DNS: la guía telefónica de internet y un riesgo de seguridad importante

Qué hace el DNS

Cada sitio web vive en una dirección IP: una dirección numérica como 142.250.80.46. Pero los humanos navegan por la web usando nombres de dominio como google.com. El Sistema de Nombres de Dominio (DNS) es la infraestructura que traduce los nombres de dominio legibles por humanos a direcciones IP a las que tu dispositivo puede conectarse.

Cuando escribes una URL en tu navegador:

1. Tu dispositivo comprueba su caché de DNS local. Si encuentra una respuesta reciente, la usa.
2. Si no, envía una consulta DNS a un resolvedor recursivo, normalmente proporcionado por tu proveedor de internet o por un servicio configurado como Google (8.8.8.8) o Cloudflare (1.1.1.1).
3. El resolvedor consulta los servidores de nombres raíz, luego los servidores del dominio de nivel superior (TLD) y después el servidor de nombres autoritativo del dominio.
4. Se devuelve la dirección IP, se guarda en caché con un valor de tiempo de vida (TTL) y tu navegador se conecta.

Todo este proceso tarda milisegundos, pero ocurre prácticamente en cada conexión a internet que realizas.

El problema de seguridad del DNS tradicional

El DNS tradicional tiene un fallo de diseño fundamental: las consultas y respuestas se envían en texto plano sobre UDP, sin autenticación. Esto significa que cualquiera que monitorice tu red —tu proveedor de internet, el operador del wifi de una cafetería o un atacante de intermediario— puede ver todos los dominios que consultas.

Peor aún, el DNS se diseñó sin ningún mecanismo para verificar que una respuesta provenga realmente del servidor autoritativo legítimo. Esto abre la puerta a varios ataques.

Suplantación de DNS y envenenamiento de caché

La suplantación de DNS (también llamada envenenamiento de caché de DNS) es un ataque en el que se inyectan respuestas DNS maliciosas en la caché de un resolvedor. Cuando la caché está envenenada:

• Un usuario consulta yourbank.com
• El resolvedor devuelve una dirección IP controlada por el atacante en lugar de la real
• El usuario es redirigido a un sitio de phishing falso, a menudo visualmente idéntico al real
• Se roban credenciales, tokens de sesión o datos de pago

El ataque clásico (el ataque de Kaminsky, 2008) explotaba los ID de transacción y los puertos de origen de DNS predecibles para inundar un resolvedor con respuestas falsificadas. Los resolvedores modernos aleatorizan los puertos de origen y los ID de transacción, pero el problema fundamental de autenticación persiste sin DNSSEC.

Secuestro de DNS

El secuestro de DNS se diferencia de la suplantación: en lugar de envenenar una caché, el atacante cambia la configuración de DNS a un nivel superior:

• Secuestro del router: malware o un atacante que accedió a tu router doméstico cambia sus ajustes de DNS para apuntar a un resolvedor malicioso.
• Secuestro a nivel de proveedor: algunos proveedores de internet redirigen las consultas DNS fallidas (por ejemplo, dominios mal escritos) a sus propias páginas con publicidad, una forma leve de secuestro.
• Secuestro del registrador: si un atacante obtiene acceso a la cuenta del registrador de un dominio, puede cambiar el servidor de nombres autoritativo para redirigir todo el tráfico.

DNSSEC: autenticación criptográfica para el DNS

DNSSEC (DNS Security Extensions) añade firmas digitales a los registros DNS. Cuando una zona está firmada con DNSSEC:

• Cada registro DNS se firma con una clave privada
• La clave pública correspondiente se publica en la propia zona DNS
• Una cadena de confianza se extiende desde la zona raíz hasta los registros de dominio individuales
• Los resolvedores pueden verificar que las respuestas son auténticas y no han sido manipuladas

DNSSEC previene el envenenamiento de caché porque las respuestas falsificadas no superan la verificación de la firma. Sin embargo, DNSSEC no cifra el DNS: autentica los registros, pero las consultas y respuestas siguen siendo visibles.

No todos los dominios están firmados con DNSSEC, y no todos los resolvedores validan las firmas DNSSEC, lo que limita su protección en el mundo real.

DNS-over-HTTPS y DNS-over-TLS

Para abordar el problema de privacidad, dos protocolos cifran las consultas DNS:

DNS-over-HTTPS (DoH): envuelve las consultas DNS dentro del tráfico HTTPS estándar en el puerto 443. Esto hace que las consultas DNS sean:

• Cifradas e ilegibles para los proveedores de internet y los observadores de red
• Indistinguibles del tráfico web normal (más difíciles de bloquear)
• Autenticables mediante la verificación estándar de certificados TLS

DNS-over-TLS (DoT): cifra las consultas DNS usando TLS, pero utiliza el puerto 853, que es distinto y puede ser bloqueado por los administradores de red. Más transparente para la gestión de red.

Los principales navegadores (Firefox, Chrome, Edge) admiten DoH y pueden configurarse para usarlo. El 1.1.1.1 de Cloudflare, el 8.8.8.8 de Google y NextDNS admiten DoH.

Cómo protegerte

Activa DNS-over-HTTPS

En Firefox: Ajustes > Privacidad y seguridad > DNS mediante HTTPS. Actívalo con Cloudflare o un proveedor personalizado.

En Chrome: Configuración > Privacidad y seguridad > Seguridad > Usar DNS seguro. Actívalo y elige un proveedor.

En Windows 11: los ajustes de red ahora admiten DoH en todo el sistema, aplicándose a todas las aplicaciones, no solo a los navegadores.

Elige un resolvedor respetuoso con la privacidad

• Cloudflare 1.1.1.1: rápido, sin registro de consultas (auditado), admite DoH y DoT
• NextDNS: filtrado configurable, controles de registro, funciones de seguridad familiar
• Quad9 (9.9.9.9): bloquea dominios maliciosos conocidos, centrado en la privacidad, sin ánimo de lucro

Evita usar el resolvedor predeterminado de tu proveedor de internet a menos que confíes en que gestione tu historial de navegación.

Asegura los ajustes de DNS de tu router

Cambia los ajustes de DNS de tu router doméstico a un resolvedor compatible con DoH. Esto protege todos los dispositivos de tu red, incluidos los televisores inteligentes y los dispositivos IoT que no admiten DoH individualmente.

Vigila los cambios inesperados de DNS

Si sospechas de un secuestro de DNS, compara tu servidor DNS configurado con el que realmente está resolviendo las consultas. Herramientas como nslookup o dig pueden ayudarte a identificar discrepancias.