دزدی dns چیست ؟

دزدی DNS چیست و برای مقابله با آن چه کنیم؟
در دنیای امروزی، حفظ امینت دستگاه*های مختلف در مقابل هکرها به خودی خود مشکل است. اما همان طور که در این هفته WikiLeaks یادآوری کرد، روشی وجود دارد که هکرها به وسیله*ی آن حتی بدون دست زدن مستقیم
می*توانند کنترل کل سایت شما در اختیار بگیرند. در این روش با استفاده از زیرساخت*های اینترنت، کنترل بازدیدکننده*های خدمات شبکه سایت شما در دسترس هکرها قرار می*گیرد و حتی می*توانند ایمیل*ها را قبل از رسیدن به شبکه*ی شما بخوانند.



صبح روز گذشته، بازدیدکنندگان سایت WikiLeaks.org مشاهده کردند اطلاعاتی که قبلاً بر روی این سایت منتشر شده بود دیگر در دسترس نیست، در عوض پیامی تمسخرآمیز از طرف گروه هکری OurMine در سایت وجود دارد.
موسس ویکی*لیکس، ژولیان آسانژ (Julian Assange)، در توئیتر خود توضیح داد که سایت ظاهراً از طریق DNS، یا سامانه*ی نام دامنه، با استفاده از یک روش قدیمی موسوم به دزدی DNS هک شده است. بر این اساس، احتمالاً
نفوذی به سرورهای سایت صورت نگرفته است. گروه OurMine برای جابجا کردن بازدیدکننده*ها به مقصد مورد نظر خود، از یک لایه*ی اساسی*تر خود اینترنت استفاده کردند.

دزدی DNS چیست؟

در دزدی DNS، از چگونگی عملکرد سامانه*ی نام دامنه به عنوان دفتر تلفن اینترنت استفاده می*شود. به عبارت خدمات شبکه دقیق*تر، مرورگر چندین دفتر تلفن را بررسی کرده و هر دفتر به مرورگر می*گوید که برای قدم بعدی باید به
کدام دفتر مراجعه شود، تا در نهایت، دفتر اصلی محل سروری که سایت در آن میزبانی شده را نشان می*دهد، و کاربر به سایت درخواستی خود می*رسد. وقتی آدرسی مثل Google.com را در مرورگر خود وارد می*کنید،
سرورهای DNS که توسط اشخاص ثالث میزبانی شده*اند، مثل ثبت کننده*ی دامنه*ی سایت، این نام را به آدرس IP سروری که اطلاعات سایت در آن میزبانی شده ترجمه می*کنند.

یکی از محققان امنیتی شرکت F5 Networks که تاکنون مقاله*های زیادی درباره*ی DNS و چگونگی نصب شبکه امکان هک شدن آن توسط هکرها نوشته است، می*گوید: «DNS اساساً اسم شما در جهان است. مردم با این اسم شما
را می*شناسند. اگر کسی سرِ چشمه برود و به آن ورودی*های اشتباه بدهد، همه*ی ترافیک سایت شما مثل ایمیل*ها و سایر سرویس*هایی که مقصدشان شما بودید به محل دیگری منتقل می*شود.»

پیدا کردن DNS یک فرآیند پیچ در پیچ و کاملاً از کنترل وبسایت مقصد خارج است. برای ترجمه*ی دامنه به آدرس IP، مرورگر از یک سرور DNS – که توسط سرویس دهنده*ی اینترنت شما میزبانی شده – آدرس محل دامنه را می*پرسد،
این سرور سپس مجدداً همین سوال را از سرور DNS که توسط نام دامنه*های سطح اول (سازمان*هایی که مسئول دامنه*هایی مثل com. یا org. هستند) یا ثبت کننده*ی دامنه میزبانی شده می*پرسد. بعد این سوال دوباره از
سرور DNS وبسایت پرسیده می*شود. هر هکری که بتواند در مکانی از این زنجیره بازدیدکننده را به یک مقصد اشتباه بفرستد، می*تواند طوری جلوه دهد که انگار سایت از کار افتاده یا حتی کاربران را به وبسایتی بفرستد که خودش کنترل آن را در دسترس دارد.

