Router DNS Hijacking, Rogue DHCP Servers a Encrypted DNS (DoH/DoT) Recovery¶

Pokaždé, když zadáte adresu webové stránky, jako chase.com, google.comnebo apple.com do vašeho prohlížeče se vaše zařízení zeptá na Domain Name System (DNS) resolver pro překlad tohoto pro člověka čitelného jména na číselnou IP adresu (142.250.190.46). Pokud útočník tiše změní nastavení primárního a sekundárního serveru DNS ve vašem domácím nebo kancelářském Wi-Fi routeru, spustí nečestný DHCP server ve vaší místní síti, upraví skryté hosts file, nebo zachytí vaše dotazy v hotelové nebo letištní síti, ovládají telefonní seznam vašeho internetu. I když do adresního řádku zadáte přesnou, správně napsanou adresu URL své banky, poskytovatele e-mailu nebo serveru pro aktualizaci softwaru, dojde k ukradení serveru DNS (DNSChanger, ghostDNS, ZuoRAT, nebo místní dnsmasq spoofer) může nasměrovat vaše připojení na škodlivý server, zablokovat váš antivirový software ve stahování definic hrozeb nebo zobrazit falešné vyskakovací okno „Aktualizace firmwaru routeru / kritická aktualizace Chrome“, které nainstaluje trojského koně infostealer.

Neignorujte náhlé NET::ERR_CERT_AUTHORITY_INVALID varování, neočekávaná vyskakovací okna captive portálu na vaší domácí Wi-Fi nebo přesměrování prohlížeče při návštěvě hlavních webových stránek. Porovnáním toho, co váš aktuálně přiřazený server DNS vrací s důvěryhodným šifrovaným překladačem (1.1.1.1, 8.8.8.8nebo 9.9.9.9), auditování nastavení WAN a DHCP vašeho routeru, vyprázdnění otrávených mezipamětí DNS operačního systému a prohlížeče a povolení DNS-over-HTTPS (DoH) nebo DNS-over-TLS (DoT), můžete vymýtit DNS hijacking za méně než 10 minut.

Udělejte to teď¶

1. NIKDY neklikejte Advanced -> Proceed to [website] (unsafe) pokud váš prohlížeč náhle zobrazí a NET::ERR_CERT_AUTHORITY_INVALID nebo MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT upozornění na hlavní bankovní, e-mailové nebo cloudové webové stránce. Moderní HTTPS (TLS 1.3) a HTTP Strict Transport Security (HSTS) jsou vaší poslední obrannou linií, když je váš DNS unesen: unesený DNS server nasměroval váš prohlížeč na útočníkovu IP adresu a váš prohlížeč přistihl lež, protože útočníkův server nedrží skutečný kryptografický soukromý klíč Google nebo Chase. Kliknutím na „Přesto pokračovat“ předá vaše hesla a soubory cookie relace přímo útočníkovi.
2. NIKDY nestahujte ani nespouštějte a "Browser Update.exe / .dmg" nebo zadejte heslo Wi-Fi WPA2/WPA3 do vyskakovacího okna, které se náhle objeví na vaší domácí nebo kancelářské Wi-Fi. Když router unese malware (ghostDNS, Roaming Mantis) změní servery DNS WAN/DHCP vašeho routeru na kriminální IP adresu, jeho taktikou č. 1 je přesměrovat každé načtení stránky HTTP na falešnou stránku „Firmware vašeho Google Chrome / Safari / Router je zastaralý“ nebo na falešný přihlašovací portál ISP.
3. Běh 10 sekund nslookup nebo dig srovnávací test ve vašem terminálu právě teď, abyste zjistili, zda vám váš aktuální server DNS lže. Otevřete příkazový řádek nebo terminál a porovnejte nslookup google.com (který používá váš aktuálně přiřazený router/OS DNS server) proti nslookup google.com 1.1.1.1 (který se dotazuje přímo Cloudflare). Pokud je váš výchozí server DNS podivná veřejná IP adresa umístěná v jiné zemi, kterou jste nikdy nenakonfigurovali, nebo vrací zcela jiné falešné IP adresy pro bankovní/antivirové domény, váš DNS bude unesen.
4. Dočasně přepište nastavení DNS vašeho zařízení na šifrovaný DNS (DoH / DoT na 1.1.1.1, 9.9.9.9nebo 8.8.8.8) PŘED přihlášením k routeru nebo resetováním hesel. Protože DNS-over-HTTPS (DoH) posílá všechna vyhledávání domén uvnitř šifrovaného TLS Port 443 tunel přímo do Cloudflare, Quad9 nebo Google, zapnutí DoH uvnitř vašeho prohlížeče nebo OS okamžitě oslepí unesený router nebo nepoctivý ISP resolver, takže můžete bezpečně přistupovat ke skutečným webům a vyčistit svou síť.
5. Přihlaste se ke svému domácímu/kancelářskému routeru pomocí pevného ethernetového kabelu (192.168.1.1 nebo 192.168.0.1), zkontrolujte oba WAN / Internet DNS A LAN DHCP Server DNS pole, a pokud některá z nich obsahuje neznámé veřejné IP adresy, proveďte hardwarovou 30-second Pin-Hole Factory Reset okamžitě. Malware, který mění nastavení DNS routeru, se téměř vždy dostane přes odkrytý Remote Web Management (WAN Admin)port, UPnP (Universal Plug and Play) pravidlo přesměrování portů nebo výchozí admin/admin heslo (viz Zabezpečení domácích routerů a IoT zařízení).
6. Zkontrolujte místní nastavení počítače hosts soubor a nastavení proxy/PAC (C:\Windows\System32\drivers\etc\hosts na Windows nebo /etc/hosts na macOS/Linux) a vyprázdněte mezipaměť DNS vašeho operačního systému. I když je váš router 100% čistý, místní adware nebo trojské koně na jednom PC nebo Macu mohou přepsat překlad DNS lokálně vložením přesměrování IP do hosts soubor nebo nastavení nepoctivého Automatická konfigurace proxy (PAC) URL v Možnosti Internetu ve Windows.

