Выкраданне DNS маршрутызатара, фальшывыя серверы DHCP і аднаўленне зашыфраванага DNS (DoH/DoT)¶

Кожны раз, калі вы ўводзіце адрас вэб-сайта, як chase.com, google.com, або apple.com у ваш браўзер, ваша прылада запытвае сістэму даменных імёнаў (DNS) Resolver, каб перавесці гэта зразумелае для чалавека імя ў лічбавы IP-адрас (142.250.190.46). Калі зламыснік моўчкі змяняе налады асноўнага і другаснага DNS-сервераў у вашым хатнім або офісным маршрутызатары Wi-Fi, запускае падроблены DHCP-сервер у вашай лакальнай сетцы, змяняе схаваны ** кампутараhosts файл**, або перахоплівае вашыя запыты ў сетцы гатэля або аэрапорта, яны кантралююць тэлефонную кнігу вашага Інтэрнэту. Нават калі вы ўводзіце ў адрасны радок дакладны, правільна напісаны URL-адрас вашага банка, пастаўшчыка паслуг электроннай пошты або сервера абнаўленняў праграмнага забеспячэння, узламаны сервер DNS (DNSChanger, ghostDNS, ZuoRAT, або мясцовы dnsmasq спуфер) можа накіраваць ваша злучэнне на шкоднасны сервер, падобны на падобных, заблакаваць антывіруснае праграмнае забеспячэнне ад загрузкі азначэнняў пагроз або паказаць падробленае ўсплывальнае акно «Абнаўленне прашыўкі маршрутызатара / Крытычнае абнаўленне Chrome», якое ўсталёўвае траяна-выкрадальнік інфармацыі.

Не ігнаруйце раптоўныя NET::ERR_CERT_AUTHORITY_INVALID папярэджанні, нечаканыя ўсплывальныя вокны партала "Увайдзіце ў сетку Wi-Fi" на вашай ўласнай хатняй Wi-Fi або перанакіраванне браўзера пры наведванні асноўных вэб-сайтаў. Параўноўваючы тое, што ваш прызначаны DNS-сервер вяртае з давераным зашыфраваным рэзолверам (1.1.1.1, 8.8.8.8, або 9.9.9.9), аўдыт налад WAN і DHCP вашага маршрутызатара, ачыстка атручаных кэшаў DNS АС і браўзера і ўключэнне DNS-over-HTTPS (DoH) або DNS-over-TLS (DoT), вы можаце ліквідаваць захоп DNS менш чым за 10 хвілін.

