Router DNS-kaping, skelm DHCP-bedieners en geënkripteerde DNS (DoH/DoT)-herwinning¶

Elke keer as jy 'n webwerf-adres soos chase.com, google.com, of apple.com in jou blaaier, vra jou toestel 'n Domain Name System (DNS) resolver om daardie mens-leesbare naam in 'n numeriese IP-adres te vertaal (142.250.190.46). As 'n aanvaller stilweg die primêre en sekondêre DNS-bedienerinstellings binne jou huis- of kantoor-Wi-Fi-roeteerder verander, 'n skelm DHCP-bediener op jou plaaslike netwerk optel, jou rekenaar se verborge ** wysighosts lêer**, of jou navrae op 'n hotel- of lughawenetwerk onderskep, beheer hulle die telefoonboek van jou internet. Selfs wanneer jy die presiese, korrek gespelde URL van jou bank, e-posverskaffer of sagteware-opdateringbediener in die adresbalk tik, sal 'n gekaapte DNS-bediener (DNSChanger, ghostDNS, ZuoRAT, of 'n plaaslike dnsmasq spoofer) kan jou verbinding na 'n kwaadwillige soortgelyke bediener stuur, jou antivirussagteware blokkeer om bedreigingsdefinisies af te laai, of 'n vals "Router Firmware Update / Chrome Critical Update"-opspringer vertoon wat 'n infostealer-trojan installeer.

Moenie skielik ignoreer nie NET::ERR_CERT_AUTHORITY_INVALID waarskuwings, onverwagte "Teken aan by Wi-Fi-netwerk"-portaal-opspringers op jou eie huis-Wi-Fi, of blaaierherleidings wanneer jy groot webwerwe besoek. Deur te vergelyk wat jou tans toegewysde DNS-bediener terugstuur met 'n vertroude geënkripteerde oplosser (1.1.1.1, 8.8.8.8, of 9.9.9.9), oudit jou router se WAN- en DHCP-instellings, spoel vergiftigde bedryfstelsel- en blaaier-DNS-kasgeheue, en aktiveer DNS-oor-HTTPS (DoH) of DNS-oor-TLS (DoT), jy kan DNS-kaping binne minder as 10 minute uitwis.

Doen dit nou¶

1. Moet NOOIT klik nie Advanced -> Proceed to [website] (unsafe) as jou blaaier skielik 'n NET::ERR_CERT_AUTHORITY_INVALID of MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT waarskuwing op 'n groot bank-, e-pos- of wolkwebwerf. Moderne HTTPS (TLS 1.3) en HTTP Streng vervoersekuriteit (HSTS) is jou laaste verdedigingslinie wanneer jou DNS gekaap word: die gekaapte DNS-bediener het jou blaaier na die aanvaller se IP-adres gerig, en jou blaaier het die leuen gevang omdat die aanvaller se bediener nie Google of Chase se egte kriptografiese private sleutel hou nie. As u op "Gaan voort in elk geval" klik, gee u u wagwoorde en sessiekoekies direk aan die aanvaller.
2. Moet nooit 'n "Browser Update.exe / .dmg" of tik jou Wi-Fi WPA2/WPA3-wagwoord in 'n opspringvenster wat skielik op jou huis- of kantoor-Wi-Fi verskyn. Wanneer 'n router wanware kap (ghostDNS, Roaming Mantis) verander jou roeteerder se WAN/DHCP DNS-bedieners na 'n kriminele IP-adres, sy #1-taktiek is om elke HTTP-bladsylading na 'n vals "Jou Google Chrome / Safari / Router-firmware is verouderd"-bladsy of 'n vals ISP-aanmeldingsportaal te herlei.
3. ** Hardloop 'n 10-sekonde nslookup of dig vergelykingstoets in jou terminale op die oomblik om te sien of jou huidige DNS-bediener vir jou lieg.** Maak Command Prompt of Terminal oop en vergelyk nslookup google.com (wat jou tans toegewysde router/OS DNS-bediener gebruik) teen nslookup google.com 1.1.1.1 (wat Cloudflare direk navraag doen). As jou verstek DNS-bediener 'n vreemde publieke IP-adres is wat in 'n ander land geleë is wat jy nooit gekonfigureer het nie, of heeltemal ander valse IP's vir bank-/antivirusdomeine gee, word jou DNS gekaap.
4. ** Ignoreer jou toestel se DNS-instellings tydelik na geënkripteerde DNS (DoH / DoT aan 1.1.1.1, 9.9.9.9, of 8.8.8.8) VOORDAT jy by jou router aanmeld of wagwoorde terugstel.** Omdat DNS-over-HTTPS (DoH) stuur alle domeinopsoeke binne 'n geïnkripteer TLS Port 443 tonnel direk na Cloudflare, Quad9 of Google, die aanskakel van DoH binne jou blaaier of bedryfstelsel verblind onmiddellik 'n gekaapte router of skelm ISP-oplosser sodat jy veilig toegang tot regte webwerwe kan kry en jou netwerk kan skoonmaak.
5. Meld by jou huis-/kantoorroeteerder aan via 'n bedrade Ethernet-kabel (192.168.1.1 of 192.168.0.1), inspekteer beide die WAN / Internet DNS EN LAN DHCP Server DNS velde, en as een van hulle onbekende publieke IP-adresse bevat, voer 'n hardeware uit 30-second Pin-Hole Factory Reset onmiddellik. Wanware wat roeteerder-DNS-instellings verander, kom byna altyd in deur 'n blootgestelde Remote Web Management (WAN Admin)poort, 'n UPnP (Universele Plug and Play) poortaanstuurreël, of 'n verstek admin/admin wagwoord (sien Beveilig tuisrouters en IoT-toestelle).
6. ** Gaan jou rekenaar se plaaslike na hosts lêer en Proxy/PAC instellings (C:\Windows\System32\drivers\etc\hosts op Windows of /etc/hosts op macOS/Linux) en spoel jou OS DNS-kas uit.** Selfs as jou router 100 persent skoon is, kan plaaslike reklameware of trojans op 'n enkele rekenaar of Mac DNS-resolusie plaaslik ignoreer deur IP-herleidings in die hosts lêer of stel 'n skelm Outomatiese proxy-konfigurasie (PAC) URL in Windows Internet-opsies.

