Suplantación de DNS

La suplantación de DNS , también conocida como envenenamiento de caché DNS , es una forma de pirateo informático en la que se introducen datos corruptos del Sistema de Nombres de Dominio (DNS) en la caché del servidor DNS , lo que provoca que este devuelva un registro de resultado incorrecto, por ejemplo, una dirección IP . Esto da como resultado que el tráfico se desvíe a cualquier ordenador que elija el atacante. En resumen, un pirata informático hace que el dispositivo crea que se está conectando al sitio web elegido, cuando en realidad se le redirige a un sitio web diferente alterando la dirección IP asociada al nombre de dominio en el servidor DNS. ^{[ 1 ]}

Un servidor del Sistema de Nombres de Dominio (DNS) traduce un nombre de dominio legible para humanos (como example.com) a una dirección IP numérica que se utiliza para enrutar las comunicaciones entre nodos . ^{[ 2 ]} Normalmente, si el servidor desconoce la traducción solicitada, la consulta a otro servidor, y el proceso continúa recursivamente . Para mejorar el rendimiento, un servidor suele almacenar en caché estas traducciones durante un tiempo determinado. Esto significa que si recibe otra solicitud de la misma traducción, puede responder sin necesidad de consultar a otros servidores, hasta que caduque la caché.

Cuando un servidor DNS recibe una traducción errónea y la almacena en caché para optimizar su rendimiento, se considera que está envenenado y proporciona los datos erróneos a los clientes. Si un servidor DNS está envenenado, puede devolver una dirección IP incorrecta, desviando el tráfico a otro ordenador (a menudo el de un atacante). ^{[ 3 ]}

Normalmente, un ordenador conectado a una red utiliza un servidor DNS proporcionado por un proveedor de servicios de Internet (ISP) o por la organización del usuario. Los servidores DNS se utilizan en la red de una organización para mejorar el rendimiento de la resolución de nombres de dominio mediante el almacenamiento en caché de los resultados de consultas obtenidas previamente. Los ataques de envenenamiento contra un único servidor DNS pueden afectar a los usuarios atendidos directamente por el servidor comprometido o a aquellos atendidos indirectamente por sus servidores secundarios, si procede. ^{[ 4 ]}

Para realizar un ataque de envenenamiento de caché , el atacante explota las vulnerabilidades del software DNS. Un servidor debe validar correctamente las respuestas DNS para garantizar que provengan de una fuente autorizada (por ejemplo, mediante DNSSEC ); de lo contrario, podría almacenar en caché localmente las entradas incorrectas y servirlas a otros usuarios que realicen la misma solicitud.

Este ataque puede utilizarse para redirigir a los usuarios de un sitio web a otro elegido por el atacante. Por ejemplo, un atacante falsifica las entradas DNS de la dirección IP de un sitio web objetivo en un servidor DNS determinado y las reemplaza con la dirección IP de un servidor bajo su control. A continuación, el atacante crea archivos en el servidor bajo su control con nombres que coinciden con los del servidor objetivo. Estos archivos suelen contener contenido malicioso , como gusanos o virus informáticos . Un usuario cuyo ordenador se haya conectado al servidor DNS infectado es engañado para que acepte contenido procedente de un servidor no auténtico y, sin saberlo, descarga el contenido malicioso. Esta técnica también puede utilizarse para ataques de phishing , en los que se crea una versión falsa de un sitio web legítimo para recopilar datos personales, como información bancaria y de tarjetas de crédito/débito.

La vulnerabilidad de los sistemas al envenenamiento de la caché DNS va más allá de sus efectos inmediatos, ya que puede exponer a los usuarios a otros riesgos como el phishing , la inyección de malware , la denegación de servicio y el secuestro de sitios web debido a vulnerabilidades del sistema. Diversos métodos, desde el uso de tácticas de ingeniería social hasta la explotación de debilidades presentes en el software del servidor DNS, pueden dar lugar a estos ataques. ^{[ 5 ]}

En las siguientes variantes, las entradas para el servidorns.target .ejemplosería envenenado y redirigido al servidor de nombres del atacante en la dirección IP wxyz . Estos ataques asumen que el servidor de nombres paraejemplo objetivoesns.target.example.