flowchart TD
    A["Podezření na únos DNS: varování certifikátů, falešná vyskakovací okna aktualizací nebo načítání nesprávných stránek"] --> B["1. Okamžitě povolte šifrované DNS (DoH) v prohlížeči / OS, abyste obešli otrávený resolver"]
    B --> C["2. Spusťte diagnostiku terminálu: Porovnejte 'nslookup example.com' a 'nslookup example.com 1.1.1.1'"]
    C --> D{"Jsou ovlivněna VŠECHNA zařízení na Wi-Fi nebo pouze JEDEN konkrétní počítač/telefon?"}
    D -->|"Ovlivněna všechna zařízení na Wi-Fi"| E["Router WAN/DHCP Hijack nebo Rogue DHCP Server v LAN"]
    E --> F["Zkontrolujte IP adresu výchozí brány a serveru DHCP ('ipconfig /all'). Pokud neznáte MAC/IP -> Isolate Rogue Device"]
    E --> G["Hardware Obnovit tovární nastavení Router -> Aktualizovat firmware -> Deaktivovat WAN Admin & UPnP -> Nastavit DNS routeru na 1.1.1.1 / 9.9.9.9"]
    D -->|"Postižený pouze JEDEN počítač nebo telefon"| H["Únos místního zařízení: Kontrola statického DNS síťového adaptéru, souboru hostitelů, skriptu proxy/PAC a rozšíření prohlížeče"]
    H --> I["Vyčistěte „/etc/hosts“ nebo „C:\\Windows\\System32\\drivers\\etc\\hosts“, odstraňte neoprávněné kořenové certifikáty a vyprázdněte mezipaměť DNS"]

Diagnostická matice: 5 vrstev, kde jsou DNS a síťové směrování uneseny¶

Když se název domény přeloží na nesprávný server, k únosu dojde na jedné z pěti různých technických vrstev v řetězci řešení. Pomocí této tabulky můžete určit, která vrstva je ohrožena:

Fáze 1: 60sekundový forenzní audit DNS a DHCP příkazového řádku¶

Než cokoliv resetujete, otevřete na svém počítači terminál a spusťte tyto přesné příkazy pouze pro čtení, abyste získali důkaz o tom, jaké servery DNS a DHCP váš počítač aktuálně používá.

