Che cos'è il DNS cache poisoning? | DNS spoofing

Gli aggressori possono avvelenare una cache DNS ingannando i resolver DNS facendogli memorizzare delle informazioni false, portando al resolver che invia l'indirizzo IP errato ai client e gli utenti che tentano di navigare su un sito Web verranno indirizzati nel posto sbagliato.

Share facebook icon linkedin icon twitter icon email icon

DNS Spoofing

Obiettivi di apprendimento

Dopo aver letto questo articolo sarai in grado di:

  • Definire il DNS Cache Poisoning
  • Scoprire come funziona la memorizzazione nella cache DNS
  • Spiegare come gli aggressori possono avvelenare una cache DNS
  • Comprendere come il DNSSEC aiuta a prevenire attacchi di DNS poisoning

Cos'è il DNS cache poisoning?

Immagina che, come in uno scherzo dell'ultimo anno a scuola, i ragazzi più grandi cambino tutti i numeri delle camere nel campus, cosicché i nuovi studenti che non conoscono ancora la struttura del campus trascorrano il giorno successivo a perdersi e a presentarsi nelle aule sbagliate. Ora immagina che i numeri delle stanze non corrispondenti vengano registrate in una directory del campus e che gli studenti continuino ad andare verso le stanze sbagliate, finché qualcuno finalmente si accorge e corregge la directory.

DNS cache poisoning è l'atto di inserire false informazioni in una cache DNS in modo che le query DNS restituiscano una risposta errata e gli utenti vengano indirizzati verso siti Web errati. DNS cache poisoning è conosciuto anche come "spoofing DNS". Gli indirizzi IP sono i "numeri delle stanze" di Internet che consentono al traffico web di giungere nei posti giusti. Le cache dei resolver DNS sono la "directory del campus" e quando memorizzano le informazioni errate, il traffico va nei posti sbagliati finché le informazioni salvate nella cache non risultano corrette. (Nota che ciò non disconnette effettivamente i siti Web reali dai loro veri indirizzi IP).

Poiché in genere non è possibile per i resolver DNS verificare i dati nelle loro cache, le informazioni DNS errate rimangono nella cache fino alla scadenza del time to live (TTL) o fino a quando non vengono rimosse manualmente. Diverse vulnerabilità rendono possibile il DNS poisoning, ma il problema principale è che il DNS è stato creato per un Internet molto più piccolo e basato su un principio di fiducia (molto simile a BGP). Un protocollo DNS più sicuro chiamato DNSSEC mira a risolvere alcuni di questi problemi, ma non è stato ancora ampiamente adottato.

Cosa fanno i resolver DNS?

I resolver DNS forniscono ai client l'indirizzo IP associato a un nome dominio. In altre parole, prendono gli indirizzi dei siti Web leggibili dall'uomo come "cloudflare.com" e li traducono in indirizzi IP leggibili automaticamente. Quando un utente tenta di accedere a un sito Web, il loro sistema operativo invia una richiesta a un resolver DNS. Il resolver DNS risponde con l'indirizzo IP e il browser Web prende questo indirizzo e avvia il caricamento del sito Web.

Dove si verifica la memorizzazione nella cache DNS?

Un resolver DNS salverà le risposte alle query degli indirizzi IP per un certo periodo di tempo. In questo modo, il resolver può rispondere alle query future molto più rapidamente, senza la necessità di comunicare con i numerosi server coinvolti nel tipico processo di risoluzione DNS. I resolver DNS salvano le risposte nella loro cache fintanto che il time to live (TTL) designato associato a quell'indirizzo IP lo consente.

Risposta non memorizzata nel DNS:

DNS uncached response

Risposta memorizzata nel DNS:

DNS cached response

In che modo gli aggressori "avvelenano" le cache DNS?

Gli aggressori possono "avvelenare" le cache DNS impersonando i nameserver DNS, facendo una richiesta a un resolver DNS e quindi falsificando la risposta quando il resolver DNS richiede un nameserver. Ciò è possibile perché i server DNS utilizzano UDP invece di TCP e perché al momento non esiste verifica per le informazioni DNS.

Processo DNS Cache Poisoning:

DNS Cache Poisoning Process

Cache DNS avvelenata:

Poisoned DNS Cache

Invece di utilizzare TCP, che richiede a entrambe le parti comunicanti di eseguire una "stretta di mano" per avviare la comunicazione e verificare l'identità dei dispositivi, le richieste e le risposte DNS utilizzano UDP o User Datagram Protocol. Con UDP, non vi è alcuna garanzia che una connessione sia aperta, che il destinatario sia pronto a ricevere o che il mittente sia chi dice di essere. UDP è vulnerabile alla falsificazione per questo motivo; un utente malintenzionato può inviare un messaggio tramite UDP e fingere che sia una risposta da un server legittimo falsificando i dati dell'intestazione.

Se un resolver DNS riceve una risposta falsa, accetta e memorizza nella cache i dati in modo acritico perché non è possibile verificare se le informazioni sono accurate e provengono da una fonte legittima. Il DNS è stato creato nei primi giorni di Internet, quando le uniche parti ad esso collegate erano università e centri di ricerca. Non c'era motivo di aspettarsi che qualcuno potesse provare a diffondere false informazioni DNS.

Nonostante questi punti principali di vulnerabilità nel processo di memorizzazione nella cache DNS, gli attacchi di DNS poisoning non sono semplici. Poiché il resolver DNS in realtà esegue una query sul nameserver autoritativo, gli aggressori hanno solo pochi millisecondi per inviare la risposta falsa prima che arrivi la risposta reale dal nameserver autoritativo.

Per eseguire attacchi di DNS spoofing, gli aggressori devono anche conoscere o indovinare una serie di fattori:

  • Quali query DNS non vengono memorizzate nella cache dal resolver DNS di destinazione, in modo che il resolver richieda il nameserver autoritativo
  • Quale porta* sta usando il resolver DNS: usavano la stessa porta per ogni query, ma ora usano una porta diversa e casuale ogni volta
  • Il numero identificativo della richiesta
  • A quale nameserver autoritativo andrà la query

Gli aggressori possono ottenere l'accesso al resolver DNS anche in altri modi. Se una parte dannosa opera, compromette od ottiene l'accesso fisico a un resolver DNS, può facilmente modificare i dati memorizzati nella cache.

*Nel networking, una porta è un punto virtuale di ricezione della comunicazione. I computer hanno più porte, ognuna con il proprio numero, e affinché i computer possano comunicare tra loro, determinate porte devono essere designate per determinati tipi di comunicazione. Per esempio, le comunicazioni HTTP vanno sempre alla porta 80 e HTTPS utilizza sempre la porta 443.

Spoofing e censura DNS

Nei loro paesi, diversi governi hanno intenzionalmente "avvelenato" le cache DNS al fine di negare l'accesso a determinati siti Web o risorse web.

In che modo il DNSSEC contribuirà a impedire il DNS poisoning?

DNSSEC è l'acronimo di “Domain Name System Security Extensions” ed è un mezzo per verificare l'integrità e l'origine dei dati DNS. Il DNS è stato progettato originariamente senza tale verifica, motivo per cui è possibile il DNS poisoning.

Proprio come TLS/SSL, DNSSEC utilizza la crittografia a chiave pubblica (un modo per firmare digitalmente le informazioni) per verificare e autenticare i dati. Le estensioni DNSSEC sono state pubblicate nel 2005, ma DNSSEC non è ancora mainstream, lasciando il DNS ancora vulnerabile agli attacchi.