Cos'è il DNS Poisoning?

Quando il DNS viene intossicato, questa rubrica viene manomessa e gli utenti fingono di imitare siti Web legittimi.

Questi siti falsi possono essere utilizzati per rubare informazioni sensibili come le credenziali di accesso o i dati delle carte di credito, oppure per installare malware su dispositivi di vittime non sospettate. In sostanza, l’avvelenamento DNS induce il computer a raggiungere la posizione online sbagliata, mettendo a rischio i dati e la privacy.

Questo può essere ottenuto manipolando i file host, in cui l'autore dell'attacco modifica i file host sul dispositivo di un utente per risolvere un nome di dominio con indirizzi IP non corretti. Anche i server DNS "Rogue" sono una colpa comune, in quanto gli hacker installano server DNS malevoli e ingannano i client facendoli utilizzare.  

Ogni volta che si vuole visitare un sito Web, il computer richiede a un resolver DNS, un server speciale che si comporta come un bibliotecario, di cercare l'indirizzo IP corretto per la posizione dell'hosting Web. Per velocizzare le operazioni, questa bibliotecaria tiene un registro dei numeri cercati di recente nella propria "cache", in modo da non dover cercare ogni volta l'intera rubrica.

Questo collegamento è sfruttato da DNS cache poisoning.  Un utente malintenzionato inganna il sistema di risoluzione DNS affinché associ un numero errato a un nome legittimo, ad esempio inserendo un indirizzo fittizio nel sito Web della banca.

Dopo l'attacco, le richieste al server cache DNS reindirizzano la richiesta a una voce errata. Questa voce "avvelenata" rimane nella cache per un certo periodo di tempo, potenzialmente fuorviante per più utenti fino a quando non viene cancellata o aggiornata.

La memorizzazione nella cache DNS è un meccanismo che migliora l'efficienza e la velocità di risoluzione dei nomi di dominio. Quando il dispositivo di un utente deve accedere a un sito Web, il sistema operativo o l'applicazione avvia una query DNS per risolvere il nome di dominio in un indirizzo IP.

Questa query viene in genere inviata a un resolver DNS ricorsivo, spesso gestito da un provider di servizi Internet o un provider DNS dedicato.

L'indirizzo IP corrispondente verrà memorizzato nella sua cache se il resolver ha già risolto lo stesso nome di dominio. Il sistema di risoluzione restituirà immediatamente l'indirizzo IP dalla cache, eliminando la necessità di eseguire query sui server dei nomi autorevoli. Questo processo riduce in modo significativo la latenza e migliora i tempi di caricamento del sito Web per gli utenti.

Si supponga tuttavia che il resolver non disponga del nome di dominio richiesto nella cache. In questo caso, avvierà una serie di query sui server dei nomi autorevoli per ottenere l'indirizzo IP corretto. La memorizzazione nella cache DNS consente di risolvere i nomi di dominio primari e i sottodomini DNS, garantendo un accesso più rapido ai contenuti specifici dei sottodomini.

Questo processo prevede l'esecuzione di query sui server radice, sui server di dominio di primo livello (TLD) e sui server dei nomi autorevoli per il dominio specifico. Una volta ricevuto l'indirizzo IP, il resolver lo memorizza nella cache per un utilizzo futuro e lo restituisce al dispositivo richiedente.

In che modo gli hacker eseguono il DNS Cache Poisoning?

Gli attacchi ricorrono solitamente a tecniche che sfruttano la mancanza di controlli di autenticazione e integrità nei DNS tradizionali. Ecco una lista dei problemi riscontrati durante il processo di attacco dei DNS:

Utilizzo delle previsioni e delle condizioni di razza: Gli hacker spesso avviano un elevato volume di richieste DNS per un dominio di destinazione a un resolver DNS vulnerabile.  Contemporaneamente, inviano una risposta DNS contraffatta contenente un indirizzo IP dannoso, sperando che arrivi prima della risposta legittima da parte del name server autorevole. In questo modo viene sfruttato il comportamento predittivo del resolver e viene creata una race condition.

Attacchi man-in-the-middle: Gli hacker possono posizionarsi tra un utente e un resolver DNS, intercettando e manipolando le query e le risposte DNS. falsificando le risposte, possono reindirizzare gli utenti verso siti Web malevoli all'insaputa di altri. Questo obiettivo può essere raggiunto tramite lo spoofing ARP o la compromissione dell'infrastruttura di rete.

Compromissione dei server dei nomi autorevoli: In alcuni casi, gli hacker potrebbero ottenere l'accesso non autorizzato ai name server di un dominio. Questo permette di modificare direttamente i record DNS, avvelenando in modo efficace l'intero sistema DNS di quel dominio.