1. Windows 10 a Windows 11 (Command Prompt nebo PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• Jak číst výstup z kroku 1 (ipconfig /all):
• Podívejte se na DNS Servers. Normálně to ukazuje buď soukromou IP LAN vašeho domácího routeru (192.168.1.1, 192.168.0.1, 10.0.0.1), známý veřejný resolver, který jste záměrně nastavili (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), nebo regionálních serverů DNS vašeho pravého širokopásmového ISP (ověřte jakoukoli neznámou IP na https://bgp.he.net nebo whois: Pokud IP patří neprůstřelnému poskytovateli hostingu VPS v jiné zemi, nikoli vašemu ISP, váš DNS je otrávený).
• Podívejte se na DHCP Server vs.Default Gateway. Na 99 procentech domácích sítí je DHCP Server IP a Default Gateway IP musí být stejná (např. obě 192.168.1.1). Pokud se liší (a nevytvořili jste osobně řadič domény Pi-hole nebo Windows Server), máte v místní síti podvodný server DHCP.

2. macOS a Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Vyhledání a izolace škodlivého serveru DHCP ve vaší místní síti¶

Co kdyby ipconfig /all (nebo ip route / networksetup -getinfo Wi-Fi) odhaluje, že váš počítač obdržel zapůjčení IP adresy a nastavení DNS z neznámé místní adresy IP, jako je 192.168.1.142 místo vašeho skutečného routeru (192.168.1.1)? 1. Okamžitě identifikujte hardware Adresa MAC (Physical Address) a výrobce podvodného zařízení (192.168.1.142) kontrolou vaší tabulky ARP:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

Fáze 2: Krok za krokem vymýcení pro Router WAN/DHCP Hijacking¶

Pokud váš audit ve fázi 1 prokázal, že váš Wi-Fi router rozdává škodlivé adresy DNS (nebo že interní WAN DNS vašeho routeru byl upraven), jednoduše se přihlaste do routeru a zadejte 1.1.1.1 zpět do krabice nestačí. Nejprve musíte uzavřít zranitelnost, která umožnila útočníkovi proniknout do vašeho routeru:

Krok 1: Proveďte hardwarový 30sekundový tovární reset na routeru¶

Proč úplné obnovení továrního nastavení namísto pouhé úpravy pole DNS? Protože malware routeru (ZuoRAT, VPNFilter, Cyclops Blink, Mirai varianty) často přidává skryté iptables pravidla přesměrování NAT (REDIRECT --to-ports 53), nainstaluje trvalou úlohu cronu /tmp nebo NVRAM nebo povolí skryté účty vzdálené správy SSH/Telnet. 1. Odpojte WAN/internetový ethernetový kabel routeru (kabel přicházející z vašeho optického ONT nebo kabelového modemu), aby se útočník nemohl znovu připojit, když jej konfigurujete. 2. Když je router zapnutý, stiskněte a podržte zapuštěné tlačítko Reset pinhole na zadní straně routeru pomocí kancelářské sponky po dobu 15 až 30 celých sekund, dokud všechny LED diody na předním panelu nezablikají současně. 3. Počkejte 3 minuty, než se router restartuje do stavu čistého z výroby, poté připojte čistý počítač pomocí ethernetového kabelu (nebo přihlašovacích údajů na nálepce Wi-Fi z výroby) a přihlaste se 192.168.1.1 (nebo 192.168.0.1).