Pompon می*گوید: « فرآیند پرس*وجو و بازگشت اطلاعات روی سرور افراد دیگر انجام می*شود. فقط در انتها بازدیدکننده به سرور شما می*رسد.»

در مورد ویکی*لیکس، به طور واضح مشخص نیست که مهاجم به کدام بخش زنجیره دسترسی یافته، یا چطور موفق شده بخشی از مخاطبان این سایت را به سایت خود منتقل کند. (ویکی*لیکس با استفاده از یک محافظ
امنیتی موسوم به HTTPS Strict Trasport Security موفق شد از تغییر مسیر خیلی از بازدیدکننده*ها جلوگیری کند و فقط یک پیغام خطا به آن*ها نشان دهد.) ولی به نظر نمی*رسد که OurMine برای انجام این حمله نیازمند
نفوذ عمیقی به درون شبکه*ی ثبت کننده*ی دامنه بوده باشد. با یک مهندسی اجتماعی ساده می*توان از طریق ایمیل یا خدمات شبکه تماس تلفنی از مدیران شرکت*های ثبت کننده مثل Dynadot یا GoDaddy خواست تا آدرس IP محل سرورها را تغییر دهند.

دزدی DNS می*تواند عواقب وخیمی داشته باشد. اگر این کار به دست هکرهایی پلیدتر از گروه OurMine انجام می*شد، آن*ها می*توانستند منابع ویکی*لیکس را به سایت جعلی خودشان منتقل کنند تا هویت گردانندگان آن را فاش کنند.
به گزارش بخش تحقیقات شرکت Kaspersky، در اکتبر ۲۰۱۶، هکرها برای تغییر مسیر ترافیک ۳۶ مورد از بانک*های برزیلی از روش دزدی DNS استفاده کردند. تا حدود ۶ ساعت، کل ترافیک این بانک*ها به صفحات فیشینگی منتقل می*شد
که روی کامپیوتر کاربران بدافزار نصب می*کرد. محقق شرکت کسپراسکای دمیتری بستوژف (Dmitry Bestuzhev) در ماه آوریل که کسپراسکای این حمله نصب شبکه را فاش کرده به Wired گفته بود: «یقیناً همه*ی ساز و کارهای آنلاین بانک*ها تحت کنترل مهاجمین است.»

در یک حادثه*ی دزدی DNS دیگر در سال ۲۰۱۳، هکرهایی موسوم به ارتش الکترونیک سوری کنترل وبسایت خبری نیویورک تایمز را در دست گرفتند. و احتمالاً در بزرگترین حمله*ی DNS چند سال اخیر، هکرها با استفاده از بات*نت Mirai که
از دستگاه*های اینترنت چیزها تشکیل شده بود، به سرورهای Dyn حمله کردند و باعث شدند سایت*های بزرگ زیادی مثل آمازون، توئیتر و ردیت (Reddit) ساعت*ها از دسترس خارج شوند.

مقابله با دزدی DNS

هیچ روشی برای محافظت قطعی در مقابل این نوع حملات که حتی به ویکی*لیکس و نیویورک تایمز آسیب زدند، وجود ندارد، اما تدابیر مقابله*ای خاصی می*توان در نظر داشت. مدیران سایت*ها می*توانند از سرویس*های ثبت دامنه*ای استفاده
کنند که دارای فاکتورهای چندگانه*ی احراز هویت باشند، یعنی مثلاً اگر کسی خواست تنظیمات DNS یک سایت را تغییر دهد باید به Google Authenticator یا Yubikey مدیر سایت خدمات شبکه دسترسی داشته باشد. به این روش تنظیمات DNS فقط به دست مدیر سایت و به خواست خود ثبت کننده قابل تغییر خواهد بود.

در غیر این صورت، خیلی راحت با دزدی DNS می*توان کنترل کامل ترافیک سایت را در اختیار گرفت، و جلوگیری از این مسئله هم به کلی از توان شما خارج است.