Отруєння кешу DNS (DNS spoofing) — атака, за якої в кеш DNS-резолвера потрапляють підроблені записи, і він починає повертати неправдиві IP-адреси всім, хто ним користується.
Як працює отруєння кешу DNS
Рекурсивні резолвери кешують відповіді авторитативних серверів, щоб пришвидшити роботу системи доменних імен. Класичний DNS працює поверх UDP і приймає відповідь, якщо вона збігається із запитом за іменем, портом джерела й 16-бітним ідентифікатором транзакції. Зловмисник, який вгадає ці значення й відповість раніше за справжній сервер, домагається кешування підробленого запису до завершення його TTL.
- Атака Камінського (2008) — Ден Камінський показав, що, запитуючи випадкові неіснуючі піддомени, можна нескінченно повторювати «перегони» й за секунди отруїти делегування цілого домену. Виробники випустили скоординоване виправлення — рандомізацію порту джерела.
- SAD DNS (2020) — дослідники використали побічний канал в обмеженні частоти ICMP, щоб обчислити випадковий порт, і повернули до життя атаки ззовні каналу зв’язку (off-path).
- Зловмисники всередині каналу, у позиції «людини посередині», можуть підробляти відповіді безпосередньо.
Чому це важливо
Один отруєний резолвер у провайдера чи в компанії перенаправляє одразу всіх своїх користувачів — на фішингові сайти, завантаження шкідливого ПЗ або сервери, що перехоплюють пошту. На відміну від перехоплення DNS, ні налаштування, ні записи в реєстратора не змінюються, тож жертви бачать в адресному рядку правильне ім’я домену. Перевірка HTTPS-сертифікатів виявляє багато таких перенаправлень, але не допомагає з незашифрованими з’єднаннями або якщо користувач ігнорує попередження.
Як запобігти
- Підписувати зони й увімкнути перевірку DNSSEC (RFC 4033–4035) — вона дає змогу виявити підроблені записи.
- Вчасно оновлювати ПЗ резолверів і забезпечити рандомізацію порту джерела та ідентифікатора запиту.
- Не тримати відкритих резолверів; дозволяти рекурсію лише своїм клієнтам.
- Використовувати шифрований DNS (DoH або DoT) до довірених резолверів і вимагати HTTPS.