Krok 2: Uzamkněte 5 nastavení routeru, které útočníci využívají k únosu DNS¶

Před opětovným připojením kabelu WAN/internetu nakonfigurujte těchto pět povinných nastavení v konzole pro správu směrovače (viz náš úplný průvodce na Zabezpečení domácích routerů a IoT zařízení pro hluboké kalení): 1. Nastavte jedinečné heslo správce směrovače s více než 16 znaky (NE stejné jako vaše heslo Wi-Fi): Nikdy nenechávejte přihlašovací údaje pro správu směrovače jako admin / admin nebo admin / password. Každá sada zneužití CSRF DNS-hijacking na webu automaticky odhadne výchozí přihlašovací údaje, když do prohlížeče načtete škodlivý banner. 2. Ověřte Remote Management / WAN Administration je Přísně DISABLED: Podívejte se níže Advanced -> Administration -> Remote Management a ujistěte se, že nikdo na veřejném internetu nemá přístup k přihlašovací stránce vašeho routeru nebo portům SSH/Telnet ze strany WAN. 3. Zakázat UPnP (Universal Plug and Play): Pod Advanced -> UPnP (nebo NAT Forwarding -> UPnP), vypněte UPnP OFF. Malware na jakémkoli zařízení ve vašem domě používá UPnP (IGD požadavky SOAP) k tichému příkazu vašeho routeru k otevření portů nebo změně pravidel předávání WAN bez hesla. 4. Důvěryhodné servery DNS s pevným kódem, blokující malware (IPv4 A IPv6) na směrovači: Přejděte na Nastavení internetu / WAN -> Server DNS (a LAN -> Server DHCP) a přepněte z Automaticky získat od ISP na Použít tyto servery DNS: * Cloudflare (1.1.1.1 for Families - Malware Blocking): Primární IPv4: 1.1.1.2 | Sekundární IPv4: 1.0.0.2 (nebo standardní nefiltrované 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 a 2606:4700:4700::1002. * Quad9 (Malware & Phishing Blocking + DNSSEC): Primární IPv4: 9.9.9.9 | Sekundární IPv4: 149.112.112.112. IPv6: 2620:fe::fe a 2620:fe::9. * Veřejný DNS Google: Primární IPv4: 8.8.8.8 | Sekundární IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 a 2001:4860:4860::8844. 5. Znovu připojte kabel WAN a okamžitě nainstalujte nejnovější aktualizaci firmwaru routeru: Pokud váš model routeru již není výrobcem Konec životnosti (EoL) datum a již nedostává bezpečnostní záplaty (viz Zero-day využívat nouzové opravy a izolace zařízení na konci životnosti), okamžitě vyměňte hardware routeru, takže známé neopravené CVE nebude možné zítra znovu využít.

Fáze 3: Čištění otráveného místního počítače (Hosts Soubor, DNS adaptéru a vyprázdnění mezipaměti)¶

Po zabezpečení routeru (nebo pokud byl unesen pouze jeden počítač) spusťte tyto přesné příkazy, abyste resetovali síťový zásobník místního počítače a vyprázdnili každý otrávený záznam DNS v mezipaměti:

1. Windows 10/11 Dokončete resetování DNS, hostitelů, Winsock a mezipaměti prohlížeče¶

Otevřete Příkazový řádek jako správce (Win + X -> Terminal (Admin) / Command Prompt (Admin)) a spustit:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• Pokud vaše C:\Windows\System32\drivers\etc\hosts soubor obsahoval řádky neoprávněného přesměrování: Otevřete Poznámkový blok jako správce, otevřete C:\Windows\System32\drivers\etc\hosts, odstraňte každý nekomentovaný řádek (čisté výchozí Windows hosts soubor má nulu aktivních nekomentovaných řádků a každý řádek komentáře začíná na #), uložte soubor a spusťte ipconfig /flushdns.
• Vyhledejte Rogue Root Certificates (certmgr.msc): Pokud útočník nebo místní malware také nainstaloval falešnou kořenovou certifikační autoritu (CA) do vašeho počítače, aby mohly zachytit provoz HTTPS bez spouštění varování prohlížeče, stiskněte Win + R, typ certmgr.msc, rozbalte Důvěryhodné kořenové certifikační úřady -> Certifikáty, seřaďte podle Issued By nebo Expiration Datea odstraňte jakýkoli neznámý kořenový certifikát s vlastním podpisem, který neznáte.

