Bezpieczeństwo DNS: dlaczego „książka telefoniczna internetu” zawodzi

Do czego służy DNS

Każda strona internetowa działa pod adresem IP — liczbowym adresem w rodzaju 142.250.80.46. Ludzie jednak poruszają się po sieci za pomocą nazw domen, takich jak google.com. System nazw domen (DNS) to infrastruktura, która tłumaczy czytelne dla ludzi nazwy domen na adresy IP, z którymi może połączyć się Twoje urządzenie.

Gdy wpisujesz adres w przeglądarce:

1. Urządzenie sprawdza lokalną pamięć podręczną DNS. Jeśli znajdzie świeżą odpowiedź, używa jej.
2. Jeśli nie, wysyła zapytanie DNS do resolvera rekursywnego — zwykle udostępnianego przez dostawcę internetu lub skonfigurowaną usługę, np. Google (8.8.8.8) czy Cloudflare (1.1.1.1).
3. Resolver odpytuje serwery główne, następnie serwery domen najwyższego poziomu (TLD), a potem autorytatywny serwer nazw domeny.
4. Adres IP wraca, zostaje zapisany w pamięci podręcznej z czasem ważności (TTL), a przeglądarka nawiązuje połączenie.

Cały proces trwa milisekundy, ale odbywa się przy niemal każdym połączeniu, które nawiązujesz w internecie.

Problem bezpieczeństwa tradycyjnego DNS

Tradycyjny DNS ma fundamentalną wadę konstrukcyjną: zapytania i odpowiedzi są przesyłane otwartym tekstem przez UDP, bez uwierzytelniania. Oznacza to, że każdy, kto monitoruje Twoją sieć — dostawca internetu, operator Wi-Fi w kawiarni czy atakujący typu man-in-the-middle — widzi każdą domenę, którą sprawdzasz.

Co gorsza, DNS zaprojektowano bez mechanizmu weryfikacji, czy odpowiedź rzeczywiście pochodzi od prawowitego serwera autorytatywnego. To otwiera drogę do kilku ataków.

DNS spoofing i zatruwanie pamięci podręcznej

DNS spoofing (zwany też zatruwaniem pamięci podręcznej DNS) to atak, w którym do pamięci podręcznej resolvera wstrzykiwane są złośliwe odpowiedzi DNS. Gdy pamięć podręczna jest zatruta:

• Użytkownik odpytuje twojbank.pl
• Resolver zwraca adres IP kontrolowany przez atakującego zamiast prawdziwego
• Użytkownik trafia na fałszywą stronę phishingową, często wizualnie identyczną z prawdziwą
• Dane logowania, tokeny sesji lub dane płatnicze zostają przechwycone

Klasyczny atak (atak Kaminsky'ego, 2008) wykorzystywał przewidywalne identyfikatory transakcji DNS i porty źródłowe, by zalać resolver sfałszowanymi odpowiedziami. Nowoczesne resolvery losują porty i identyfikatory, ale bez DNSSEC podstawowy problem braku uwierzytelniania pozostaje.

Przejmowanie DNS (DNS hijacking)

DNS hijacking różni się od spoofingu — zamiast zatruwać pamięć podręczną, atakujący zmienia konfigurację DNS na wyższym poziomie:

• Przejęcie routera: złośliwe oprogramowanie lub atakujący, który dostał się do Twojego domowego routera, zmienia jego ustawienia DNS na złośliwy resolver.
• Przejęcie na poziomie dostawcy: niektórzy dostawcy internetu przekierowują nieudane zapytania DNS (np. literówki w domenach) na własne strony z reklamami — łagodna forma przejmowania.
• Przejęcie u rejestratora: jeśli atakujący zdobędzie dostęp do konta domeny u rejestratora, może zmienić autorytatywny serwer nazw i przekierować cały ruch.

DNSSEC: kryptograficzne uwierzytelnianie DNS

DNSSEC (DNS Security Extensions) dodaje do rekordów DNS podpisy cyfrowe. Gdy strefa jest podpisana DNSSEC:

• Każdy rekord DNS jest podpisany kluczem prywatnym
• Odpowiadający mu klucz publiczny jest publikowany w samej strefie DNS
• Łańcuch zaufania biegnie od strefy głównej aż do rekordów poszczególnych domen
• Resolvery mogą zweryfikować, że odpowiedzi są autentyczne i niezmienione

DNSSEC zapobiega zatruwaniu pamięci podręcznej, ponieważ sfałszowane odpowiedzi nie przechodzą weryfikacji podpisu. DNSSEC nie szyfruje jednak DNS — uwierzytelnia rekordy, ale zapytania i odpowiedzi pozostają widoczne.

Nie wszystkie domeny są podpisane DNSSEC i nie wszystkie resolvery weryfikują podpisy, co ogranicza jego realną ochronę.

DNS-over-HTTPS i DNS-over-TLS

Aby rozwiązać problem prywatności, dwa protokoły szyfrują zapytania DNS:

DNS-over-HTTPS (DoH): opakowuje zapytania DNS w standardowy ruch HTTPS na porcie 443. Dzięki temu zapytania DNS są:

• Zaszyfrowane i nieczytelne dla dostawców internetu i obserwatorów sieci
• Nie do odróżnienia od zwykłego ruchu WWW (trudniej je zablokować)
• Uwierzytelniane standardową weryfikacją certyfikatu TLS

DNS-over-TLS (DoT): szyfruje zapytania DNS za pomocą TLS, ale używa portu 853, który jest odrębny i może być blokowany przez administratorów sieci. Jest bardziej przejrzysty z punktu widzenia zarządzania siecią.

Główne przeglądarki (Firefox, Chrome, Edge) obsługują DoH i można je skonfigurować do jego używania. Cloudflare 1.1.1.1, Google 8.8.8.8 i NextDNS obsługują DoH.

Jak się chronić

Włącz DNS-over-HTTPS

W Firefoksie: Ustawienia > Prywatność i bezpieczeństwo > DNS przez HTTPS. Włącz z Cloudflare lub własnym dostawcą.

W Chrome: Ustawienia > Prywatność i bezpieczeństwo > Bezpieczeństwo > Używaj bezpiecznego DNS. Włącz i wybierz dostawcę.

W Windows 11: ustawienia sieci obsługują teraz DoH w całym systemie, dla wszystkich aplikacji, a nie tylko przeglądarek.

Wybierz resolver szanujący prywatność

• Cloudflare 1.1.1.1: szybki, bez logowania zapytań (potwierdzone audytem), obsługuje DoH i DoT
• NextDNS: konfigurowalne filtrowanie, kontrola logowania, funkcje ochrony rodziny
• Quad9 (9.9.9.9): blokuje znane złośliwe domeny, nastawiony na prywatność, organizacja non-profit

Unikaj domyślnego resolvera dostawcy internetu, chyba że ufasz mu w kwestii historii przeglądania.

Zabezpiecz ustawienia DNS routera

Zmień ustawienia DNS domowego routera na resolver obsługujący DoH. Chroni to wszystkie urządzenia w sieci, w tym telewizory smart i urządzenia IoT, które samodzielnie nie obsługują DoH.

Wypatruj nieoczekiwanych zmian DNS

Jeśli podejrzewasz przejęcie DNS, porównaj skonfigurowany serwer DNS z tym, który faktycznie rozwiązuje zapytania. Narzędzia takie jak nslookup czy dig pomogą wykryć rozbieżności.