Зрабіце гэта зараз¶

1. НІКОЛІ не націскайце Advanced -> Proceed to [website] (unsafe) калі ваш браўзер раптам адлюстроўвае a NET::ERR_CERT_AUTHORITY_INVALID або MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT папярэджанне на вэб-сайце буйнога банка, электроннай пошты ці воблака. Сучасны HTTPS (TLS 1.3) і HTTP Strict Transport Security (HSTS) з'яўляюцца вашай апошняй лініяй абароны, калі ваш DNS узломаны: захоплены DNS-сервер накіраваў ваш браўзер на IP-адрас зламысніка, і ваш браўзер злавіў хлусню, таму што сервер зламысніка не ўтрымлівае сапраўднага крыптаграфічнага прыватнага ключа Google або Chase. Пры націску «Усё роўна працягнуць» вашы паролі і файлы cookie сеанса перадаюцца зламысніку.
2. НІКОЛІ не спампоўвайце і не запускайце a "Browser Update.exe / .dmg" або ўвядзіце пароль Wi-Fi WPA2/WPA3 ва ўсплываючым акне, якое раптоўна з'явіцца ў вашай хатняй або офіснай сетцы Wi-Fi. Калі шкоднасная праграма захоплівае маршрутызатар (ghostDNS, Roaming Mantis) змяняе DNS-серверы WAN/DHCP вашага маршрутызатара на злачынны IP-адрас, яго тактыка № 1 - перанакіроўваць кожную загрузку HTTP-старонкі на падробленую старонку "Прашыўка вашага Google Chrome/Safari/маршрутызатара састарэла" або на падроблены партал для ўваходу ў інтэрнэт-правайдэр.
3. Прабег 10 секунд nslookup або dig параўнальны тэст у вашым тэрмінале прама зараз, каб убачыць, ці хлусіць ваш бягучы сервер DNS. Адкрыйце камандны радок або тэрмінал і параўнайце nslookup google.com (які выкарыстоўвае ваш прызначаны маршрутызатар/сервер DNS DNS) супраць nslookup google.com 1.1.1.1 (які запытвае непасрэдна Cloudflare). Калі ваш DNS-сервер па змаўчанні з'яўляецца дзіўным публічным IP-адрасам, размешчаным у іншай краіне, які вы ніколі не наладжвалі, або вяртае зусім іншыя фальшывыя IP-адрасы для банкаўскіх/антывірусных даменаў, ваш DNS узламаны.
4. Часова змяніце налады DNS вашай прылады на зашыфраваны DNS (DoH / DoT на 1.1.1.1, 9.9.9.9, або 8.8.8.8) ПЕРАД уваходам у маршрутызатар або скідам пароляў. Таму што DNS-over-HTTPS (DoH) адпраўляе ўсе пошукі дамена ў зашыфраваным выглядзе TLS Port 443 тунэль непасрэдна ў Cloudflare, Quad9 або Google, уключэнне DoH у вашым браўзеры або АС неадкладна асляпляе захоплены маршрутызатар або падроблены правайдэр-правайдэр, каб вы маглі бяспечна атрымаць доступ да рэальных вэб-сайтаў і ачысціць сетку.
5. Увайдзіце ў хатні/офісны маршрутызатар праз правадны кабель Ethernet (192.168.1.1 або 192.168.0.1), праверце абодва WAN / Internet DNS І LAN DHCP Server DNS палі, і калі адно з іх змяшчае незнаёмыя агульнадаступныя IP-адрасы, выканайце апаратную 30-second Pin-Hole Factory Reset неадкладна. Шкоднасная праграма, якая змяняе налады DNS маршрутызатара, амаль заўсёды пранікае праз адкрыты Remote Web Management (WAN Admin) порт, a UPnP (Universal Plug and Play) правіла пераадрасацыі партоў або стандартнае admin/admin пароль (гл Бяспека хатніх маршрутызатараў і прылад IoT).
6. Праверце лакальную версію вашага кампутара hosts налады файла і проксі/PAC (C:\Windows\System32\drivers\etc\hosts на Windows або /etc/hosts на macOS/Linux) і ачысціце DNS-кэш вашай АС. Нават калі ваш маршрутызатар на 100 працэнтаў чысты, лакальнае рэкламнае ПЗ або траяны на адным ПК або Mac могуць перавызначыць дазвол DNS лакальна шляхам увядзення IP-перанакіраванняў у hosts файл або ўстаноўка жуліка Аўтаматычная канфігурацыя проксі (PAC) URL у Windows Internet Options.

flowchart TD
    A["Падазрэнне на крадзеж DNS: папярэджанні сертыфікатаў, падробленыя ўсплывальныя вокны абнаўленняў або загрузка няправільных сайтаў"] --> B["1. Неадкладна ўключыце зашыфраваны DNS (DoH) у браўзеры / АС, каб абыйсці атручаны рэзолвер"]
    B --> C["2. Запусціце дыягностыку тэрмінала: параўнайце 'nslookup example.com' з 'nslookup example.com 1.1.1.1'"]
    C --> D{"Ці закрануты ЎСЕ прылады ў сетцы Wi-Fi ці толькі АДЗІН канкрэтны камп'ютар/тэлефон?"}
    D -->|"Закрануты ўсе прылады, падключаныя да Wi-Fi"| E["Выкраданне маршрутызатара WAN/DHCP або падманны сервер DHCP у лакальнай сетцы"]
    E --> F["Праверце IP-адрас шлюза па змаўчанні і сервера DHCP ('ipconfig /all'). Калі MAC/IP незнаёмы -> Ізаляваць прыладу Rogue"]
    E --> G["Апаратны скід да заводскіх налад маршрутызатара -> Абнавіць убудаванае праграмнае забеспячэнне -> Адключыць WAN Admin & UPnP -> Усталяваць DNS маршрутызатара на 1.1.1.1 / 9.9.9.9"]
    D -->|"Закрануты толькі АДЗІН кампутар або тэлефон"| H["Выкраданне лакальнай прылады: праверце статычны DNS сеткавага адаптара, файл хастоў, сцэнар проксі/PAC і пашырэнні браўзера"]
    H --> I["Ачысціце '/etc/hosts' або 'C:\\Windows\\System32\\drivers\\etc\\hosts', выдаліце падробленыя каранёвыя сертыфікаты і ачысціце кэш DNS"]

