El secuestro de DNS , envenenamiento de DNS o redirección de DNS es la práctica de subvertir la resolución de las consultas del Sistema de nombres de dominio (DNS). [1] Esto se puede lograr mediante malware que anula la configuración TCP/IP de una computadora para apuntar a un servidor DNS no autorizado bajo el control de un atacante, o modificando el comportamiento de un servidor DNS confiable para que no cumpla con los estándares de Internet .
Estas modificaciones pueden realizarse con fines maliciosos, como phishing , con fines egoístas por parte de proveedores de servicios de Internet (ISP), por el Gran Cortafuegos de China y proveedores de servidores DNS en línea públicos o basados en enrutadores para dirigir el tráfico web de los usuarios a los servidores web del propio ISP donde se pueden mostrar anuncios, recopilar estadísticas u otros fines del ISP; y por proveedores de servicios DNS para bloquear el acceso a dominios seleccionados como una forma de censura .
Una de las funciones de un servidor DNS es traducir un nombre de dominio en una dirección IP que las aplicaciones necesitan para conectarse a un recurso de Internet, como un sitio web . Esta funcionalidad se define en varios estándares formales de Internet que definen el protocolo con gran detalle. Los usuarios y las computadoras que tienen acceso a Internet confían implícitamente en los servidores DNS para resolver correctamente los nombres en las direcciones reales registradas por los propietarios de un dominio de Internet.
Un servidor DNS fraudulento traduce los nombres de dominio de sitios web deseables (motores de búsqueda, bancos, corredores, etc.) en direcciones IP de sitios con contenido no deseado, incluso sitios web maliciosos. La mayoría de los usuarios dependen de servidores DNS asignados automáticamente por sus ISP . Los servidores DNS asignados a un enrutador también pueden alterarse mediante la explotación remota de una vulnerabilidad dentro del firmware del enrutador. [2] Cuando los usuarios intentan visitar sitios web, en su lugar se les envía a un sitio web falso. Este ataque se denomina pharming . Si el sitio al que se les redirige es un sitio web malicioso, que se hace pasar por un sitio web legítimo, para obtener información confidencial de manera fraudulenta, se denomina phishing . [3]
Varios ISP de consumo, como AT&T , [4] Optimum Online de Cablevision , [5] CenturyLink , [6] Cox Communications , RCN , [7] Rogers , [8] Charter Communications (Spectrum) , Plusnet , [9] Verizon , [10] Sprint , [11] T-Mobile US , [12] Virgin Media , [13] [14] Frontier Communications , Bell Sympatico , [15] Deutsche Telekom AG , [16] Optus , [17] Mediacom , [18] ONO , [19] TalkTalk , [20] Bigpond ( Telstra ), [21] [22] [23] [24] TTNET, Türksat y todos los ISP de consumo de Indonesia utilizan o han utilizado el secuestro de DNS para sus propios fines, como mostrar anuncios [25] o recopilar estadísticas. Los ISP holandeses XS4ALL y Ziggo utilizan el secuestro de DNS por orden judicial: se les ordenó bloquear el acceso a The Pirate Bay y mostrar una página de advertencia [26], mientras que todos los ISP clientes en Indonesia realizan el secuestro de DNS para cumplir con la ley nacional de DNS [27] que requiere que cada ISP cliente de Indonesia secuestre el puerto 53 y lo redirija a su propio servidor para bloquear los sitios web que figuran en Trustpositif de Kominfo en la campaña Internet Sehat. Estas prácticas violan el estándar RFC para respuestas DNS (NXDOMAIN), [28] y pueden exponer potencialmente a los usuarios a ataques de secuencias de comandos entre sitios . [25]
El problema del secuestro de DNS implica este secuestro de la respuesta NXDOMAIN. Las aplicaciones de Internet e intranet dependen de la respuesta NXDOMAIN para describir la condición en la que el DNS no tiene ninguna entrada para el host especificado. Si uno fuera a consultar el nombre de dominio no válido (por ejemplo www.example.invalid), debería obtener una respuesta NXDOMAIN, informando a la aplicación de que el nombre no es válido y tomando la acción apropiada (por ejemplo, mostrando un error o no intentando conectarse al servidor). Sin embargo, si el nombre de dominio se consulta en uno de estos ISP no compatibles, uno siempre recibiría una dirección IP falsa que pertenece al ISP. En un navegador web , este comportamiento puede ser molesto u ofensivo ya que las conexiones a esta dirección IP muestran la página de redireccionamiento del ISP del proveedor, a veces con publicidad, en lugar de un mensaje de error adecuado. Sin embargo, otras aplicaciones que dependen del error NXDOMAIN intentarán en su lugar iniciar conexiones a esta dirección IP falsificada, exponiendo potencialmente información confidencial.
