DNS-Cache-Poisoning (DNS-Spoofing) ist ein Angriff, der gefälschte Einträge in den Cache eines DNS-Resolvers einschleust, sodass dieser allen Nutzern, die sich auf ihn verlassen, falsche IP-Adressen liefert.
Wie DNS-Cache-Poisoning funktioniert
Rekursive Resolver speichern Antworten autoritativer Server zwischen, um das Domain Name System zu beschleunigen. Klassisches DNS läuft über UDP und akzeptiert eine Antwort, wenn Name, Quellport und eine 16-Bit-Transaktions-ID zur Anfrage passen. Ein Angreifer, der diese Werte errät und schneller antwortet als der echte Server, bringt einen falschen Eintrag in den Cache – bis dessen TTL abläuft.
- Kaminsky-Angriff (2008) – Dan Kaminsky zeigte, dass ein Angreifer durch Abfragen zufälliger, nicht existierender Subdomains das Wettrennen beliebig oft wiederholen und die Delegation einer ganzen Domain binnen Sekunden vergiften kann. Die Hersteller veröffentlichten eine koordinierte Korrektur: die Randomisierung der Quellports.
- SAD DNS (2020) – Forschende nutzten einen Seitenkanal in der ICMP-Ratenbegrenzung, um den randomisierten Port zu erschließen, und machten Off-Path-Poisoning wieder möglich.
- Angreifer in einer Man-in-the-Middle-Position auf dem Übertragungsweg können Antworten direkt fälschen.
Warum DNS-Cache-Poisoning gefährlich ist
Ein einziger vergifteter Resolver bei einem Provider oder Unternehmen leitet alle seine Nutzer auf einmal um – auf Phishing-Seiten, zu Malware-Downloads oder auf Server, die E-Mails abfangen. Anders als beim DNS-Hijacking werden keine Einstellungen oder Registrar-Einträge geändert, daher sehen Opfer in der Adressleiste den korrekten Domainnamen. Die Zertifikatsprüfung von HTTPS fängt viele solcher Umleitungen ab, nicht aber unverschlüsselte Verbindungen oder Nutzer, die Warnungen ignorieren.
So verhindern Sie DNS-Cache-Poisoning
- Zonen mit DNSSEC (RFC 4033–4035) signieren und die Validierung aktivieren, damit gefälschte Einträge erkennbar werden.
- Resolver-Software aktuell halten und die Randomisierung von Quellport und Abfrage-ID sicherstellen.
- Keine offenen Resolver betreiben; Rekursion auf eigene Clients beschränken.
- Verschlüsseltes DNS (DoH oder DoT) zu vertrauenswürdigen Resolvern nutzen und HTTPS erzwingen.
