Che cos'è il DNS cache poisoning? | DNS spoofing

Cos'è il DNS cache poisoning?

Immagina che, come in uno scherzo dell'ultimo anno a scuola, i ragazzi più grandi cambino tutti i numeri delle camere nel campus, cosicché i nuovi studenti che non ne conoscono ancora la planimetria trascorreranno il giorno successivo a perdersi e a presentarsi nelle aule sbagliate. Ora immagina che i numeri delle stanze non corrispondenti vengano registrati in una directory del campus, e che gli studenti continuino ad andare verso le stanze sbagliate, finché qualcuno finalmente non se ne accorge e corregge la directory.

Il DNS cache poisoning, o "avvelenamento della cache DNS", è l'atto di inserire informazioni false in una cache DNS, in modo che le query DNS restituiscano una risposta errata e gli utenti vengano indirizzati ai siti web sbagliati. Il DNS cache poisoning è anche noto come "DNS spoofing". Gli indirizzi IP sono i "numeri delle camere" di Internet, che permettono al traffico web di arrivare nei posti giusti. Le cache del resolver DNS sono la "directory del campus" e quando memorizzano informazioni errate, il traffico viene indirizzato verso luoghi errati fino alla correzione delle informazioni memorizzate nella cache. (Nota: ciò non disconnette effettivamente i siti web reali dai loro indirizzi IP reali.)

Poiché in genere non è possibile per i resolver DNS verificare i dati nelle loro cache, le informazioni DNS errate rimangono nella cache fino alla scadenza del time to live (TTL) o fino a quando non vengono rimosse manualmente. Esistono varie vulnerabilità che rendono possibile il DNS poisoning, ma il problema principale è che il DNS è stato creato per un Internet molto più piccolo, basato su un principio di fiducia (molto simile al BGP. Un protocollo DNS più sicuro, chiamato DNSSEC, mira a risolvere alcuni di questi problemi, ma non è stato ancora ampiamente adottato.

Cosa fanno i resolver DNS?

I resolver DNS forniscono ai client l'indirizzo IP associato a un nome di dominio. In altre parole, prendono indirizzi di siti web leggibili dall'uomo come "cloudflare.com" e li traducono in indirizzi IP leggibili automaticamente. Quando un utente tenta di accedere a un sito web, il loro sistema operativo invia una richiesta a un resolver DNS. Il resolver DNS risponde con l'indirizzo IP e il browser prende questo indirizzo e avvia il caricamento del sito web.

Come funziona il caching DNS?

Un resolver DNS salverà le risposte alle richieste di indirizzi IP per un certo periodo di tempo. In questo modo, il resolver può rispondere alle query future molto più rapidamente, senza la necessità di comunicare con i numerosi server coinvolti nel tipico processo di risoluzione DNS. I resolver DNS salvano le risposte nella loro cache fino a quando lo consente il TTL (time-to-live) designato associato a quell'indirizzo IP.

Risposta non memorizzata nel DNS:

Risposta memorizzata nel DNS:

In che modo gli aggressori "avvelenano" le cache DNS?

Gli aggressori possono avvelenare le cache DNS impersonando i nameserver DNS, facendo una richiesta a un resolver DNS e quindi falsificando la risposta quando il resolver DNS interroga un nameserver. Ciò è possibile perché i server DNS utilizzano UDP invece di TCP e perché al momento non esiste verifica per le informazioni DNS.

Processo di cache poisoning del DNS:

Cache DNS "avvelenata":

Invece di utilizzare TCP, che richiede a entrambe le parti comunicanti di eseguire una "stretta di mano" per avviare la comunicazione e verificare l'identità dei dispositivi, le richieste e le risposte DNS utilizzano UDP o User Datagram Protocol. Con UDP, non vi è alcuna garanzia che una connessione sia aperta, che il destinatario sia pronto a ricevere o che il mittente sia chi dice di essere. UDP è vulnerabile alla falsificazione per questo motivo; un utente malintenzionato può inviare un messaggio tramite UDP e fingere che sia una risposta da un server legittimo falsificando i dati dell'intestazione.

Se un resolver DNS riceve una risposta falsa, accetta e memorizza nella cache i dati in modo acritico, perché non è possibile verificare se le informazioni sono accurate e provengono da una fonte legittima. Il DNS è stato creato agli albori di Internet, quando gli unici enti ad esso collegati erano università e centri di ricerca. Non c'era motivo di aspettarsi che qualcuno potesse provare a diffondere false informazioni DNS.

Nonostante questi punti principali di vulnerabilità nel processo di memorizzazione nella cache DNS, gli attacchi di DNS poisoning non sono semplici. Poiché il resolver DNS in realtà esegue una query sul nameserver autoritativo, gli aggressori hanno solo pochi millisecondi per inviare la risposta falsa prima che arrivi la risposta reale dal nameserver autoritativo.

Per eseguire attacchi di DNS spoofing, gli aggressori devono anche conoscere o supporre una serie di fattori:

• Quali query DNS non vengono memorizzate nella cache dal resolver DNS di destinazione, in modo che il resolver interroghi il nameserver autoritativo
• What port* the DNS resolver is using – they used to use the same port for every query, but now they use a different, random port each time
• Il numero identificativo della richiesta
• A quale nameserver autoritativo andrà la query

Gli aggressori possono ottenere l'accesso al resolver DNS anche in altri modi. Se una parte dannosa opera, compromette od ottiene l'accesso fisico a un resolver DNS, può facilmente modificare i dati memorizzati nella cache.

*In networking, a port is a virtual point of communication reception. Computers have multiple ports, each with their own number, and for computers to talk to each other, certain ports have to be designated for certain kinds of communication. For instance, HTTP communications always go to port 80, and HTTPS always uses port 443.

Spoofing e censura DNS

Nei loro paesi, diversi governi hanno intenzionalmente "avvelenato" le cache DNS al fine di negare l'accesso a determinati siti o risorse web.

In che modo DNSSEC contribuirà a impedire il DNS poisoning?

DNSSEC è l'acronimo di “Domain Name System Security Extensions” ed è un mezzo per verificare l'integrità e l'origine dei dati DNS. Il DNS è stato progettato originariamente senza tale verifica, motivo per cui è possibile il DNS poisoning.

Proprio come TLS/SSL, DNSSEC utilizza la crittografia a chiave pubblica (un modo per firmare digitalmente le informazioni) per verificare e autenticare i dati. Le estensioni DNSSEC sono state pubblicate nel 2005, ma il DNSSEC non è ancora mainstream, lasciando il DNS ancora vulnerabile agli attacchi.