Дыягнастычная матрыца: 5 узроўняў, дзе DNS і сеткавая маршрутызацыя захопліваюцца¶

Калі даменнае імя вырашае няправільны сервер, узлом адбываецца на адным з пяці розных тэхнічных узроўняў у ланцужку дазволу. Выкарыстоўвайце гэтую табліцу, каб дакладна вызначыць, які ўзровень парушаны:

Фаза 1: 60-секундны аўдыт DNS і DHCP каманднага радка¶

Перш чым што-небудзь скінуць, адкрыйце тэрмінал на вашым кампутары і запусціце гэтыя дакладныя каманды толькі для чытання, каб атрымаць доказы таго, якія DNS-серверы і DHCP-серверы зараз выкарыстоўвае ваша машына.

1. Windows 10 і Windows 11 (Command Prompt або PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• Як прачытаць вынік кроку 1 (ipconfig /all):
• Паглядзі на DNS Servers. Звычайна гэта паказвае прыватны IP-адрас лакальнай сеткі вашага хатняга маршрутызатара (192.168.1.1, 192.168.0.1, 10.0.0.1), вядомы агульнадаступны распознавальнік, які вы наўмысна ўсталявалі (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), або рэгіянальныя серверы DNS вашага сапраўднага шырокапалоснага інтэрнэт-правайдэра (праверце любы незнаёмы IP-адрас на https://bgp.he.net або whois: калі IP належыць куленепрабівальнаму VPS-хостынг-правайдэру ў іншай краіне, а не вашаму інтэрнэт-правайдэру, ваш DNS атручаны).
• Паглядзі на DHCP Server супраць Default Gateway. У 99 працэнтах хатніх сетак DHCP Server IP і Default Gateway IP павінен быць ідэнтычным (напрыклад, абодва 192.168.1.1). Калі яны адрозніваюцца (і вы асабіста не стваралі кантролер дамена Pi-hole або Windows Server), у вашай лакальнай сетцы ёсць фальшывы сервер DHCP.

2. macOS і Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Вышук і ізаляцыя фальшывага сервера DHCP у вашай лакальнай сетцы¶

Што калі ipconfig /all (або ip route / networksetup -getinfo Wi-Fi) паказвае, што ваш кампутар атрымаў арэнду IP і налады DNS з незнаёмага мясцовага IP-адраса, напрыклад 192.168.1.142 замест вашага сапраўднага маршрутызатара (192.168.1.1)? 1. Неадкладна вызначце апаратны MAC-адрас (Physical Address) і вытворца фальшывай прылады (192.168.1.142), прагледзеўшы табліцу ARP:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

Фаза 2: Пакрокавае ліквідацыю захопу маршрутызатара WAN/DHCP¶

Калі ваш аўдыт на этапе 1 даказаў, што ваш маршрутызатар Wi-Fi перадае шкоднасныя адрасы DNS (або што ўнутраны DNS вашага маршрутызатара WAN быў зменены), проста ўвайдзіце ў маршрутызатар і ўвядзіце 1.1.1.1 назад у скрынку недастаткова. Вы павінны ліквідаваць уразлівасць, якая дазволіла зламысніку атрымаць доступ да маршрутызатара ў першую чаргу:

Крок 1. Выканайце 30-секундны апаратны скід да заводскіх налад на маршрутызатары¶

