Mikä on DNS-välimuistin myrkytys?

DNS-välimuistin myrkytys, joka tunnetaan myös nimellä DNS-huijaus, on hyökkäys, joka hyödyntää verkkotunnusjärjestelmän (DNS) haavoittuvuuksia Internet-liikenteen siirtämiseksi pois laillisista palvelimista ja väärennettyihin.

Yksi syy DNS-myrkytykseen on niin vaarallista, että se voi levitä DNS-palvelimelta DNS-palvelimelle. Vuonna 2010 DNS-myrkytystapahtuma johti siihen, että Kiinan suuri palomuuri pakeni väliaikaisesti Kiinan kansallisista rajoista ja sensuroi Internetin Yhdysvalloissa, kunnes ongelma on korjattu.

Miten DNS toimii

Aina kun tietokone ottaa yhteyttä verkkotunnukseen, kuten "google.com", sen on ensin otettava yhteyttä DNS-palvelimeen. DNS-palvelin vastaa yhdellä tai useammalla IP-osoitteella, johon tietokoneesi pääsee google.comiin. Tietokone muodostaa yhteyden suoraan kyseiseen numeeriseen IP-osoitteeseen. DNS muuntaa ihmisen luettavissa olevat osoitteet kuten "google.com" tietokoneella luettaviksi IP-osoitteiksi, kuten "173.194.67.102".

Lue lisää: HTG selittää: Mikä on DNS?

DNS-välimuisti

Internetissä ei ole vain yhtä DNS-palvelinta, koska se olisi erittäin tehotonta. Internet-palveluntarjoajasi käyttää omia DNS-palvelimia, jotka tallentavat tietoja muista DNS-palvelimista. Kotisi reititin toimii DNS-palvelimena, joka tallentaa tietoja Internet-palveluntarjoajan DNS-palvelimilta. Tietokoneessa on paikallinen DNS-välimuisti, joten se voi nopeasti viitata jo suoritetuihin DNS-hakuihin sen sijaan, että DNS-haku suoritettaisiin uudestaan ja uudestaan.

DNS-välimuistin myrkytys

DNS-välimuisti voi myrkyttää, jos se sisältää virheellisen merkinnän. Jos esimerkiksi hyökkääjä saa määräysvallan DNS-palvelimelta ja muuttaa joitakin sen tietoja - esimerkiksi he voisivat sanoa, että google.com osoittaa tosiasiallisesti hyökkääjän omistaman IP-osoitteen - että DNS-palvelin kertoo käyttäjilleen katsomaan Google.com-sivustolle väärällä osoitteella. Hyökkääjän osoite voi sisältää jonkinlaisen haitallisen tietokalastelusivuston

Tällainen DNS-myrkytys voi myös levitä. Jos esimerkiksi eri Internet-palveluntarjoajat saavat DNS-tietojaan vaarantuneesta palvelimesta, myrkytetty DNS-merkintä leviää Internet-palveluntarjoajille ja tallennetaan siellä välimuistiin. Sitten se leviää kotitereitittimiin ja DNS-välimuistiin tietokoneissa, kun he etsivät DNS-merkintää, saavat väärän vastauksen ja tallentavat sen.

Kiinan suuri palomuuri leviää Yhdysvaltoihin

Tämä ei ole vain teoreettinen ongelma - se on tapahtunut todellisessa maailmassa suuressa mittakaavassa. Yksi tapa, jolla Kiinan suuri palomuuri toimii, on estää DNS-taso. Esimerkiksi Kiinassa suljettu verkkosivusto, kuten twitter.com, voi olla DNS-tietueidensa osoittama virheellinen osoite DNS-palvelimissa Kiinassa. Tämä johtaisi siihen, että Twitter ei olisi tavanomaisilla tavoilla käytettävissä. Ajattele tätä, kun Kiina tahallisesti myrkyttää oman DNS-palvelimen välimuistinsa.

Vuonna 2010 Kiinan ulkopuolella toimiva Internet-palveluntarjoaja määritteli DNS-palvelimet virheellisesti hakemaan tietoja DNS-palvelimista Kiinassa. Se haetti virheelliset DNS-tietueet Kiinasta ja talletti ne omiin DNS-palvelimiinsa. Muut Internet-palveluntarjoajat hakivat DNS-tietoja kyseiseltä Internet-palveluntarjoajalta ja käyttivät sitä DNS-palvelimissa. Myrkytetyt DNS-merkinnät jatkoivat leviämistä, kunnes jotkut Yhdysvalloissa estivät pääsyn Twitteriin, Facebookiin ja YouTubeen amerikkalaisten Internet-palveluntarjoajiensa kautta. Kiinan suuri palomuuri oli "vuotanut" kansallisten rajojensa ulkopuolella, mikä estää ihmisiä muualta maailmasta pääsemästä näihin verkkosivustoihin. Tämä toimi olennaisesti laajamittaisena DNS-myrkytyshyökkäyksenä. (Lähde.)

Ratkaisu

Todellinen syy DNS-välimuistin myrkytykseen on sellainen ongelma, koska ei ole todellista tapaa määrittää, ovatko vastaanottamasi DNS-vastaukset todella oikeutettuja tai onko niitä käsitelty.

Pitkäaikainen ratkaisu DNS-välimuistimyrkytykseen on DNSSEC. DNSSEC antaa organisaatioille mahdollisuuden allekirjoittaa DNS-tietueet käyttämällä julkisen avaimen salausta ja varmistaa, että tietokoneesi tietää, onko DNS-tietue luotettava tai onko se myrkytetty ja ohjattu väärään paikkaan.

Lue lisää: Miten DNSSEC auttaa suojaamaan Internetiä ja miten SOPA melkein teki sen laittomaksi

Kuvaluotto: Andrew Kuznetsov Flickrissä, Jemimus Flickrissä, NASA