DNS spoofing e cache poisoning: cosa sono e come fermarli

DNS spoofing può indirizzare silenziosamente un browser verso il sito web sbagliato anche quando l’utente inserisce il nome di dominio corretto. Il Domain Name System, o DNS, traduce un indirizzo web conosciuto nella destinazione che un dispositivo deve contattare. Durante questo lookup, un autore dell’attacco può tentare di sostituire la risposta DNS con una falsa, facendo sì che il browser si connetta altrove senza alcun avviso evidente.

In un attacco di DNS spoofing, l’autore dell’attacco inserisce una risposta contraffatta prima che arrivi quella autentica. Il dispositivo accetta la risposta falsa e segue la destinazione che contiene. Il browser può quindi aprire un sito di phishing, cioè una pagina ingannevole progettata per fuorviare il visitatore, oppure un sito che distribuisce malware, ovvero software dannoso. Dal punto di vista dell’utente, il lookup è avvenuto automaticamente ed è comparsa la pagina richiesta, quindi il reindirizzamento potrebbe non essere visibile.

La tempistica è fondamentale per questa forma di DNS spoofing. L’autore dell’attacco non modifica necessariamente l’indirizzo del sito web digitato dall’utente. Interferisce invece con la risposta che indica al browser dove dovrebbe condurre quell’indirizzo. Se la risposta contraffatta viene accettata per prima, la risposta legittima che arriva successivamente non annulla la connessione già avviata. La vittima immediata è il dispositivo che ha accettato la risposta falsa.

cache poisoning colloca l’inganno in un punto diverso. Un resolver, cioè il sistema DNS che riceve la domanda di un utente e ottiene una risposta, conserva normalmente in una cache i risultati richiesti di recente. Una cache contiene informazioni memorizzate temporaneamente che possono essere riutilizzate invece di essere richieste di nuovo subito. Se un autore dell’attacco inserisce un record DNS falso in quella cache, il resolver può continuare a restituire la destinazione falsa ogni volta che gli utenti richiedono il dominio interessato.

Questo cambia la portata del problema. DNS spoofing può prendere di mira uno specifico scambio tra un dispositivo e il DNS, mentre cache poisoning fa sì che sia lo stesso resolver a distribuire ripetutamente la risposta inserita. Ogni utente che si affida a quella cache compromessa può ricevere lo stesso risultato falso finché il record contraffatto continua a essere fornito. L’attacco non compromette il DNS ovunque, ma può colpire chiunque riceva quella risposta memorizzata nella cache dal resolver compromesso.

Entrambi gli attacchi sono difficili da rilevare per un utente comune perché il DNS normalmente opera senza essere visibile. Una persona inserisce il dominio previsto, il browser richiede una destinazione e viene caricata una pagina. Né il normale lookup del browser né la presenza di un indirizzo conosciuto indicano necessariamente alla persona che la risposta DNS è stata contraffatta. Una pagina di phishing convincente può quindi sembrare la destinazione prevista, mentre un sito di malware può essere raggiunto tramite quella che appariva come una normale azione di navigazione.

Domain Name System Security Extensions (DNSSEC) verifica l’autenticità dei record DNS. Utilizza la signature verification, un controllo matematico che stabilisce se un record DNS è autentico e non è stato modificato. Quando DNSSEC è implementato e verificato correttamente, un record contraffatto non supera questo controllo anziché essere accettato come autentico. Ciò è direttamente rilevante per le risposte false e per le voci compromesse della cache, perché il record falso non può superare il controllo della firma richiesto.

DNSSEC non crittografa la richiesta DNS né la nasconde a chi osserva la rete. Il suo ruolo è verificare i record, non proteggere il percorso di trasporto. Questa distinzione è importante perché una signature verification valida e una connessione privata risolvono aspetti diversi del problema.

Il DNS crittografato protegge il percorso tra un dispositivo e il servizio DNS. DNS over HTTPS (DoH) trasporta il DNS attraverso una connessione HTTPS crittografata, DNS over TLS (DoT) utilizza una connessione Transport Layer Security crittografata e DNS over QUIC (DoQ) utilizza il protocollo di trasporto QUIC crittografato. Questi metodi impediscono a chi osserva la rete di manomettere la query DNS mentre è in transito.

La sola crittografia non stabilisce che ogni record DNS sia autentico. Protegge il trasporto della query da chi osserva quel percorso, ma non sostituisce la signature verification di DNSSEC. Allo stesso modo, DNSSEC non sostituisce il trasporto crittografato. Usarli entrambi consente di affrontare due questioni distinte: se qualcuno possa interferire con la query sulla rete e se il record DNS restituito possa essere verificato come autentico.

Per i proprietari di siti web, DNSSEC è rilevante per i record pubblicati per i loro domini. Per gli utenti e i team IT, DoH, DoT o DoQ è rilevante per la connessione utilizzata per inviare le richieste DNS. Gli amministratori dovrebbero quindi esaminare sia la verifica dei record sia la crittografia del trasporto, anziché considerare una delle due come una soluzione completa per ogni forma di manipolazione del DNS.

Tra le opzioni di servizio pertinenti, AEU DNS offre un DNS privato e sicuro per tutti. La lezione pratica è associare ogni difesa al suo ruolo effettivo: DNSSEC respinge i record contraffatti che non superano la verifica, mentre il DNS crittografato impedisce a chi osserva la rete di alterare una query in transito.