flowchart TD
    A["Vermeende DNS-kaping: Sertifiseringswaarskuwings, vals opdateringspop-ups of verkeerde werwe wat laai"] --> B["1. Aktiveer geënkripteerde DNS (DoH) in blaaier / bedryfstelsel onmiddellik om vergiftigde resolver te omseil"]
    B --> C["2. Begin Terminal Diagnostic: Vergelyk 'nslookup example.com' vs 'nslookup example.com 1.1.1.1'"]
    C --> D{"Word ALLE toestelle op die Wi-Fi geraak, of slegs EEN spesifieke rekenaar/foon?"}
    D -->|"Alle toestelle op Wi-Fi is geraak"| E["Router WAN/DHCP kaping of Rogue DHCP Server op LAN"]
    E --> F["Gaan verstekpoort en DHCP-bediener-IP ('ipconfig /all') na. Indien onbekend MAC/IP -> Isoleer Rogue Device"]
    E --> G["Hardeware Fabrieksterugstel Roeter -> Dateer Firmware Op -> Deaktiveer WAN Admin & UPnP -> Stel Roeter DNS op 1.1.1.1 / 9.9.9.9"]
    D -->|"Slegs EEN rekenaar of foon is geraak"| H["Plaaslike toestelkaping: inspekteer netwerkadapter statiese DNS, gasheerlêer, proxy/PAC-skrip en blaaieruitbreidings"]
    H --> I["Maak '/etc/hosts' of 'C:\\Windows\\System32\\drivers\\etc\\hosts' skoon, verwyder skelm wortelsertifikate en spoel DNS-kas uit"]

Diagnostiese matriks: die 5 lae waar DNS en netwerkroetering gekaap word¶

Wanneer 'n domeinnaam na die verkeerde bediener omskakel, vind die kaping plaas by een van vyf afsonderlike tegniese lae in die resolusieketting. Gebruik hierdie tabel om vas te stel watter laag gekompromitteer is:

Fase 1: Die 60-sekonde-opdraglyn-DNS- en DHCP-forensiese oudit¶

Voordat jy iets terugstel, maak 'n terminaal op jou rekenaar oop en voer hierdie presiese leesalleen-opdragte uit om die bewyse vas te lê van watter DNS-bedieners en DHCP-bediener jou masjien tans gebruik.

