DNS spoofing und cache poisoning: Was sie sind und wie man sie verhindert

DNS spoofing kann einen Browser unbemerkt zur falschen Website leiten, selbst wenn der Nutzer den richtigen Domainnamen eingibt. Das Domain Name System oder DNS übersetzt eine vertraute Webadresse in das Ziel, zu dem ein Gerät eine Verbindung herstellen muss. Während dieses Nachschlagens kann ein Angreifer versuchen, eine gefälschte DNS-Antwort einzuschleusen, sodass der Browser ohne offensichtliche Warnung eine Verbindung zu einem anderen Ziel herstellt.

Bei einem DNS spoofing-Angriff schleust der Angreifer eine gefälschte Antwort ein, bevor die echte Antwort eintrifft. Das Gerät akzeptiert die falsche Antwort und folgt dem darin enthaltenen Ziel. Der Browser kann dann eine phishing site öffnen, also eine irreführende Seite, die Besucher täuschen soll, oder eine Website, die malware verbreitet, also schädliche Software. Aus Sicht des Nutzers erfolgte das Nachschlagen automatisch und die angeforderte Seite wurde angezeigt, sodass die Umleitung möglicherweise nicht erkennbar ist.

Das Timing ist für diese Form von DNS spoofing entscheidend. Der Angreifer ändert nicht unbedingt die Website-Adresse, die der Nutzer eingegeben hat. Stattdessen greift er in die Antwort ein, die dem Browser mitteilt, wohin diese Adresse führen soll. Wird die gefälschte Antwort zuerst akzeptiert, macht die später eintreffende legitime Antwort die bereits begonnene Verbindung nicht rückgängig. Das unmittelbare Opfer ist das Gerät, das die falsche Antwort akzeptiert hat.

cache poisoning platziert die Täuschung an einer anderen Stelle. Ein resolver, also das DNS-System, das die Anfrage eines Nutzers empfängt und eine Antwort beschafft, speichert kürzlich angeforderte Ergebnisse üblicherweise in einem cache. Ein cache besteht aus vorübergehend gespeicherten Informationen, die wiederverwendet werden können, anstatt sofort erneut angefordert zu werden. Platziert ein Angreifer einen gefälschten DNS record in diesem cache, kann der resolver weiterhin das falsche Ziel zurückgeben, wenn Nutzer nach der betroffenen Domain fragen.

Dadurch verändert sich das Ausmaß des Problems. DNS spoofing kann einen bestimmten Austausch zwischen einem Gerät und DNS angreifen, während cache poisoning dafür sorgt, dass der resolver selbst die eingeschleuste Antwort wiederholt verteilt. Jeder Nutzer, der sich auf diesen manipulierten cache verlässt, kann dasselbe falsche Ergebnis erhalten, bis der gefälschte record nicht mehr ausgeliefert wird. DNS wird dadurch nicht überall manipuliert, doch betroffen sein können alle, die diese im cache gespeicherte Antwort vom kompromittierten resolver erhalten.

Beide Angriffe sind für gewöhnliche Nutzer schwer zu erkennen, weil DNS normalerweise unsichtbar im Hintergrund arbeitet. Eine Person gibt die erwartete Domain ein, der Browser fordert ein Ziel an und eine Seite wird geladen. Weder das routinemäßige Nachschlagen des Browsers noch eine vertraut wirkende Adresse zeigen der Person zwangsläufig, dass die DNS-Antwort gefälscht wurde. Eine überzeugende phishing site kann daher wie das erwartete Ziel erscheinen, während eine malware-Website durch einen scheinbar normalen Browservorgang aufgerufen werden kann.

Domain Name System Security Extensions (DNSSEC) schützt die Authentizität von DNS records. Es verwendet signature verification, eine mathematische Prüfung, mit der festgestellt wird, ob ein DNS record echt und unverändert ist. Wenn DNSSEC ordnungsgemäß eingerichtet und geprüft wird, besteht ein gefälschter record diese Prüfung nicht und wird daher nicht als authentisch akzeptiert. Dies ist für gefälschte Antworten und manipulierte cache-Einträge direkt relevant, da der falsche record die erforderliche Signaturprüfung nicht bestehen kann.

DNSSEC verschlüsselt die DNS-Anfrage nicht und verbirgt sie nicht vor jemandem, der das Netzwerk beobachtet. Seine Aufgabe besteht darin, records zu überprüfen, nicht den Transportweg zu schützen. Diese Unterscheidung ist wichtig, weil eine gültige Signaturprüfung und eine private Verbindung unterschiedliche Teile des Problems lösen.

encrypted DNS schützt den Weg zwischen einem Gerät und dem DNS-Dienst. DNS over HTTPS (DoH) überträgt DNS über eine verschlüsselte HTTPS-Verbindung, DNS over TLS (DoT) verwendet eine verschlüsselte Transport Layer Security-Verbindung und DNS over QUIC (DoQ) nutzt das verschlüsselte QUIC-Transportprotokoll. Diese Methoden verhindern, dass ein Netzwerkbeobachter die DNS query während der Übertragung manipuliert.

Verschlüsselung allein stellt nicht sicher, dass jeder DNS record echt ist. Sie schützt den Transport der query vor einem Beobachter auf diesem Weg, ersetzt jedoch nicht die signature verification von DNSSEC. Ebenso ersetzt DNSSEC keinen verschlüsselten Transport. Die gemeinsame Nutzung beider Verfahren beantwortet zwei getrennte Fragen: ob jemand die query im Netzwerk manipulieren kann und ob sich der zurückgegebene DNS record als authentisch verifizieren lässt.

Für Website-Betreiber ist DNSSEC für die records relevant, die für ihre Domains veröffentlicht werden. Für Nutzer und IT-Teams sind DoH, DoT oder DoQ für die Verbindung relevant, über die DNS-Anfragen gesendet werden. Administratoren sollten daher sowohl die record verification als auch die transport encryption prüfen, anstatt eine der beiden Maßnahmen als vollständige Lösung für jede Form der DNS-Manipulation zu betrachten.

Als passende Dienstoption bietet AEU DNS privates und sicheres DNS für alle. Die praktische Lehre besteht darin, jede Schutzmaßnahme entsprechend ihrer tatsächlichen Aufgabe einzusetzen: DNSSEC weist gefälschte records zurück, die die Verifizierung nicht bestehen, während encrypted DNS verhindert, dass ein Netzwerkbeobachter eine query während der Übertragung verändert.