Ejemplos de funcionalidades que fallan cuando un ISP secuestra el DNS:
En algunos casos, pero no en la mayoría, los ISP proporcionan configuraciones configurables por el suscriptor para desactivar el secuestro de respuestas de NXDOMAIN. Si se implementa correctamente, esta configuración hace que el DNS vuelva a su comportamiento estándar. Sin embargo, otros ISP utilizan una cookie del navegador web para almacenar la preferencia. En este caso, el comportamiento subyacente no se resuelve: las consultas DNS continúan siendo redirigidas, mientras que la página de redireccionamiento del ISP se reemplaza con una página de error DNS falsa. Las aplicaciones que no sean navegadores web no pueden optar por no participar en el esquema mediante el uso de cookies, ya que la exclusión voluntaria solo se dirige al protocolo HTTP , cuando el esquema en realidad se implementa en el DNS independiente del protocolo.
En el Reino Unido, la Oficina del Comisionado de Información ha reconocido que la práctica del secuestro involuntario de DNS contraviene la PECR y la Directiva CE 95/46 sobre Protección de Datos, que exigen el consentimiento explícito para el procesamiento del tráfico de comunicaciones. [13] En Alemania, en 2019 se reveló que Deutsche Telekom AG no solo manipuló sus servidores DNS, sino que también transmitió tráfico de red (como cookies no seguras cuando los usuarios no usaban HTTPS ) a una empresa de terceros porque el portal web T-Online, al que se redirigía a los usuarios debido a la manipulación de DNS, ya no era propiedad de Deutsche Telekom. Después de que un usuario presentara una denuncia penal, Deutsche Telekom detuvo más manipulaciones de DNS. [32]
La ICANN , el organismo internacional responsable de administrar los nombres de dominio de nivel superior, ha publicado un memorando en el que destaca sus preocupaciones y afirma: [31]
La ICANN desaconseja enfáticamente el uso de redirección de DNS, comodines, respuestas sintetizadas y cualquier otra forma de sustitución de NXDOMAIN en gTLD, ccTLD y cualquier otro nivel existentes en el árbol DNS para nombres de dominio de clase de registro.
Los usuarios finales, insatisfechos con las deficientes opciones de "exclusión voluntaria" como las cookies, han respondido a la controversia encontrando formas de evitar las respuestas falsificadas de NXDOMAIN. El software de DNS como BIND y Dnsmasq ofrece opciones para filtrar resultados y se puede ejecutar desde una puerta de enlace o un enrutador para proteger una red completa. Google, entre otros, ejecuta servidores DNS abiertos que actualmente no devuelven resultados falsificados. Por lo tanto, un usuario podría usar Google Public DNS en lugar de los servidores DNS de su ISP si está dispuesto a aceptar que usa el servicio bajo la política de privacidad de Google y potencialmente estar expuesto a otro método por el cual Google puede rastrear al usuario. Una limitación de este enfoque es que algunos proveedores bloquean o reescriben las solicitudes DNS externas. OpenDNS , propiedad de Cisco, es un servicio popular similar que no altera las respuestas de NXDOMAIN.
En abril de 2016, Google lanzó el servicio DNS-over-HTTPS. [33] Este esquema puede superar las limitaciones del protocolo DNS heredado. Realiza una comprobación DNSSEC remota y transfiere los resultados en un túnel HTTPS seguro.
También existen soluciones alternativas a nivel de aplicación, como la extensión NoRedirect [34] de Firefox , que mitigan parte del comportamiento. Un enfoque como ese solo repara una aplicación (en este ejemplo, Firefox) y no solucionará ningún otro problema causado. Los propietarios de sitios web pueden engañar a algunos secuestradores mediante el uso de ciertas configuraciones de DNS. Por ejemplo, estableciendo un registro TXT de "sin usar" en su dirección comodín (por ejemplo, *.example.com). Alternativamente, pueden intentar establecer el CNAME del comodín en "example.invalid", aprovechando el hecho de que se garantiza que ".invalid" no existe según la RFC. La limitación de ese enfoque es que solo evita el secuestro en esos dominios en particular, pero puede solucionar algunos problemas de seguridad de VPN causados por el secuestro de DNS.
No estoy convencido de que exista alguna probabilidad de perjuicio o daño a los suscriptores o usuarios que justifique la adopción de medidas formales en este caso.[ enlace muerto permanente ]
{{cite journal}}: Requiere citar revista |journal=( ayuda )