Quelltext der Seite DNS spoofing

Beim '''DNS-Spoofing''' wird ein Nutzer auf eine andere Website umgeleitet, indem ein Hacker die IP-Adresse einer Domain in der DNS Anfrage (bzw. der Antwort dieser) verändert. DNS-Spoofing bezeichnet eine Reihe von Angriffsmethoden, die darauf abzielen, die IP-Adresse einer Domain zu manipulieren.<ref>{{Internetquelle |url=https://www.wintotal.de/dns-spoofing-cache-poisoning/ |titel=DNS-Spoofing: Cache Poisoning einfach erklärt |datum=2019-05-14 |sprache=de-DE |abruf=2023-10-12}}</ref> Ein anderes Beispiel ist '''DNS-Cache-Poisoning''', es ist eine Form von Hacking, bei der fehlerhafte [[Domain Name System|Domain-Name-System]]-Einträge im Zwischenspeicher ([[Cache]]) des DNS-Resolvers eingegeben werden, durch den der Name-Server eine falsche Antwort zurückgibt, z.&nbsp;B. eine falsche IP-Adresse. Dies führt dazu, dass der [[Datenverkehr]] auf den Computer des Angreifers (oder einen anderen Computer) umgeleitet wird ([[Man-in-the-Middle-Angriff]]). Die direkte Übersetzung von DNS Cache Poisoning bedeutet das Vergiften des DNS-Zwischenspeichers.

== Übersicht über das Domain Name System ==
{{Hauptartikel|Domain Name System}}

Das DNS funktioniert ähnlich wie eine Telefonauskunft. Der Benutzer kennt die [[Domain (Internet)|Domain]] (den für Menschen merkbaren Namen eines Rechners im Internet) – zum Beispiel <code>example.org</code>. Diese sendet er als Anfrage in das Internet. Die Domain wird dann dort vom DNS in die zugehörige [[IP-Adresse]] (die „Anschlussnummer“ im Internet) umgewandelt – zum Beispiel eine [[IPv4]]-Adresse der Form <code>192.0.2.42</code> oder eine [[IPv6]]-Adresse wie <code>2001:db8:85a3:8d3:1319:8a2e:370:7347</code> – und führt so zum richtigen Rechner. Wenn der DNS-Server die angeforderte Übersetzung nicht kennt, fragt er einen anderen Server. Der Prozess geht also rekursiv weiter. Um die Performance zu erhöhen, merken sich die Server die Übersetzungen für eine bestimmte Zeit in ihrem Zwischenspeicher. Das heißt, wenn der Server die gleiche Anfrage für eine Übersetzung erhält, wird er, solange der Zwischenspeicher nicht abläuft, die Anfrage ausführen können, ohne einen anderen Server zu kontaktieren.

Wenn der DNS-Server eine falsche Übersetzung erhält und diese aufgrund der Leistungsoptimierung zwischenspeichert, spricht man von vergiftet (''poisoned''). Der Server gibt die Falschinformationen auch an die Clients weiter. Wenn bei einem DNS Cache Poisoning besteht, gibt er eine falsche IP-Adresse zurück, die den Verkehr an einen anderen Computer, wahrscheinlich den eines Angreifers, umleitet.<ref>{{cite news |url=https://www.cs.cornell.edu/~shmat/shmat_securecomm10.pdf |access-date=2017-04-03 |title=The Hitchhiker’s Guide to DNS Cache Poisoning |publisher=[[Cornell University]] |first1=Sooel |last1=Son |first2=Vitaly |last2=Shmatikov}}</ref>

== Angriffe mit DNS Cache Poisoning ==
Normalerweise verwendet ein an das Internet angeschlossener Computer den DNS-Server seines [[Internetdienstanbieter]]s (ISP) oder ein DNS des Unternehmensnetzwerks. DNS-Server werden in Unternehmensnetzwerken für die schnellere Namensauflösung verwendet, insbesondere da sie vorherige Anfragen zwischenspeichern. Angriffe unter Verwendung des DNS Cache Poisoning auf einen einzelnen DNS-Server können direkt vom betroffenen Server aus geschehen oder indirekt von dessen nachgelagerten Servern, wo weiter nach der Namensauflösung gefragt wird.

Um einen Angriff mit DNS Cache Poisoning auszuführen, verwendet der Angreifer normalerweise Schwachstellen in der DNS Software, sogenannte [[Exploit]]s. Ein DNS-Server sollte eigentlich die Korrektheit der DNS-Auflösung validieren, um sicherzustellen, dass die Daten von einer autorisierten Quelle stammen. Dies kann z.&nbsp;B. durch die Verwendung von [[DNSSEC]] geschehen; andernfalls kann der Server die falschen Daten lokal zwischenspeichern und sogar neue Anfragen von anderen Usern mit falschen Daten beantworten.