Навошта поўны скід да заводскіх налад замест простага рэдагавання поля DNS? Паколькі шкоднасныя праграмы маршрутызатара (ZuoRAT, VPNFilter, Cyclops Blink, Mirai варыянты) часта дадае схаваныя iptables Правілы перанакіравання NAT (REDIRECT --to-ports 53), усталёўвае пастаяннае заданне cron /tmp або NVRAM, або дазваляе схаваныя выдаленыя ўліковыя запісы кіравання SSH/Telnet. 1. Адключыце кабель WAN/Інтэрнэт Ethernet маршрутызатара (кабель, які ідзе ад оптавалаконнага ONT або кабельнага мадэма), каб зламыснік не змог паўторна падключыцца, пакуль вы наладжваеце яго. 2. Калі маршрутызатар уключаны, націсніце і ўтрымлівайце сашчэпкай кнопку Скід адтуліны на задняй панэлі маршрутызатара на працягу ад 15 да 30 поўных секунд, пакуль усе святлодыёды на пярэдняй панэлі не заміргаюць адначасова. 3. Пачакайце 3 хвіліны, пакуль маршрутызатар перазагрузіцца ў чысты завадскі стан, затым падключыце чысты камп'ютар праз кабель Ethernet (або заводскія ўліковыя дадзеныя Wi-Fi) і ўвайдзіце ў сістэму 192.168.1.1 (або 192.168.0.1).

Крок 2. Заблакіруйце 5 зламыснікаў, якія выкарыстоўваюць налады маршрутызатара для ўзлому DNS¶

Перш чым зноў падключаць кабель WAN/Інтэрнэт, наладзьце гэтыя пяць абавязковых параметраў у кансолі адміністравання вашага маршрутызатара (гл. наша поўнае кіраўніцтва па Бяспека хатніх маршрутызатараў і прылад IoT для глыбокай загартоўкі): 1. Усталюйце унікальны пароль адміністратара маршрутызатара з 16+ сімвалаў (НЕ супадае з паролем Wi-Fi): Ніколі не пакідайце лагін адміністравання маршрутызатара як admin / admin або admin / password. Кожны набор эксплойтаў CSRF для ўзлому DNS у Інтэрнэце аўтаматычна адгадвае ўліковыя даныя па змаўчанні, калі вы загружаеце шкоднасны рэкламны банер у свой браўзер. 2. Праверыць Remote Management / WAN Administration гэта Строга DISABLED: Глядзі ніжэй Advanced -> Administration -> Remote Management і пераканайцеся, што ніхто ў публічным інтэрнэце не можа атрымаць доступ да старонкі ўваходу вашага маршрутызатара або да партоў SSH/Telnet з боку WAN. 3. Адключыць UPnP (Універсальны Plug and Play): Пад Advanced -> UPnP (або NAT Forwarding -> UPnP), адключыце UPnP OFF. Шкоднасныя праграмы на любой прыладзе ў вашым доме выкарыстоўваюць UPnP (IGD Запыты SOAP), каб бесшумна загадаць маршрутызатару адкрываць парты або змяняць правілы пераадрасацыі WAN без пароля. 4. Надзейныя жорсткія коды DNS-сервераў, якія блакіруюць шкоднасныя праграмы (IPv4 І IPv6) на маршрутызатары: Перайдзіце ў раздзел Настройка Інтэрнэту / WAN -> DNS-сервер (і LAN -> DHCP-сервер) і пераключыцеся з Атрымаць аўтаматычна ад правайдэра на Выкарыстоўваць гэтыя DNS-серверы: * Cloudflare (1.1.1.1 for Families - Malware Blocking): Асноўны IPv4: 1.1.1.2 | Другасны IPv4: 1.0.0.2 (ці стандартны нефільтраваны 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 і 2606:4700:4700::1002. * ** Quad9 (Malware & Phishing Blocking + DNSSEC):** Асноўны IPv4: 9.9.9.9 | Другасны IPv4: 149.112.112.112. IPv6: 2620:fe::fe і 2620:fe::9. * Google Public DNS: Асноўны IPv4: 8.8.8.8 | Другасны IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 і 2001:4860:4860::8844. 5. Паўторна падключыце кабель WAN і неадкладна ўсталюйце апошняе абнаўленне прашыўкі маршрутызатара: Калі мадэль вашага маршрутызатара выйшла за рамкі вытворцы Скончаны тэрмін службы (EoL) дата і больш не атрымлівае патчы бяспекі (гл Аварыйнае выпраўленне эксплойта нулявога дня і ізаляцыя прылады па заканчэнні тэрміну службы), неадкладна заменіце апаратнае забеспячэнне маршрутызатара, каб вядомыя незапраўленыя CVE нельга было паўторна выкарыстоўваць заўтра.