1. Windows 10 en Windows 11 (Command Prompt of PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• Hoe om die uitvoer van Stap 1 te lees (ipconfig /all):
• Kyk na DNS Servers. Normaalweg wys dit óf jou tuisroeteerder se private LAN IP (192.168.1.1, 192.168.0.1, 10.0.0.1), 'n bekende openbare oplosser wat jy doelbewus ingestel het (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), of jou egte breëband-ISP se streeks-DNS-bedieners (verifieer enige onbekende IP by https://bgp.he.net of whois: as die IP aan 'n koeëlvaste VPS-gasheerverskaffer in 'n ander land behoort eerder as jou ISP, is jou DNS vergiftig).
• Kyk na DHCP Server vs. Default Gateway. Op 99 persent van tuisnetwerke is die DHCP Server IP en die Default Gateway IP moet identies wees (bv. albei 192.168.1.1). As hulle anders is (en jy het nie persoonlik 'n Pi-hole of Windows Server-domeinbeheerder gebou nie), het jy 'n skelm DHCP-bediener op jou plaaslike netwerk.

2. macOS en Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Jag en isoleer 'n skelm DHCP-bediener op jou plaaslike netwerk¶

Wat as ipconfig /all (of ip route / networksetup -getinfo Wi-Fi) onthul dat jou rekenaar sy IP-huurkontrak en DNS-instellings van 'n onbekende plaaslike IP-adres soos 192.168.1.142 in plaas van jou regte router (192.168.1.1)? 1. Identifiseer onmiddellik die hardeware MAC-adres (Physical Address) en vervaardiger van die skelm toestel (192.168.1.142) deur jou ARP-tabel te inspekteer:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

Fase 2: Stap-vir-stap uitwissing vir router WAN/DHCP kaping¶

As jou oudit in Fase 1 bewys het dat jou Wi-Fi-roeteerder kwaadwillige DNS-adresse uitdeel (of dat jou roeteerder se interne WAN-DNS gewysig is), meld eenvoudig by die roeteerder aan en tik 1.1.1.1 terug in die boks is nie genoeg nie. U moet die kwesbaarheid toemaak wat die aanvaller in die eerste plek in u router toegelaat het:

Stap 1: Voer 'n hardeware 30-sekonde fabrieksterugstelling op die router uit¶

Waarom 'n volledige fabrieksterugstelling in plaas daarvan om net die DNS-veld te wysig? Omdat router malware (ZuoRAT, VPNFilter, Cyclops Blink, Mirai variante) voeg gereeld verborge by iptables NAT herlei reëls (REDIRECT --to-ports 53), installeer 'n aanhoudende cron-werk in /tmp of NVRAM, of aktiveer verborge afgeleë SSH/Telnet-bestuursrekeninge. 1. Ontkoppel die roeteerder se WAN / Internet Ethernet-kabel (die kabel wat van jou vesel-ONT of kabelmodem kom) sodat die aanvaller nie weer kan koppel terwyl jy dit konfigureer nie. 2. Met die roeteerder aangeskakel, druk en hou die ingeboude Herstel pinhole-knoppie aan die agterkant van die roeteerder met 'n skuifspeld vir 15 tot 30 volle sekondes vas totdat alle voorpaneel-LED's gelyktydig flikker. 3. Wag 3 minute vir die router om na sy skoon fabriekstoestand te herlaai, koppel dan 'n skoon rekenaar via 'n Ethernet-kabel (of die fabrieks-Wi-Fi-plakkerbewyse) en meld aan 192.168.1.1 (of 192.168.0.1).