2. macOS & Linux Dokončete resetování DNS a vyprázdnění mezipaměti¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Vyprázdněte interní soket a mezipaměť DNS vašeho webového prohlížeče (Chrome, Edge, Brave, Firefox)¶

Kritická past: Moderní webové prohlížeče udržují svou vlastní samostatnou interní mezipaměť DNS a otevřený fond soketů TCP zcela nezávisle na ipconfig /flushdns. I poté, co opravíte router a spustíte ipconfig /flushdns, Chrome nebo Edge vás mohou posílat na útočníkovu IP dalších 15 minut, dokud nevymažete vnitřní mezipaměť prohlížeče: 1. V Chrome, Edge nebo Brave: * Typ chrome://net-internals/#dns (nebo edge://net-internals/#dns) do adresního řádku a klikněte na Clear host cache. * Okamžitě klikněte Sockets v levém postranním panelu (chrome://net-internals/#sockets) a klikněte na Flush socket pools (toto ukončí všechna aktivní trvalá připojení HTTP/2 nebo QUIC, která jsou stále otevřená k útočníkově IP). 2. V Mozilla Firefox: * Typ about:networking#dns do adresního řádku a klikněte na Clear DNS Cache. 3. V Apple Safari (macOS a iOS): * V macOS otevřete Safari -> Nastavení -> Upřesnit, zaškrtněte Show features for web developers a klikněte na Develop -> Empty Caches (Opt + Cmd + E), poté ukončete a znovu spusťte Safari. * Na iPhonu nebo iPadu přepněte Režim v letadle na 5 sekund ZAPNUTÝ a zpět na VYPNUTO, což vynutí iOS mDNSResponder k okamžitému vyčištění celé jeho nestabilní mezipaměti DNS, aniž by došlo k odstranění uložených přihlášení k webu.

Fáze 4: Povolení šifrovaného DNS (DoH / DoT), takže žádný router, hotel ani ISP už nikdy nemůže unést váš DNS¶

Proč je tradiční DNS (UDP Port 53) tak snadné pro napadení domácího routeru, kavárny Wi-Fi nebo poskytovatele internetových služeb špehovat a unést? Protože standardní DNS byl navržen v roce 1983 (RFC 882) s nulovým šifrováním a nulovou autentizací: každý dotaz prochází po drátě jako prostý text a jakékoli zařízení na cestě může vytvořit falešnou odpověď UDP za méně než milisekundu (DNS Spoofing).

Povolením DNS-over-HTTPS (DoH, RFC 8484) nebo DNS-over-TLS (DoT, RFC 7858), vaše zařízení zabalí každý DNS dotaz do kryptograficky ověřeného TLS 1.3 tunel přímo do důvěryhodného resolveru (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8nebo NextDNS). Pokud se podvodný router nebo hotelová Wi-Fi pokusí změnit odpověď, podpis TLS selže a vaše zařízení padělek okamžitě odmítne.

Jak povolit šifrované DNS (DoH / DoT) Na každém zařízení za 60 sekund¶

Často kladené otázky¶

Proč se můj prohlížeč zobrazil NET::ERR_CERT_AUTHORITY_INVALID na google.com nebo moje banka, když bylo ukradeno DNS mého routeru?¶

Tato chyba prohlížeče vás ve skutečnosti zachránila před odcizením vašeho účtu. Když útočník unese nastavení DNS vašeho routeru, změní IP adresu pro `www.yourbank.com` takže se váš počítač připojí k webovému serveru útočníka namísto vaší skutečné banky. Když však váš prohlížeč iniciuje šifrovaný HTTPS (`TLS`) handshake se serverem útočníka, server útočníka nemůže vytvořit platný digitální certifikát TLS kryptograficky podepsaný důvěryhodnou certifikační autoritou pro `yourbank.com`. Váš prohlížeč okamžitě zastaví připojení a zobrazí `NET::ERR_CERT_AUTHORITY_INVALID`. Pokud nikdy nekliknete na „Přesto pokračovat“ a nikdy nenainstalujete podvodný kořenový certifikát (`CA`) do vašeho zařízení, samotné únosy DNS nemohou dešifrovat nebo podvrhnout web HTTPS chráněný HSTS.

