El secuestro de DNS , el envenenamiento de DNS o la redirección de DNS es la práctica de subvertir la resolución de las consultas del Sistema de nombres de dominio (DNS). [1] Esto se puede lograr mediante malware que anula la configuración TCP/IP de una computadora para apuntar a un servidor DNS falso bajo el control de un atacante, o modificando el comportamiento de un servidor DNS confiable para que no cumpla con los estándares de Internet . .
Estas modificaciones pueden realizarse con fines maliciosos, como phishing , con fines de autoservicio por parte de los proveedores de servicios de Internet (ISP), el Gran Cortafuegos de China y los proveedores de servidores DNS en línea públicos/basados en enrutadores para dirigir el tráfico web de los usuarios a los sitios web del ISP. servidores web propios donde se pueden publicar anuncios, recopilar estadísticas u otros fines del ISP; y por parte de proveedores de servicios DNS para bloquear el acceso a dominios seleccionados como forma de censura .
Una de las funciones de un servidor DNS es traducir un nombre de dominio en una dirección IP que las aplicaciones necesitan para conectarse a un recurso de Internet, como un sitio web . Esta funcionalidad está definida en varios estándares formales de Internet que definen el protocolo con considerable detalle. Los usuarios y las computadoras con acceso a Internet confían implícitamente en los servidores DNS para resolver correctamente los nombres en las direcciones reales registradas por los propietarios de un dominio de Internet.
Un servidor DNS fraudulento traduce nombres de dominio de sitios web deseables (motores de búsqueda, bancos, corredores, etc.) en direcciones IP de sitios con contenido no deseado, incluso sitios web maliciosos. La mayoría de los usuarios dependen de servidores DNS asignados automáticamente por sus ISP . Los servidores DNS asignados a un enrutador también se pueden alterar mediante la explotación remota de una vulnerabilidad dentro del firmware del enrutador. [2] Cuando los usuarios intentan visitar sitios web, son enviados a un sitio web falso. Este ataque se denomina pharming . Si el sitio al que son redirigidos es un sitio web malicioso, que se hace pasar por un sitio web legítimo, con el fin de obtener información confidencial de manera fraudulenta, se denomina phishing . [3]
Varios ISP de consumo, como AT&T , [4] Optimum Online de Cablevision , [5] CenturyLink , [6] Cox Communications , RCN , [7] Rogers , [8] Charter Communications (Spectrum) , Plusnet , [9] Verizon , [10] Sprint , [11] T-Mobile EE. UU. , [12] Virgin Media , [13] [14] Frontier Communications , Bell Sympatico , [15] Deutsche Telekom AG , [16] Optus , [17] Mediacom , [18] ONO , [19] TalkTalk , [20] Bigpond ( Telstra ), [21] [22] [23] [24] TTNET, Türksat y todos los ISP clientes de Indonesia utilizan o utilizaron secuestro de DNS para sus propios fines, como como mostrar anuncios [25] o recopilar estadísticas. Los ISP holandeses XS4ALL y Ziggo utilizan el secuestro de DNS por orden judicial: se les ordenó bloquear el acceso a The Pirate Bay y mostrar una página de advertencia [26] , mientras que todos los ISP clientes en Indonesia realizan secuestro de DNS para cumplir con la ley nacional de DNS [27] , que requiere que cada cliente ISP de Indonesia se apodere del puerto 53 y lo redirija a su propio servidor para bloquear los sitios web que figuran en Trustpositif de Kominfo en la campaña Internet Sehat. Estas prácticas violan el estándar RFC para respuestas DNS (NXDOMAIN) [28] y potencialmente pueden exponer a los usuarios a ataques de secuencias de comandos entre sitios . [25]
La preocupación por el secuestro de DNS implica el secuestro de la respuesta de NXDOMAIN. Las aplicaciones de Internet e intranet dependen de la respuesta de NXDOMAIN para describir la condición en la que el DNS no tiene ninguna entrada para el host especificado. Si uno consultara el nombre de dominio no válido (por ejemplo, www.example.invalid), debería obtener una respuesta de NXDOMAIN, informando a la aplicación que el nombre no es válido y tomando la acción apropiada (por ejemplo, mostrar un error o no intentar conectarse al servidor). Sin embargo, si se consulta el nombre de dominio en uno de estos ISP que no cumplen, siempre se recibirá una dirección IP falsa que pertenece al ISP. En un navegador web , este comportamiento puede resultar molesto u ofensivo, ya que las conexiones a esta dirección IP muestran la página de redireccionamiento del ISP del proveedor, a veces con publicidad, en lugar de un mensaje de error adecuado. Sin embargo, otras aplicaciones que dependen del error NXDOMAIN intentarán iniciar conexiones a esta dirección IP falsificada, exponiendo potencialmente información confidencial.