Para llevar a cabo los ataques, el atacante debe obligar al servidor DNS objetivo a realizar una solicitud para un dominio controlado por uno de los servidores de nombres del atacante.

subdominio.atacante.ejemplo. EN UN

(sin respuesta)

atacante.ejemplo. 3600 EN NS ns.objetivo.ejemplo.

ns.target.example. EN A w.xyz

subdominio.atacante.ejemplo. EN UN

(sin respuesta)

target.example. 3600 IN NS ns.attacker.example.

ns.attacker.example. EN A w.xyz

Muchos ataques de envenenamiento de caché contra servidores DNS pueden prevenirse desconfiando de la información que les transmiten otros servidores DNS e ignorando cualquier registro DNS devuelto que no sea directamente relevante para la consulta. Por ejemplo, las versiones de BIND 9.5.0-P1 ^{[ 6 ]} y superiores realizan estas comprobaciones. ^{[ 7 ]} La ​​aleatorización del puerto de origen para las solicitudes DNS, combinada con el uso de números aleatorios criptográficamente seguros para seleccionar tanto el puerto de origen como el nonce criptográfico de 16 bits , puede reducir considerablemente la probabilidad de que se produzcan ataques de carrera DNS exitosos.

Sin embargo, cuando los enrutadores, cortafuegos , proxies y otros dispositivos de puerta de enlace realizan traducción de direcciones de red (NAT), o más específicamente, traducción de direcciones de puerto (PAT), pueden reescribir los puertos de origen para rastrear el estado de la conexión. Al modificar los puertos de origen, los dispositivos PAT pueden eliminar la aleatoriedad de los puertos de origen implementada por los servidores de nombres y los resolvedores stub. ^{[ 8 ]}

El DNS seguro ( DNSSEC ) utiliza firmas digitales criptográficas firmadas con un certificado de clave pública de confianza para determinar la autenticidad de los datos. DNSSEC puede contrarrestar los ataques de envenenamiento de caché. En 2010, DNSSEC se implementó en los servidores de la zona raíz de Internet, ^{[ 9 ]} pero también debe implementarse en todos los servidores de dominios de nivel superior . La preparación de estos para DNSSEC se muestra en la lista de dominios de nivel superior de Internet . A partir de 2020, todos los TLD originales admiten DNSSEC, al igual que los TLD de código de país de la mayoría de los países grandes, pero muchos TLD de código de país aún no lo admiten. ^{[ 10 ]} Muchos dominios de segundo nivel tampoco admiten DNSSEC. ^{[ 11 ]}

Este tipo de ataque puede mitigarse en la capa de transporte o en la capa de aplicación mediante la validación de extremo a extremo una vez establecida la conexión. Un ejemplo común es el uso de la Seguridad de la Capa de Transporte (TLS) y las firmas digitales . Por ejemplo, al usar HTTPS (la versión segura de HTTP ), los usuarios pueden verificar si el certificado digital del servidor es válido y pertenece al propietario esperado del sitio web. ^{[ 12 ]} De manera similar, el programa de inicio de sesión remoto de shell seguro ( SSH) verifica los certificados digitales en los puntos finales (si se conocen) antes de continuar con la sesión. Para las aplicaciones que descargan actualizaciones automáticamente, la aplicación puede incrustar una copia del certificado de firma localmente y validar la firma almacenada en la actualización de software con respecto al certificado incrustado. ^{[ 13 ]}

• secuestro de DNS
• Reenlace DNS
• Mausezahn
• Farmacia
• Servidor de nombres raíz
• Dan Kaminsky