DNS Önbellek Zehirlenmesi Nedir?

Özyinelemeli bir çözümleyici bir soruyu dışarıya sorduğunda, cevabın geri gelmesini bekler. Saldırı bu bekleme aralığına sığar. Gerçek cevaptan önce sahte bir cevap yetiştirilirse çözümleyici onu kabul eder ve önbelleğine yazar. Yarış budur.

Kabul edilmesi için birkaç alanın tutması gerekir. İşlem numarası, kaynak port, sorgulanan ad ve sorunun sorulduğu sunucunun adresi eşleşmelidir. Tasarımın ilk yıllarında bu alanların tahmin edilebilirliği yüksekti.

Neden Hâlâ Konuşulur

Etkisi, girişimin maliyetiyle orantısızdır. Zehirlenen tek bir kayıt, o çözümleyiciyi kullanan her istemciyi kaydın süresi boyunca saldırganın seçtiği adrese gönderir. Kullanıcı doğru adı yazar, tarayıcıda doğru ad görünür, gidilen yer başkadır.

Bugünkü çözümleyiciler kaynak portu rastgeleleştirir ve işlem numarasını tahmin edilmesi zor aralıkta seçer. Bu, saldırıyı ortadan kaldırmaz; başarı olasılığını pratikte kullanılamaz seviyeye indirir. Uygulamanın rastgeleliği zayıfsa ya da araya giren bir cihaz sorguları düzleştiriyorsa koruma da zayıflar.

Kalıcı Çözüm Nerede

Rastgeleleştirme tahmin etmeyi zorlaştırır, cevabın nereden geldiğini kanıtlamaz. DNSSEC tam olarak bunu yapar. Kayıt imzalıysa sahte cevap doğrulamayı geçemez.

Karşılığı ise dağıtımın eksikliğidir. Zincirin her halkası imzalı değilse doğrulama yapılamaz ve pek çok alan adı hâlâ imzasızdır. Bu yüzden pratikte iki katman birlikte tutulur. Çözümleyici sıkı yapılandırılır, doğrulama açık bırakılır.