انتحال نظام أسماء النطاقات (DNS)

انتحال نظام أسماء النطاقات (DNS) ، المعروف أيضًا باسم تسميم ذاكرة التخزين المؤقت لنظام أسماء النطاقات ، هو شكل من أشكال اختراق أمن الحاسوب ، حيث يتم إدخال بيانات نظام أسماء نطاقات تالفة في ذاكرة التخزين المؤقت لمحلل نظام أسماء النطاقات ، مما يتسبب في إرجاع خادم الأسماء لسجل نتيجة غير صحيح، مثل عنوان IP . وينتج عن ذلك تحويل حركة المرور إلى أي جهاز كمبيوتر يختاره المهاجم. ببساطة، يجعل المخترق الجهاز يعتقد أنه يتصل بالموقع الإلكتروني المختار، بينما في الواقع، يتم إعادة توجيهه إلى موقع إلكتروني مختلف عن طريق تغيير عنوان IP المرتبط باسم النطاق في خادم نظام أسماء النطاقات. ^{[ 1 ]}

يقوم خادم نظام أسماء النطاقات (DNS) بترجمة اسم نطاق سهل القراءة (مثل example.com..) إلى عنوان IP رقمي يُستخدم لتوجيه الاتصالات بين العُقد . ^{[ 2 ]} عادةً، إذا لم يكن الخادم يعرف الترجمة المطلوبة، فإنه يستعلم من خادم آخر، وتستمر هذه العملية بشكل متكرر . ولتحسين الأداء، يحتفظ الخادم عادةً بهذه الترجمات (يخزنها مؤقتًا) لفترة زمنية محددة. وهذا يعني أنه إذا تلقى طلبًا آخر لنفس الترجمة، فيمكنه الرد دون الحاجة إلى الاستعلام من أي خوادم أخرى، حتى تنتهي صلاحية ذاكرة التخزين المؤقت.

عندما يتلقى خادم نظام أسماء النطاقات (DNS) ترجمة خاطئة ويخزنها مؤقتًا لتحسين الأداء، يُعتبر مُصابًا ، ويُزوّد ​​العملاء بهذه البيانات الخاطئة. في حال إصابة خادم DNS، فقد يُعيد عنوان IP غير صحيح، مما يُحوّل حركة البيانات إلى جهاز كمبيوتر آخر (غالبًا ما يكون جهاز مُهاجم). ^{[ 3 ]}

عادةً، يستخدم الحاسوب المتصل بالشبكة خادم نظام أسماء النطاقات (DNS) الذي يوفره مزود خدمة الإنترنت (ISP) أو مؤسسة المستخدم. تُستخدم خوادم DNS في شبكة المؤسسة لتحسين أداء استجابة الاستعلامات من خلال تخزين نتائج الاستعلامات المُستَحصَلة مسبقًا. يمكن أن تؤثر هجمات التسميم على خادم DNS واحد على المستخدمين الذين يتلقون الخدمة مباشرةً من الخادم المُخترق، أو أولئك الذين يتلقونها بشكل غير مباشر من خوادمه الفرعية، إن وُجدت. ^{[ 4 ]}

لتنفيذ هجوم تسميم ذاكرة التخزين المؤقت ، يستغل المهاجم ثغرات في برنامج نظام أسماء النطاقات (DNS). يجب على الخادم التحقق من صحة استجابات DNS للتأكد من أنها صادرة من مصدر موثوق (على سبيل المثال باستخدام DNSSEC )؛ وإلا فقد يقوم الخادم بتخزين الإدخالات غير الصحيحة محليًا وتقديمها لمستخدمين آخرين يرسلون الطلب نفسه.

يمكن استخدام هذا الهجوم لإعادة توجيه المستخدمين من موقع ويب إلى موقع آخر يختاره المهاجم. على سبيل المثال، يقوم المهاجم بانتحال عناوين IP الخاصة بموقع ويب مستهدف على خادم DNS معين، ويستبدلها بعنوان IP لخادم تحت سيطرته. ثم يقوم المهاجم بإنشاء ملفات على الخادم الذي يتحكم به بأسماء مطابقة لتلك الموجودة على الخادم المستهدف. عادةً ما تحتوي هذه الملفات على محتوى ضار ، مثل ديدان الحاسوب أو الفيروسات . يُخدع المستخدم الذي يتصل حاسوبه بخادم DNS المُخترق، فيقبل محتوىً قادمًا من خادم غير موثوق، ويقوم بتنزيل المحتوى الضار دون علمه. يمكن أيضًا استخدام هذه التقنية في هجمات التصيد الاحتيالي ، حيث يتم إنشاء نسخة مزيفة من موقع ويب حقيقي لجمع بيانات شخصية مثل تفاصيل الحسابات المصرفية وبطاقات الائتمان/الخصم.