Этап 3: Ачыстка атручанага лакальнага кампутара (Hosts Файл, адаптар DNS і ачыстка кэша)¶

Пасля забеспячэння бяспекі вашага маршрутызатара (або калі толькі адзін камп'ютар быў захоплены), выканайце гэтыя дакладныя каманды, каб скінуць сеткавы стэк вашага лакальнага кампутара і ачысціць кожны кэшаваны атручаны запіс DNS:

1. Windows 10 / 11 Поўны скід DNS, хостаў, Winsock і кэша браўзера¶

Адкрыйце Камандны радок ад імя адміністратара (Win + X -> Terminal (Admin) / Command Prompt (Admin)) і запусціце:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• ** Калі ваш C:\Windows\System32\drivers\etc\hosts файл утрымліваў несанкцыянаваныя радкі перанакіравання:** Адкрыйце Нататнік ад імя адміністратара, адкрыйце C:\Windows\System32\drivers\etc\hosts, выдаліце кожны радок без каментарыяў (чысты стандартны Windows hosts файл мае нуль актыўных незакаментаваных радкоў, і кожны радок каментарыя пачынаецца з #), захавайце файл і запусціце ipconfig /flushdns.
• Праверце каранёвыя сертыфікаты Rogue (certmgr.msc): Калі зламыснік або лакальная шкоднасная праграма таксама ўсталявалі падроблены каранёвы цэнтр сертыфікацыі (CA) на ваш камп'ютар, каб яны маглі перахопліваць трафік HTTPS, не выклікаючы папярэджанняў браўзера, націсніце Win + R, увядзіце certmgr.msc, разгарніце Давераныя каранёвыя цэнтры сертыфікацыі -> Сертыфікаты, сартуйце па Issued By або Expiration Date, і выдаліце любы незнаёмы каранёвы сертыфікат, які вы не пазнаеце.

2. Поўны скід DNS і ачыстка кэша ў macOS і Linux¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Ачысціце ўнутраны сокет і DNS-кэш вэб-браўзера (Chrome, Edge, Brave, Firefox)¶

Крытычная пастка: Сучасныя вэб-браўзеры падтрымліваюць свой уласны асобны ўнутраны кэш DNS і адкрыты пул сокетаў TCP цалкам незалежна ад ipconfig /flushdns. Нават пасля таго, як вы паправіце маршрутызатар і запусціце ipconfig /flushdns, Chrome або Edge могуць працягваць адпраўляць вас на IP-адрас зламысніка яшчэ 15 хвілін, пакуль вы не ачысціце ўнутраны кэш браўзера: 1. У Chrome, Edge або Brave: * Тып chrome://net-internals/#dns (або edge://net-internals/#dns) у адрасны радок і націсніце Clear host cache. * Адразу націсніце Sockets на левай бакавой панэлі (chrome://net-internals/#sockets) і націсніце Flush socket pools (гэта забівае любыя актыўныя пастаянныя злучэнні HTTP/2 або QUIC, якія ўсё яшчэ адкрыты для IP зламысніка). 2. У Mozilla Firefox: * Тып about:networking#dns у адрасны радок і націсніце Clear DNS Cache. 3. У Apple Safari (macOS і iOS): * У macOS адкрыйце Safari -> Налады -> Дадаткова, адзначце Show features for web developers і націсніце Develop -> Empty Caches (Opt + Cmd + E), затым выйдзіце і перазапусціце Safari. * На iPhone або iPad уключыце Рэжым палёту на 5 секунд і зноў ВЫКЛЮЧЫЦЬ, што прымушае iOS mDNSResponder каб неадкладна ачысціць увесь яго зменлівы кэш DNS, не выдаляючы захаваныя лагіны вэб-сайта.

