Was ist DNS-Cache-Vergiftung?

DNS-Cache-Poisoning, auch bekannt als DNS-Spoofing, ist eine Angriffsart, die Schwachstellen im Domain Name System (DNS) ausnutzt, um den Internetverkehr von legitimen Servern auf gefälschte umzuleiten.

Einer der Gründe, warum DNS-Poisoning so gefährlich ist, liegt darin, dass es sich von DNS-Server zu DNS-Server ausbreiten kann. Im Jahr 2010 führte ein DNS-Poisoning-Ereignis dazu, dass die Great Firewall of China vorübergehend die Landesgrenzen Chinas verließ und das Internet in den USA zensierte, bis das Problem behoben war.

So funktioniert DNS

Immer wenn Ihr Computer einen Domainnamen wie „google.com“ kontaktiert, muss er zuerst seinen DNS-Server kontaktieren. Der DNS-Server antwortet mit einer oder mehreren IP-Adressen, unter denen Ihr Computer google.com erreichen kann. Ihr Computer verbindet sich dann direkt mit dieser numerischen IP-Adresse. DNS konvertiert menschenlesbare Adressen wie „google.com“ in computerlesbare IP-Adressen wie „173.194.67.102“.

DNS-Caching

Das Internet hat nicht nur einen einzigen DNS-Server, da dies äußerst ineffizient wäre. Ihr Internetdienstanbieter betreibt seine eigenen DNS-Server, die Informationen von anderen DNS-Servern zwischenspeichern. Ihr Heimrouter fungiert als DNS-Server, der Informationen von den DNS-Servern Ihres ISPs zwischenspeichert. Ihr Computer verfügt über einen lokalen DNS-Cache, sodass er schnell auf bereits durchgeführte DNS-Lookups verweisen kann, anstatt immer wieder DNS-Lookups durchzuführen.

DNS-Cache-Vergiftung

Ein DNS-Cache kann vergiftet werden, wenn er einen falschen Eintrag enthält. Wenn ein Angreifer beispielsweise die Kontrolle über einen DNS-Server erlangt und einige der Informationen darauf ändert – zum Beispiel könnte er sagen, dass google.com tatsächlich auf eine IP-Adresse verweist, die der Angreifer besitzt – würde dieser DNS-Server seine Benutzer auffordern, nachzusehen für Google.com an der falschen Adresse. Die Adresse des Angreifers könnte eine Art bösartige Phishing-Website enthalten

DNS-Poisoning wie dieses kann sich ebenfalls ausbreiten. Wenn beispielsweise verschiedene Internetdienstanbieter ihre DNS-Informationen vom kompromittierten Server beziehen, wird der vergiftete DNS-Eintrag an die Internetdienstanbieter weitergegeben und dort zwischengespeichert. Es breitet sich dann auf Heimrouter und die DNS-Caches auf Computern aus, während diese den DNS-Eintrag nachschlagen, die falsche Antwort erhalten und diese speichern.

Die Große Firewall Chinas breitet sich auf die USA aus

Dies ist nicht nur ein theoretisches Problem – es ist in der realen Welt im großen Stil passiert. Chinas Great Firewall funktioniert unter anderem durch Blockieren auf DNS-Ebene. Beispielsweise können die DNS-Einträge einer in China gesperrten Website wie twitter.com auf eine falsche Adresse auf DNS-Servern in China verweisen. Dies würde dazu führen, dass Twitter mit normalen Mitteln nicht erreichbar wäre. Stellen Sie sich das so vor, als ob China absichtlich seine eigenen DNS-Server-Caches vergiftet.

Im Jahr 2010 konfigurierte ein Internetdienstanbieter außerhalb Chinas fälschlicherweise seine DNS-Server, um Informationen von DNS-Servern in China abzurufen. Es holte die falschen DNS-Einträge aus China und speicherte sie auf seinen eigenen DNS-Servern. Andere Internetdienstanbieter haben DNS-Informationen von diesem Internetdienstanbieter abgerufen und auf ihren DNS-Servern verwendet. Die vergifteten DNS-Einträge verbreiteten sich weiter, bis einigen Menschen in den USA der Zugriff auf Twitter, Facebook und YouTube über ihre amerikanischen Internetdienstanbieter gesperrt wurde. Die Great Firewall of China war außerhalb seiner Landesgrenzen „durchgesickert“ und verhinderte, dass Menschen aus anderen Teilen der Welt auf diese Websites zugreifen konnten. Dies funktionierte im Wesentlichen als groß angelegter DNS-Poisoning-Angriff. (Quelle.)

Die Lösung

Der wahre Grund, warum DNS-Cache-Poisoning ein solches Problem ist, liegt darin, dass es keine wirkliche Möglichkeit gibt, festzustellen, ob DNS-Antworten, die Sie erhalten, tatsächlich legitim sind oder ob sie manipuliert wurden.

Die langfristige Lösung für DNS-Cache-Poisoning ist DNSSEC. DNSSEC ermöglicht es Unternehmen, ihre DNS-Einträge mit Kryptografie mit öffentlichem Schlüssel zu signieren, um sicherzustellen, dass Ihr Computer weiß, ob ein DNS-Eintrag vertrauenswürdig ist oder ob er vergiftet wurde und an einen falschen Ort umleitet.

Bildnachweis: Andrew Kuznetsov auf Flickr, Jemimus auf Flickr, NASA