डीएनएस अपहरण

आपके द्वारा किया गया प्रत्येक कनेक्शन एक प्रश्न से शुरू होता है: "इस नाम का आईपी पता क्या है?" आपका डिवाइस एक DNS रिज़ॉल्वर से पूछता है, रिज़ॉल्वर उत्तर देता है, और आप कनेक्ट हो जाते हैं। DNS अपहरण कोई भी हमला है जो इस लुकअप को नष्ट कर देता है, इसलिए उत्तर कहीं न कहीं हमलावर के नियंत्रण की ओर इशारा करता है। क्योंकि तब शेष कनेक्शन सामान्य रूप से आगे बढ़ता है, क्षति अदृश्य होती है - यूआरएल बार सही दिखता है, पृष्ठ सही दिखता है, और केवल प्रमाणपत्र या आईपी पर एक सावधानीपूर्वक नज़र डालने से पता चलता है कि कुछ गलत है। सबसे आम प्रकार:

• स्थानीय अपहरण। अनपैच्ड सीवीई - और डीएचसीपी द्वारा प्रत्येक डिवाइस पर भेजे गए डीएनएस सर्वर को बदल देता है। एक समझौता किया गया राउटर सौ लैपटॉप, फोन और IoT उपकरणों को पुनर्निर्देशित कर सकता है।
• ISP-स्तर अपहरण। यह कभी-कभी विनियामक होता है, अक्सर वाणिज्यिक होता है, और हमेशा उपयोगकर्ता के लिए एक हमले से अप्रभेद्य होता है।
• Resolver विषाक्तता। कैश समाप्त होने तक उस रिज़ॉल्वर के बाद के उपयोगकर्ताओं को खराब उत्तर मिलता है।
• रजिस्ट्रार अपहरण। हमला करना आसान

  1983 के मूल DNS प्रोटोकॉल का कोई प्रमाणीकरण नहीं है। प्रतिक्रिया प्राप्त करने वाला रिज़ॉल्वर लेनदेन आईडी से थोड़ा अधिक जांच करता है, जो कि 16 बिट्स है - पर्याप्त प्रयासों के साथ अनुमान लगाया जा सकता है। ऐसी कोई क्रिप्टोग्राफ़िक मुहर नहीं है जो कहती हो "यह उत्तर वास्तव में example.com के लिए प्राधिकरण से आया है।" यही कारण है कि DNS लीक शत्रुतापूर्ण नेटवर्क पर खतरनाक हैं: यहां तक ​​​​कि जब आपकी वीपीएन सुरंग एन्क्रिप्ट की जाती है, तो सुरंग से निकलने वाली DNS क्वेरी का उत्तर कोई भी व्यक्ति दे सकता है जो इसे देख सकता है। DNSSEC क्रिप्टोग्राफ़िक हस्ताक्षर जोड़ता है, लेकिन अपनाना आंशिक है और अधिकांश ग्राहक मान्य नहीं करते हैं। हमलावर एक फ़िशिंग पृष्ठ खोल सकता है जो आपके बैंक या ईमेल प्रदाता के समान दिखता है और क्रेडेंशियल प्राप्त कर सकता है। वे एक मैन-इन-द-मिडिल प्रॉक्सी की सेवा दे सकते हैं जो सब कुछ देखते समय ट्रैफ़िक को वास्तविक साइट पर अग्रेषित करता है, हालांकि HTTPS आमतौर पर इसे रोकता है जब तक कि उपयोगकर्ता प्रमाणपत्र चेतावनी पर क्लिक नहीं करता है। वे विशिष्ट डोमेन को ब्लैकहोल कर सकते हैं (एक विज्ञापन अवरोधक इसे अच्छे के लिए उपयोग करता है, एक सत्तावादी सेंसर बुरे के लिए)। और वे वैध सॉफ़्टवेयर अपडेट के स्थान पर मैलवेयर डाउनलोड इंजेक्ट कर सकते हैं।

  कैसे पता लगाएं कि आपका अपहरण किया जा रहा है

  संकेत आमतौर पर सूक्ष्म होते हैं। एक प्रमाणपत्र चेतावनी जहां कोई मौजूद नहीं होना चाहिए वह सबसे तेज़ संकेत है - ब्राउज़र किसी हमलावर के आईपी से चुपचाप कनेक्ट करने से इनकार करते हैं क्योंकि टीएलएस प्रमाणपत्र डोमेन से मेल नहीं खाएगा। इसके अलावा, एकाधिक रिज़ॉल्वर के विरुद्ध DNS क्वेरी चलाएँ और उत्तरों की तुलना करें:

  dig @1.1.1.1 example.com
  खोदो @8.8.8.8 example.com
  dig @9.9.9.9 example.com

  यदि दो जाने-माने सार्वजनिक रिज़ॉल्वर अलग-अलग उत्तर देते हैं, तो आपके और उनमें से एक के बीच कुछ रोका जा रहा है। हमारा DNS लीक परीक्षण बताता है कि आपका डिवाइस वास्तव में किस रिज़ॉल्वर का उपयोग कर रहा है - राउटर या ISP.

  द्वारा साइलेंट रीरूटिंग का पता लगाने के लिए उपयोगी है।h2>DNS अपहरण के खिलाफ कैसे सख्त बनें

  तीन परतें सबसे अधिक मदद करती हैं। सबसे पहले, अपने DNS को एन्क्रिप्ट करें - HTTPS पर DNS और TLS पर DNS ऑन-पाथ पर्यवेक्षकों को उड़ान में उत्तर दोबारा लिखने से रोकें, और रिज़ॉल्वर को किसी ज्ञात प्रदाता पर पिन करें। दूसरा, अपने राउटर पर प्रत्येक डिफ़ॉल्ट पासवर्ड बदलें और उसके फ़र्मवेयर को पैच करें; राउटर डीएनएस हाईजैक का डीएनएसचेंजर और घोस्टडीएनएस जैसे बॉटनेट द्वारा बड़े पैमाने पर शोषण किया जाता है जो कमजोर मॉडलों के लिए इंटरनेट को स्कैन करते हैं। तीसरा, 1.1.1.1 या 9.9.9.9 जैसे DNSSEC-सत्यापन रिज़ॉल्वर का उपयोग करें - जब कोई आधिकारिक डोमेन अपने रिकॉर्ड पर हस्ताक्षर करता है, तो रिज़ॉल्वर गणितीय रूप से सत्यापित कर सकता है कि उत्तर के साथ छेड़छाड़ नहीं की गई है।

  रजिस्ट्रार परत भी मायने रखती है दो-कारक प्रमाणीकरण सक्षम करें, डोमेन को लॉक करें ताकि स्थानांतरण के लिए मैन्युअल अनुमोदन की आवश्यकता हो, और नेमसर्वर परिवर्तनों पर नज़र रखें। 2018 MyEtherWallet हाईजैक और 2020 ट्विटर घटना दोनों रजिस्ट्रार/DNS इन्फ्रास्ट्रक्चर हमले थे, एंडपॉइंट हमले नहीं। Cloudflare की रजिस्ट्रार सेवा ठीक इसी कारण से हस्ताक्षरित चैनलों पर रिकॉर्ड प्रकाशित करती है।