktik është që çdo mbrojtje të përputhet me rolin e saj real: DNSSEC refuzon record e falsifikuara që dështojnë në verifikim, ndërsa encrypted DNS e pengon një vëzhgues të rrjetit që të ndryshojë një query në transit.