Diese Angriffsvariante kann verwendet werden, um einen Benutzer von der eigentlichen Website auf die Website des Angreifers zu leiten. z.&nbsp;B. kann ein Angreifer die DNS-Einträge, also die IP-Adresse, einer Website auf einem ausgewählten DNS-Server mit der IP-Adresse eines Webserver ersetzen, den der Angreifer unter seine Kontrolle gebracht hat. Der Angreifer legt dazu auch Dateien auf seinem Webserver an, die denen des ursprünglichen Webservers entsprechen. Diese Dateien oder Links enthalten meist [[Schadprogramm|bösartige Inhalte]], wie z.&nbsp;B. einen [[Computerwurm]] oder einen [[Computervirus]]. Ein Anwender, der über einen vergifteten DNS-Server auf eine Website gelangt, wird nun bedenkenlos etwaige bösartiger Software vertrauen, die er von einer unbekannten Website eher nicht akzeptiert hätte. Diese Angriffstechnik kann auch für [[Phishing]]attacken verwendet werden, bei denen man versucht, den Anwender dazu zu bringen, auf der gefälschten Website persönliche Daten wie z.&nbsp;B. Bankinformationen oder Kreditkartendetails einzugeben.

== Varianten ==
Bei den folgenden Varianten, werden die Einträge für den Server <code>ns.target[[.example]]</code> mittels DNS Cache Poisoning geändert und der Benutzer auf den Server des Angreifers umgeleitet <code>w.x.y.z</code>. Diese Angriffe setzen voraus, dass der DNS-Server für <code>target.example</code> dem Server <code>ns.target.example</code> entspricht.

Um den Angriff erfolgreich durchzuführen, muss der Angreifer den DNS-Server dazu bringen, eine Anfrage für eine Domain zu tätigen, die der Angreifer kontrolliert.

=== Umleitung auf den DNS-Server der Zieldomäne ===
Die erste Variante des DNS Cache Poisoning besteht darin, den DNS-Server der Angreifer-Domäne auf den DNS-Server der Zieldomäne umzuleiten und diesem DNS-Server dann eine vom Angreifer ausgewählte IP-Adresse zuzuweisen.

Anfrage des DNS-Servers: Was sind die Adressen von <code>subdomain.attacker.example</code>?

 subdomain.attacker.example. IN A

Antwort des Angreifers:

 Answer:
 (no response)

 Authority section:
 attacker.example. 3600 IN NS ns.target.example.

 Additional section:
 ns.target.example. IN A w.x.y.z

Ein verwundbarer DNS-Server würde den zusätzlichen A-Eintrag (IP-Adresse) für <code>ns.target.example</code> zwischenspeichern, so dass der Angreifer Anfragen an die gesamte Domäne <code>target.example</code> auflösen kann.

=== Umleitung des NS Eintrags auf eine andere Zieldomäne ===
Die zweite Variante der DNS Cache Poisoning besteht darin, den Nameserver einer anderen Domain, der nichts mit der Anfrage des Benutzers zu tun hat, an eine vom Angreifer ausgewählte IP-Adresse umzuleiten.

Anfrage des DNS-Servers: Was sind die Adressen von <code>subdomain.attacker.example</code>?

 subdomain.attacker.example. IN A

Antwort des Angreifers:

 Answer:
 (no response)

 Authority section:
 target.example. 3600 IN NS ns.attacker.example.

 Additional section:
 ns.attacker.example. IN A w.x.y.z

Ein anfälliger Server würde die nicht zugehörigen autoritativen Informationen für den [[NS Resource Record|NS-Eintrag]] von <code>target.example</code> (Nameserver-Eintrag) zwischenspeichern, so dass der Angreifer Anfragen an die gesamte Domäne <code>target.example</code> auflösen kann.

== Vorbeugung und Abschwächung des Angriffszenarios ==
Viele DNS Cache Poisoning Angriffe können verhindert werden, indem man den Informationen von anderen DNS-Servern weniger vertraut und Datensätze, die nichts direkt mit der Anfrage zu tun haben, ignoriert. Zum Beispiel führen [[BIND]]-Versionen über 9.5.0-P1 Überprüfungen durch: ein zufälliger Port für DNS-Anfragen des Anfrageservers, kombiniert mit kryptografisch sicheren Zufallszahlen, um den Quellport und die [[Nonce]] auszuwählen. Das kann die Wahrscheinlichkeit von Anfragen an DNS-Server („race condition“) stark reduzieren.

Wenn Router, Firewalls, Proxys und andere Gateways jedoch eine [[Netzwerkadressübersetzung]] (NAT) durchführen, oder genauer eine Netzwerkportübersetzung, müssen sie den Quellport umschreiben, um den Verbindungsstatus zu monitoren. Dadurch kann es passieren, dass durch PAT diese Zufälligkeit wieder ausgehebelt wird.

Secure DNS ([[DNSSEC]]) sichert die Übertragung von [[Resource Record]]s durch [[digitale Signatur]]en ab. DNSSEC kann DNS-Cache-Poisoning-Angriffen widerstehen.

Diese Art von Angriff kann auf der [[Transportschicht]] oder [[Anwendungsschicht]] durch eine End-to-End-Validierung nach dem Verbindungsaufbau gekontert werden. Ein häufiges Beispiel dafür ist die Verwendung von [[Transport Layer Security]] und [[Digitale Signatur|Digitaler Signaturen]]. Ein weiteres ist das Verwenden von [[HTTPS]]. Damit können Benutzer überprüfen, ob das digitale Zertifikat des Servers gültig ist und dem eigentlichen Eigentümer der Website gehört.

== Einzelnachweise ==
<references />

[[Kategorie:Sicherheitslücke]]
[[Kategorie:Hackertechnik (Computersicherheit)]]