لا تقتصر مخاطر تعرض الأنظمة لهجمات تسميم ذاكرة التخزين المؤقت لنظام أسماء النطاقات (DNS) على آثارها المباشرة، بل قد تُعرّض المستخدمين لمخاطر أخرى كالتصيّد الاحتيالي ، وحقن البرامج الضارة ، وهجمات حجب الخدمة ، واختراق المواقع الإلكترونية، وذلك بسبب ثغرات النظام. وتتعدد الأساليب التي قد تؤدي إلى هذه الهجمات، بدءًا من استخدام أساليب الهندسة الاجتماعية وصولًا إلى استغلال نقاط الضعف الموجودة في برمجيات خادم نظام أسماء النطاقات. ^{[ 5 ]}

في المتغيرات التالية، إدخالات الخادمns.target .exampleسيتم تسميمها وإعادة توجيهها إلى خادم أسماء المهاجم على عنوان IP wxyz . تفترض هذه الهجمات أن خادم الأسماء الخاص بـtarget.exampleيكونns.target.example.

ولإنجاز الهجمات، يجب على المهاجم إجبار خادم DNS المستهدف على تقديم طلب للحصول على نطاق يتم التحكم فيه بواسطة أحد خوادم أسماء النطاقات الخاصة بالمهاجم.

subdomain.attacker.example. IN A

(لا يوجد رد)

attacker.example. 3600 IN NS ns.target.example.

ns.target.example. IN A w.xyz

subdomain.attacker.example. IN A

(لا يوجد رد)

target.example. 3600 IN NS ns.attacker.example.

ns.attacker.example. IN A w.xyz

يمكن منع العديد من هجمات تسميم ذاكرة التخزين المؤقت لخوادم نظام أسماء النطاقات (DNS) عن طريق تقليل الثقة في المعلومات التي تُمرر إليها من خوادم DNS أخرى، وتجاهل أي سجلات DNS مُعادة لا ترتبط مباشرةً بالاستعلام. على سبيل المثال، تُجري إصدارات BIND 9.5.0-P1 ^{[ 6 ]} والإصدارات الأحدث هذه الفحوصات. ^{[ 7 ]} كما أن عشوائية منفذ المصدر لطلبات DNS، بالإضافة إلى استخدام أرقام عشوائية آمنة تشفيرياً لاختيار كلٍ من منفذ المصدر وقيمة nonce المشفرة ذات 16 بت ، يُمكن أن يُقلل بشكل كبير من احتمالية نجاح هجمات التنافس على DNS.

مع ذلك، عندما تقوم أجهزة التوجيه وجدران الحماية والخوادم الوكيلة وغيرها من أجهزة البوابة بترجمة عناوين الشبكة (NAT)، أو تحديدًا ترجمة عناوين المنافذ (PAT)، فقد تعيد كتابة منافذ المصدر لتتبع حالة الاتصال. عند تعديل منافذ المصدر، قد تزيل أجهزة PAT عشوائية منفذ المصدر التي تُطبقها خوادم الأسماء ومحللات عناوين IP الفرعية. ^{[ 8 ]}

يستخدم نظام أسماء النطاقات الآمن ( DNSSEC ) التوقيعات الرقمية المشفرة الموقعة بشهادة مفتاح عام موثوقة لتحديد صحة البيانات. ويُمكن لـ DNSSEC التصدي لهجمات تسميم ذاكرة التخزين المؤقت. في عام 2010، تم تطبيق DNSSEC على خوادم منطقة الجذر للإنترنت، ^{[ 9 ]} ولكن يلزم نشره على جميع خوادم نطاقات المستوى الأعلى أيضًا. ويُمكن الاطلاع على مدى جاهزية هذه الخوادم لـ DNSSEC في قائمة نطاقات المستوى الأعلى للإنترنت . اعتبارًا من عام 2020، تدعم جميع نطاقات المستوى الأعلى الأصلية DNSSEC، وكذلك نطاقات رموز الدول لمعظم الدول الكبرى، ولكن لا يزال العديد من نطاقات رموز الدول لا يدعمها. ^{[ 10 ]} كما أن العديد من نطاقات المستوى الثاني لا تدعم DNSSEC أيضًا. ^{[ 11 ]}

يمكن التخفيف من حدة هذا النوع من الهجمات على مستوى طبقة النقل أو طبقة التطبيق من خلال إجراء تحقق شامل بمجرد إنشاء الاتصال. ومن الأمثلة الشائعة على ذلك استخدام بروتوكول أمان طبقة النقل ( TLS) والتوقيعات الرقمية . فعلى سبيل المثال، باستخدام بروتوكول HTTPS (النسخة الآمنة من HTTP )، يمكن للمستخدمين التحقق من صحة الشهادة الرقمية للخادم ومن أنها تعود إلى مالك الموقع الإلكتروني المتوقع. ^{[ 12 ]} وبالمثل، يتحقق برنامج تسجيل الدخول عن بُعد عبر بروتوكول SSH من الشهادات الرقمية عند نقاط النهاية (إن كانت معروفة) قبل متابعة الجلسة. بالنسبة للتطبيقات التي تُنزّل التحديثات تلقائيًا، يمكن للتطبيق تضمين نسخة من شهادة التوقيع محليًا والتحقق من صحة التوقيع المخزن في تحديث البرنامج مقابل الشهادة المضمنة. ^{[ 13 ]}

• اختطاف نظام أسماء النطاقات (DNS)
• إعادة توجيه نظام أسماء النطاقات (DNS)
• ماوسيزان
• الزراعة
• خادم أسماء الجذر
• دان كامينسكي