Stap 2: Sluit die 5 router-instellings wat aanvallers gebruik om DNS te kap¶

Voordat jy die WAN/internetkabel weer inprop, stel hierdie vyf verpligte instellings binne jou router se administrasiekonsole op (sien ons volledige gids op Beveilig tuisrouters en IoT-toestelle vir diep verharding): 1. Stel 'n unieke 16+ karakter-roeteerder-administrasiewagwoord (NIE dieselfde as jou Wi-Fi-wagwoord nie): Moet nooit die roeteerderadministrasie-aanmelding verlaat as admin / admin of admin / password. Elke CSRF DNS-kapingsuitbuitingstel op die web raai outomaties verstekbewyse wanneer jy 'n kwaadwillige banieradvertensie in jou blaaier laai. 2. Verifieer Remote Management / WAN Administration is streng DISABLED: Kyk onder Advanced -> Administration -> Remote Management en maak seker dat niemand op die publieke internet toegang tot jou router se aanmeldbladsy of SSH/Telnet-poorte vanaf die WAN-kant het nie. 3. Deaktiveer UPnP (Universele Plug and Play): Onder Advanced -> UPnP (of NAT Forwarding -> UPnP), skakel UPnP AF. Wanware op enige toestel binne jou huis gebruik UPnP (IGD SOAP-versoeke) om jou router stilweg te beveel om poorte oop te maak of WAN-aanstuurreëls sonder 'n wagwoord te verander. 4. Hardekode vertroude, wanware-blokkerende DNS-bedieners (IPv4 EN IPv6) op die router: Gaan na Internet / WAN-opstelling -> DNS-bediener (en LAN -> DHCP-bediener) en skakel oor van Kry outomaties vanaf ISP na Gebruik hierdie DNS-bedieners: * Wolkvlam (1.1.1.1 for Families - Malware Blocking): Primêre IPv4: 1.1.1.2 | Sekondêre IPv4: 1.0.0.2 (of standaard ongefilterd 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 en 2606:4700:4700::1002. * Quad9 (Malware & Phishing Blocking + DNSSEC): Primêre IPv4: 9.9.9.9 | Sekondêre IPv4: 149.112.112.112. IPv6: 2620:fe::fe en 2620:fe::9. * Google Publieke DNS: Primêre IPv4: 8.8.8.8 | Sekondêre IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 en 2001:4860:4860::8844. 5. Herkoppel die WAN-kabel en installeer onmiddellik die nuutste roeteerder-firmware-opdatering: As jou roeteerdermodel verby sy vervaardiger is Leweneinde (EoL) datum en ontvang nie meer sekuriteitskolle nie (sien Nul-dag ontgin noodpleistering en isolasie van die einde-van-lewe-toestel), vervang die roeteerder-hardeware onmiddellik sodat bekende onverwerkte CVE's nie môre weer ontgin kan word nie.

Fase 3: Maak 'n vergiftigde plaaslike rekenaar skoon (Hosts Lêer, Adapter DNS en Cache Flush)¶

Nadat u u roeteerder beveilig het (of as slegs 'n enkele rekenaar gekaap is), voer hierdie presiese opdragte uit om u plaaslike rekenaar se netwerkstapel terug te stel en elke vergiftigde DNS-rekord uit die kas te spoel:

1. Windows 10 / 11 Voltooi DNS, leërskare, Winsock en blaaierkas-terugstelling¶

Maak Opdragprompt oop as Administrateur (Win + X -> Terminal (Admin) / Command Prompt (Admin)) en hardloop:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• As joune C:\Windows\System32\drivers\etc\hosts lêer het ongemagtigde herleidinglyne bevat: Maak oop Notepad as Administrateur, maak oop C:\Windows\System32\drivers\etc\hosts, vee elke reël sonder kommentaar uit ('n skoon standaard Windows hosts lêer het nul aktiewe reëls sonder kommentaar, en elke kommentaarreël begin met #), stoor die lêer en hardloop ipconfig /flushdns.
• ** Kyk vir skelmwortelsertifikate (certmgr.msc):** As 'n aanvaller of plaaslike wanware ook 'n vals wortelsertifikaatowerheid geïnstalleer het (CA) op jou rekenaar sodat hulle HTTPS-verkeer kan onderskep sonder om blaaierwaarskuwings te aktiveer, druk Win + R, tik certmgr.msc, brei uit Betroubare wortelsertifiseringsowerhede -> Sertifikate, sorteer volgens Issued By of Expiration Date, en verwyder enige onbekende self-ondertekende wortelsertifikaat wat jy nie herken nie.