Этап 4: Уключэнне зашыфраванага DNS (DoH / DoT), таму ніякі маршрутызатар, гасцініца або правайдэр больш ніколі не змогуць захапіць ваш DNS¶

Чаму традыцыйны DNS (UDP Port 53) так лёгка шпіёніць і захапіць узламаны хатні маршрутызатар, Wi-Fi кавярні або інтэрнэт-правайдэра? Паколькі стандартны DNS быў распрацаваны ў 1983 (RFC 882) з нулявым шыфраваннем і нулявой аўтэнтыфікацыяй: кожны запыт перадаецца па провадзе ў выглядзе звычайнага тэксту, і любая прылада на шляху можа падрабіць фальшывы UDP-адказ менш чым за мілісекунду (DNS Spoofing).

Уключыўшы DNS-over-HTTPS (DoH, RFC 8484) або DNS-over-TLS (DoT, RFC 7858) ваша прылада змяшчае кожны DNS-запыт у крыптаграфічна правераны TLS 1.3 тунэль непасрэдна да даверанага рэзолвера (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, або NextDNS). Калі падроблены маршрутызатар або гасцінічны Wi-Fi паспрабуе змяніць адказ, подпіс TLS не атрымаецца, і ваша прылада неадкладна адхіляе падробку.

Як уключыць зашыфраваны DNS (DoH / DoT) На кожнай прыладзе за 60 секунд¶

Часта задаюць пытанні¶

Чаму мой браўзэр паказаў NET::ERR_CERT_AUTHORITY_INVALID на google.com ці мой банк, калі DNS майго маршрутызатара быў узламаны?¶

Гэтая памылка браўзера фактычна выратавала вас ад крадзяжу ўліковага запісу. Калі зламыснік захоплівае налады DNS вашага маршрутызатара, ён мяняе IP-адрас для `www.yourbank.com` таму ваш камп'ютар падключаецца да вэб-сервера зламысніка замест вашага рэальнага банка. Аднак, калі ваш браўзер ініцыюе зашыфраваны HTTPS (`TLS`) рукапацісканне з серверам зламысніка, сервер зламысніка не можа стварыць сапраўдны лічбавы сертыфікат TLS з крыптаграфічным подпісам надзейнага цэнтра сертыфікацыі для `yourbank.com`. Ваш браўзер неадкладна спыняе злучэнне і адлюстроўвае `NET::ERR_CERT_AUTHORITY_INVALID`. Пры ўмове, што вы ніколі не націскаеце «Працягнуць» і ніколі не ўсталёўваеце фальшывы каранёвы сертыфікат (`CA`) на вашу прыладу, толькі ўзлом DNS не можа расшыфраваць або падрабіць вэб-сайт HTTPS, абаронены HSTS.

Як хакер змяніў налады DNS у маім хатнім маршрутызатары Wi-Fi, не ведаючы майго пароля Wi-Fi?¶

Зламыснікам не абавязкова знаходзіцца ў зоне дзеяння Wi-Fi вашага дома, каб змяніць налады DNS вашага маршрутызатара. Яны выкарыстоўваюць два аддаленых метаду: па-першае, аўтаматызаваных ботаў (`Shodan` / `Censys` сканеры і ботнеты) сканіруюць усе агульнадаступныя IP-адрасы ў Інтэрнэце ў пошуках хатніх маршрутызатараў, якія маюць **Аддаленае вэб-кіраванне (`WAN Admin`)** або **`UPnP`** пакінуты адкрытым з вядомымі ўразлівасцямі прашыўкі. Па-другое, нават калі WAN Admin зачынены, калі вы пакінулі заводскі пароль унутранага адміністравання вашага маршрутызатара (`admin / admin` або `admin / password`), націск на шкоднасную рэкламу або вэб-сайт на вашым ноўтбуку дазваляе схаванаму JavaScript у вашым браўзеры адправіць **Падробку міжсайтавага запыту (`CSRF`)** або **DNS Rebinding** запыт непасрэдна з вашага ноўтбука на `http://192.168.1.1`, увайшоўшы ў маршрутызатар знутры і бясшумна перапісаўшы налады DNS.