Ejemplos de funcionalidad que se interrumpe cuando un ISP secuestra DNS:
En algunos casos, pero no en la mayoría, los ISP proporcionan configuraciones configurables por el suscriptor para desactivar el secuestro de respuestas de NXDOMAIN. Si se implementa correctamente, esta configuración revierte el DNS al comportamiento estándar. Otros ISP, sin embargo, utilizan una cookie de navegador web para almacenar la preferencia. En este caso, el comportamiento subyacente no se resuelve: las consultas de DNS continúan redireccionándose, mientras que la página de redireccionamiento del ISP se reemplaza por una página de error de DNS falsa. Las aplicaciones que no sean navegadores web no pueden optar por no participar en el esquema que utiliza cookies, ya que la exclusión voluntaria se dirige únicamente al protocolo HTTP , cuando el esquema en realidad se implementa en el DNS de protocolo neutral.
En el Reino Unido, la Oficina del Comisionado de Información ha reconocido que la práctica de secuestro involuntario de DNS contraviene PECR y la Directiva 95/46 de la CE sobre protección de datos, que requiere consentimiento explícito para el procesamiento del tráfico de comunicaciones. Sin embargo, se han negado a intervenir, alegando que no sería sensato hacer cumplir la ley, porque no causaría un perjuicio significativo (o incluso ninguno) demostrable a los individuos. [13] [14] En Alemania, en 2019 se reveló que Deutsche Telekom AG no solo manipulaba sus servidores DNS, sino que también transmitía tráfico de red (como cookies no seguras cuando los usuarios no usaban HTTPS ) a un tercero. porque el portal web T-Online, al que se redirigía a los usuarios debido a la manipulación del DNS, ya no era propiedad de Deutsche Telekom. Después de que un usuario presentara una denuncia penal, Deutsche Telekom detuvo más manipulaciones de DNS. [32]
ICANN , el organismo internacional responsable de administrar los nombres de dominio de alto nivel, ha publicado un memorando destacando sus preocupaciones y afirmando: [31]
ICANN desaconseja enfáticamente el uso de redirección de DNS, comodines, respuestas sintetizadas y cualquier otra forma de sustitución de NXDOMAIN en gTLD, ccTLD existentes y cualquier otro nivel en el árbol DNS para nombres de dominio de clase de registro.
Los usuarios finales, insatisfechos con las malas opciones de "exclusión voluntaria" como las cookies, han respondido a la controversia encontrando formas de evitar respuestas falsificadas de NXDOMAIN. El software DNS como BIND y Dnsmasq ofrece opciones para filtrar resultados y se puede ejecutar desde una puerta de enlace o enrutador para proteger una red completa. Google, entre otros, ejecuta servidores DNS abiertos que actualmente no devuelven resultados falsificados. Por lo tanto, un usuario podría utilizar el DNS público de Google en lugar de los servidores DNS de su ISP si está dispuesto a aceptar que utilice el servicio según la política de privacidad de Google y potencialmente estar expuesto a otro método mediante el cual Google pueda rastrear al usuario. Una limitación de este enfoque es que algunos proveedores bloquean o reescriben solicitudes de DNS externas. OpenDNS , propiedad de Cisco, es un servicio popular similar que no altera las respuestas de NXDOMAIN.
Google lanzó en abril de 2016 el servicio DNS sobre HTTPS. [33] Este esquema puede superar las limitaciones del protocolo DNS heredado. Realiza una verificación DNSSEC remota y transfiere los resultados en un túnel HTTPS seguro.
También existen soluciones alternativas a nivel de aplicación, como la extensión NoRedirect [34] de Firefox , que mitigan parte del comportamiento. Un enfoque como ese sólo soluciona una aplicación (en este ejemplo, Firefox) y no solucionará ningún otro problema causado. Los propietarios de sitios web pueden engañar a algunos secuestradores utilizando determinadas configuraciones de DNS. Por ejemplo, establecer un registro TXT de "no utilizado" en su dirección comodín (por ejemplo, *.example.com). Alternativamente, pueden intentar establecer el CNAME del comodín en "example.invalid", aprovechando el hecho de que se garantiza que ".invalid" no existe según el RFC. La limitación de ese enfoque es que sólo previene el secuestro en esos dominios en particular, pero puede solucionar algunos problemas de seguridad de VPN causados por el secuestro de DNS.
No estoy convencido de que exista alguna probabilidad de perjuicio o daño a los suscriptores o usuarios que justifique tomar medidas formales en este caso.[ enlace muerto permanente ]
{{cite journal}}: Citar diario requiere |journal=( ayuda )