2. MacOS & Linux Voltooi DNS-terugstelling en kasspoel¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Spoel jou webblaaier se interne sok en DNS-kas uit (Chrome, Edge, Brave, Firefox)¶

Kritiese lokval: Moderne webblaaiers handhaaf hul eie aparte interne DNS-kas en oop TCP-sokpoel heeltemal onafhanklik van ipconfig /flushdns. Selfs nadat jy jou router reggemaak en hardloop ipconfig /flushdns, Chrome of Edge kan vir nog 15 minute aanhou om jou na die aanvaller se IP te stuur totdat jy die blaaier se interne kas uitvee: 1. In Chrome, Edge of Brave: * Tik chrome://net-internals/#dns (of edge://net-internals/#dns) in die adresbalk en klik Clear host cache. * Klik dadelik Sockets in die linkerkantbalk (chrome://net-internals/#sockets) en klik Flush socket pools (dit maak enige aktiewe aanhoudende HTTP/2- of QUIC-verbindings wat nog oop is vir die aanvaller se IP dood). 2. In Mozilla Firefox: * Tik about:networking#dns in die adresbalk en klik Clear DNS Cache. 3. In Apple Safari (macOS en iOS): * Op macOS, maak Safari -> Instellings -> Gevorderd oop, merk Show features for web developers, en klik Develop -> Empty Caches(Opt + Cmd + E), sluit dan Safari en herbegin. * Op iPhone of iPad, skakel Vliegtuigmodus AAN vir 5 sekondes en terug AF, wat iOS dwing mDNSResponder om sy hele vlugtige DNS-kas onmiddellik te suiwer sonder om jou gestoorde webwerf-aanmeldings uit te vee.

Fase 4: Aktiveer geënkripteerde DNS (DoH / DoT) dus kan geen router, hotel of ISP ooit weer jou DNS kaap nie¶

Hoekom is tradisionele DNS (UDP Port 53) so maklik vir 'n gekompromitteerde huisroeteerder, koffiewinkel-Wi-Fi of ISP om op te spioeneer en te kaap? Omdat standaard DNS ontwerp is in 1983 (RFC 882) met nul enkripsie en geen stawing: elke navraag beweeg oor die draad in gewone teks, en enige toestel op die pad kan 'n vals UDP-antwoord in minder as 'n millisekonde smee (DNS Spoofing).

Deur DNS-oor-HTTPS (DoH, RFC 8484) of DNS-oor-TLS (DoT, RFC 7858), jou toestel omvou elke DNS-navraag binne 'n kriptografies geverifieerde TLS 1.3 tonnel direk na 'n vertroude oplosser (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, of NextDNS). As 'n skelm router of hotel-Wi-Fi probeer om die antwoord te verander, misluk die TLS-handtekening en jou toestel verwerp die vervalsing onmiddellik.

Hoe om geënkripteerde DNS te aktiveer (DoH / DoT) Oor elke toestel in 60 sekondes¶

Gereelde vrae¶

Hoekom het my blaaier gewys NET::ERR_CERT_AUTHORITY_INVALID aan google.com of my bank toe my router se DNS gekaap is?¶

Daardie blaaierfout het jou eintlik gered dat jou rekening gesteel word. Wanneer 'n aanvaller jou router se DNS-instellings kaap, verander hulle die IP-adres vir `www.yourbank.com` dus koppel jou rekenaar aan die aanvaller se webbediener in plaas van jou regte bank. Wanneer jou blaaier egter 'n geënkripteerde HTTPS (`TLS`) handdruk met die aanvaller se bediener, kan die aanvaller se bediener nie 'n geldige digitale TLS-sertifikaat produseer wat kriptografies onderteken is deur 'n betroubare sertifikaatowerheid vir `yourbank.com`. Jou blaaier stop onmiddellik die verbinding en vertoon `NET::ERR_CERT_AUTHORITY_INVALID`. Solank jy nooit op "Gaan voort in elk geval" klik nie en nooit 'n skelm wortelsertifikaat installeer nie (`CA`) op jou toestel, kan DNS-kaping alleen nie 'n HSTS-beskermde HTTPS-webwerf dekripteer of bedrieg nie.