Калі я ўключу зашыфраваны DNS (DoH) у Chrome або Firefox, гэта абараняе іншыя прыкладанні на маім кампутары?¶

Уключэнне бяспечнага DNS (`DoH`) у Chrome, Edge, Brave або Firefox шыфруе і абараняе ўсе DNS-запыты, зробленыя **ў гэтым канкрэтным вэб-браўзеры**, што неадкладна спыняе фішынгавыя перанакіраванні ў браўзеры і падробленыя старонкі абнаўленняў. Аднак іншыя фонавыя прыкладанні на вашым камп'ютары (напрыклад, ваш паштовы кліент, Slack, гульні або праграма абнаўлення АС) па-ранейшаму выкарыстоўваюць агульнасістэмны DNS-распаўсюджвальнік аперацыйнай сістэмы, калі вы таксама не наладзіце зашыфраваны DNS на ўзроўні аперацыйнай сістэмы (праз Windows 11 Native DoH, Android Private DNS `DoT`або падпісаны зашыфраваны DNS-профіль macOS/iOS) і выпраўце налады DNS WAN/DHCP маршрутызатара.

У чым розніца паміж 1.1.1.1 (Cloudflare) і 9.9.9.9 (Quad9), і які я павінен усталяваць у свой маршрутызатар?¶

Абодва з'яўляюцца хуткімі, якія паважаюць канфідэнцыяльнасць і не адсочваюць глабальныя DNS-распаўсюджвальнікі Anycast, якія кіруюцца аўтарытэтнымі арганізацыямі, і любы з іх абароніць вас ад захопу інтэрнэт-правайдэра або фальшывага маршрутызатара. Стандарт **`1.1.1.1`** (Cloudflare) і **`8.8.8.8`** (Google) вяртае чыстыя, нефільтраваныя адказы DNS для кожнага дамена ў Інтэрнэце. **`9.9.9.9`** (кіруецца некамерцыйнай арганізацыяй Quad9 Foundation) і **`1.1.1.2`** (Cloudflare для сем'яў - блакіроўка шкоднасных праграм) аўтаматычна перакрыжавана правярае кожны пошук дамена на глабальныя каналы выведкі пагроз у рэальным часе вядомых фішынгавых вэб-сайтаў, праграмы камандавання і кантролю (`C2`) серверы і дамены infostealer, якія блакіруюць злучэнне на ўзроўні DNS яшчэ да таго, як шкоднасная старонка зможа загрузіцца.

Звязаныя даведнікі¶

• Бяспека хатніх маршрутызатараў і прылад IoT
• Грамадскі Wi-Fi, кропкі доступу Evil Twin і абарона ад захопу USB
• Шкоднасныя пашырэнні браўзера, выкрадальнікі буфера абмену і выдаленне рэкламнага ПЗ
• Аварыйнае выпраўленне эксплойта нулявога дня і ізаляцыя прылады па заканчэнні тэрміну службы
• Выкраданне даменнага імя, пратэрмінаваны DNS і захоп вэб-сайта
• Глабальныя нумары экстраных службаў

Крыніцы правераныя¶

• Агенцтва па кібербяспецы і інфраструктурнай бяспецы (CISA) і Агенцтва нацыянальнай бяспекі (NSA) (Злучаныя Штаты): Інфармацыйны ліст па кібербяспецы (Выбар службы ахоўнага DNS (PDNS) і Выкарыстанне зашыфраванага DNS DoH / DoT у карпаратыўных і хатніх умовах).
• Інтэрнет-інжынерная група (IETF) (міжнародная): RFC 7858 (спецыфікацыя бяспекі DNS на транспартным узроўні) DoT), RFC 8484 (запыты DNS праз HTTPS DoH) і RFC 9462 (Выяўленне прызначаных рэзолвераў DDR).
• Кансультатыўны камітэт ICANN па бяспецы і стабільнасці (SSAC) (Міжнародны): Кансультацыі па маніпуляцыях з інфраструктурай DNS, рэканфігурацыі маршрутызатара WAN і праверцы DNSSEC.
• Нацыянальны цэнтр кібербяспекі (NCSC) (Злучанае Каралеўства): ахоўная архітэктура DNS і змякчэнне атак фальшывага DHCP і падробкі лакальнай сеткі.