Inoltre, alcuni resolver DNS sono configurati come "resolver aperti", ovvero accettano ed elaborano query DNS da qualsiasi fonte su Internet. Gli utenti malintenzionati possono sfruttare questi resolver aperti per amplificare i propri attacchi o per avvelenare le cache di altri resolver che si basano su di essi.

Come individuare, prevenire e correggere l'avvelenamento DNS?

L'avvelenamento da DNS può essere difficile da rilevare, ma alcuni segnali d'allarme possono indicare un potenziale problema. Potrebbe essere un segno di avvelenamento del DNS se vieni inaspettatamente reindirizzato a un sito che ha un aspetto diverso o che richiede le credenziali di accesso quando non dovrebbe.

Altri indicatori includono discrepanze nei certificati di sicurezza, indirizzi Web insoliti o difficoltà di accesso a siti Web precedentemente accessibili. Per prevenire l’avvelenamento del DNS è necessario un approccio multidimensionale:

1. Implementa estensioni di sicurezza DNS (DNSSEC): DNSSEC aggiunge un livello di autenticazione ai record DNS, rendendo molto più difficile per gli hacker iniettare informazioni false. Utilizza le firme digitali per verificare l'autenticità dei dati DNS e garantire che le informazioni ricevute dai resolver siano autentiche.

2. Usa resolver DNS sicuri: Scegli i resolver DNS affidabili di organizzazioni affidabili come Google Public DNS o Cloudflare. Questi resolver ricorrono spesso a misure di sicurezza per mitigare gli attacchi di avvelenamento DNS.

3. Aggiornare regolarmente il software DNS: Aggiornare il sistema operativo, il browser e il software del server DNS. Gli aggiornamenti software spesso includono patch di sicurezza che risolvono le vulnerabilità note sfruttate dagli hacker.

4. Monitora attività DNS: Implementare strumenti di monitoraggio della rete per tenere traccia delle query e delle risposte DNS. Questo può aiutare a identificare comportamenti insoliti o attività sospette che possono indicare un attacco.

5. Educare gli utenti: Istruire gli utenti a riconoscere i potenziali segni di un avvelenamento DNS, come reindirizzamenti imprevisti dei siti Web o richieste di informazioni sensibili. Incoraggiali a segnalare qualsiasi attività sospetta.

Se si sospetta un avvelenamento del DNS, effettuare le seguenti operazioni per risolvere il problema. Più rapida è la risoluzione, meglio sarà per l'organizzazione e per i clienti:

1. Scaricare la cache DNS: La cancellazione della cache DNS comporta la rimozione di tutti i record potenzialmente danneggiati. È possibile eseguire questa operazione tramite strumenti da riga di comando o riavviando il router e i dispositivi.
    
2. Modifica il tuo server DNS: Passa a un altro sistema di risoluzione DNS più sicuro.
    
3. Analizza e attenua la fonte: Se l'avvelenamento ha origine nella rete, identificare il dispositivo o il server compromesso e adottare le misure appropriate per rimuovere il software o la configurazione dannosi.

Qual è la differenza tra lo spoofing dei DNS e l’avvelenamento dei DNS?

Anche se i termini vengono spesso utilizzati in modo intercambiabile, esiste una sottile distinzione tra lo spoofing DNS e l'avvelenamento DNS. Lo spoofing DNS è un termine più ampio che include tutti gli attacchi volti a falsificare i dati DNS, inclusa la modifica dei record DNS per reindirizzare gli utenti verso siti Web malevoli.

Il DNS poisoning, o DNS cache poisoning, è un tipo specifico di DNS spoofing che si focalizza sul danneggiamento dei record DNS memorizzati nella cache in un resolver DNS. 

In sostanza, l’intossicazione DNS è uno dei metodi utilizzati per ottenere lo spoofing DNS, ma anche altre tecniche come gli attacchi man-in-the-middle o il compromesso dei name server autorevoli rientrano nell’ambito dello spoofing DNS.

OVHcloud e DNSSEC

OVHcloud DNSSEC è il modo perfetto per migliorare la sicurezza del tuo dominio. DNSSEC, o Domain Name System Security Extensions, è una suite di specifiche che aggiunge un ulteriore livello di sicurezza al DNS (Domain Name System).

DNSSEC utilizza le firme digitali per verificare l’autenticità dei dati DNS. Quando il computer di un utente richiede l'indirizzo IP del dominio, OVHcloud DNSSEC verifica che la risposta provenga da un server DNS autorizzato e che i dati non siano stati manomessi. I vantaggi di OVHcloud DNSSEC includono:

• Maggiore sicurezza Proteggi il tuo sito e i tuoi utenti dagli attacchi basati su DNS.  
• Attendibilità migliorata: Dimostrare ai clienti che la sicurezza è un aspetto da tenere in considerazione.
• Facile da attivare: Attiva DNSSEC con un solo click dallo Spazio Cliente OVHcloud.