Hoe het 'n hacker die DNS-instellings binne my Wi-Fi-router by die huis verander sonder om my Wi-Fi-wagwoord te ken?¶

Aanvallers hoef nie binne Wi-Fi-reeks van jou huis te wees om jou router se DNS-instellings te verander nie. Hulle gebruik twee afgeleë metodes: eerstens, outomatiese bots (`Shodan` / `Censys` skandeerders en botnets) skandeer elke openbare IP-adres op die internet op soek na tuisroeterders wat **Afgeleë webbestuur het (`WAN Admin`)** of **`UPnP`** oopgelaat met bekende firmware-kwesbaarhede. Tweedens, selfs as WAN Admin gesluit is, as jy jou router se interne administrasiewagwoord op die fabrieksversteker gelaat het (`admin / admin` of `admin / password`), deur 'n kwaadwillige advertensie of webwerf op jou skootrekenaar te klik laat versteekte JavaScript in jou blaaier toe om 'n **Cross-Site Request Forgery te stuur (`CSRF`)** of **DNS Rebinding** versoek direk vanaf jou skootrekenaar na `http://192.168.1.1`, van binne af by jou router aan te meld en jou DNS-instellings stilweg te herskryf.

As ek geënkripteerde DNS aktiveer (DoH) in Chrome of Firefox, beskerm dit die ander toepassings op my rekenaar?¶

Aktiveer veilige DNS (`DoH`) binne Chrome, Edge, Brave of Firefox enkripteer en beskerm alle DNS-soektogte wat **binne in daardie spesifieke webblaaier** gemaak word, wat onmiddellik blaaier-gebaseerde uitvissing-aansture en vals opdateringsbladsye stop. Ander agtergrondtoepassings op jou rekenaar (soos jou e-poskliënt, Slack, speletjies of OS-opdatering) gebruik egter steeds die bedryfstelsel se stelselwye DNS-oplosser, tensy jy ook geënkripteerde DNS op die bedryfstelselvlak opstel (via Windows 11 Native DoH, Android Private DNS `DoT`, of 'n getekende macOS/iOS-geënkripteerde DNS-profiel) en maak jou router se WAN/DHCP DNS-instellings reg.

Wat is die verskil tussen 1.1.1.1 (Cloudflare) en 9.9.9.9 (Quad9), en watter een moet ek in my router plaas?¶

Albei is vinnige, privaatheid-respekterende, nie-nasporende globale anycast DNS-resoleerders wat deur betroubare organisasies bedryf word, en een van hulle sal jou beskerm teen ISP of skelm-router kaping. Standaard**`1.1.1.1`** (Cloudflare) en **`8.8.8.8`** (Google) gee suiwer, ongefiltreerde DNS-antwoorde vir elke domein op die internet terug. **`9.9.9.9`** (bedryf deur die nie-winsgewende Quad9-stigting) en **`1.1.1.2`** (Cloudflare for Families - Malware Blocking) kontroleer outomaties elke domeinsoektog teen intydse globale bedreigingintelligensie-feeds van bekende uitvissingwebwerwe, losprysware-bevel-en-beheer (`C2`)-bedieners, en infostealer-domeine, wat die verbinding by die DNS-laag blokkeer voordat 'n kwaadwillige bladsy selfs kan laai.

Verwante gidse¶

• Beveilig tuisrouters en IoT-toestelle
• Publieke Wi-Fi, Evil Twin-brandpunte en USB-sap-jacking verdediging
• Kwaadwillige blaaieruitbreidings, knipbordkapers en die verwydering van reklameware
• Nul-dag ontgin noodpleistering en isolasie van die einde-van-lewe-toestel
• Domeinnaamkaping, verval DNS en webwerf-oorname
• Globale noodnommers

Bronne nagegaan¶

• Kuberveiligheids- en infrastruktuursekuriteitsagentskap (CISA) en Nasionale Sekuriteitsagentskap (NSA) (Verenigde State): Kuberveiligheidsinligtingblad (Kies 'n beskermende DNS (PDNS)-diens en Gebruik van geënkripteerde DNS DoH / DoT in Ondernemings- en Huisomgewings).
• Internet Engineering Task Force (IETF) (Internasionaal): RFC 7858 (Spesifikasie vir DNS oor vervoerlaagsekuriteit DoT), RFC 8484 (DNS-navrae oor HTTPS DoH), en RFC 9462 (Ontdekking van aangewese resolvers DDR).
• ICANN Advieskomitee vir Sekuriteit en Stabiliteit (SSAC) (Internasionaal): Advies oor DNS-infrastruktuur-peutery, WAN-roeteerder-herkonfigurasie en DNSSEC-validering.
• Nasionale Kuberveiligheidsentrum (NCSC) (Verenigde Koninkryk): Beskermende DNS-argitektuur en versagtende skelm-DHCP en plaaslike netwerk-spoofing-aanvalle.