Jak hacker změnil nastavení DNS v mém domácím Wi-Fi routeru, aniž by znal mé heslo k Wi-Fi?¶

Aby útočníci změnili nastavení DNS vašeho routeru, nemusí být v dosahu Wi-Fi vašeho domu. Používají dvě vzdálené metody: za prvé, automatizované roboty (`Shodan` / `Censys` skenery a botnety) skenují každou veřejnou IP adresu na internetu a hledají domácí routery, které mají **Vzdálenou webovou správu (`WAN Admin`)** nebo **`UPnP`** ponecháno otevřené se známými chybami zabezpečení firmwaru. Zadruhé, i když je Správce WAN zavřený, pokud jste ponechali heslo pro interní správu routeru ve výchozím nastavení z výroby (`admin / admin` nebo `admin / password`), kliknutí na škodlivou reklamu nebo webovou stránku na vašem notebooku umožňuje skrytému JavaScriptu ve vašem prohlížeči odeslat **Cross-Site Request Forgery (`CSRF`)** nebo **DNS Rebinding** žádost přímo z vašeho notebooku na `http://192.168.1.1`, přihlašování do routeru zevnitř a tiché přepisování nastavení DNS.

Pokud povolím šifrované DNS (DoH) v prohlížeči Chrome nebo Firefox, chrání to ostatní aplikace v mém počítači?¶

Povolení zabezpečeného DNS (`DoH`) uvnitř Chrome, Edge, Brave nebo Firefox šifruje a chrání všechna vyhledávání DNS prováděná **uvnitř konkrétního webového prohlížeče**, což okamžitě zastaví phishingové přesměrování založené na prohlížeči a falešné aktualizační stránky. Jiné aplikace na pozadí ve vašem počítači (jako je váš e-mailový klient, Slack, hry nebo aktualizátor OS) však stále používají celosystémový DNS resolver operačního systému, pokud také nenakonfigurujete šifrovaný DNS na úrovni operačního systému (prostřednictvím Windows 11 Native DoH, Android Private DNS `DoT`nebo podepsaný profil macOS/iOS Encrypted DNS) a opravte nastavení DNS WAN/DHCP routeru.

Jaký je rozdíl mezi 1.1.1.1 (Cloudflare) a 9.9.9.9 (Quad9) a který z nich mám dát do routeru?¶

Oba jsou rychlé, soukromí respektující a nesledující globální anycast DNS resolvery provozované renomovanými organizacemi, a každý z nich vás ochrání před ISP nebo neoprávněným zneužitím routeru. Standardní **`1.1.1.1`** (Cloudflare) a **`8.8.8.8`** (Google) vrací čisté, nefiltrované odpovědi DNS pro každou doménu na internetu. **`9.9.9.9`** (provozuje nezisková nadace Quad9 Foundation) a **`1.1.1.2`(`C2`) servery a domény infostealer, které blokují připojení na vrstvě DNS ještě před načtením škodlivé stránky.

Související průvodci¶

• Zabezpečení domácích routerů a IoT zařízení
• Veřejná Wi-Fi, hotspoty Evil Twin a ochrana proti výpadkům USB
• Škodlivá rozšíření prohlížeče, únosci schránky a odstranění adwaru
• Zero-day využívat nouzové opravy a izolace zařízení na konci životnosti
• Únos názvu domény, vypršení platnosti DNS a převzetí webových stránek
• Globální tísňová čísla

Zdroje zkontrolovány¶

• Agentura pro kybernetickou bezpečnost a bezpečnost infrastruktury (CISA) a Národní bezpečnostní agentura (NSA) (Spojené státy americké): Informační list kybernetické bezpečnosti (Výběr ochranné služby DNS (PDNS) a Použití šifrovaného DNS DoH / DoT v podnikových a domácích prostředích).
• Internet Engineering Task Force (IETF) (mezinárodní): RFC 7858 (Specifikace pro DNS over Transport Layer Security DoT), RFC 8484 (DNS dotazy přes HTTPS DoH) a RFC 9462 (Discovery of Designated Resolvers DDR).
• Poradní výbor pro bezpečnost a stabilitu ICANN (SSAC) (mezinárodní): Poradenství v oblasti narušování infrastruktury DNS, rekonfigurace směrovače WAN a ověřování DNSSEC.
• Národní centrum kybernetické bezpečnosti (NCSC) (Spojené království): Ochranná architektura DNS a zmírnění podvodných útoků DHCP a falšování místních sítí.