ربودن DNS روتر، سرورهای DHCP سرکش و بازیابی DNS رمزگذاری شده (DoH/DoT)¶

هر بار که آدرس وب سایتی مانند chase.com، google.com، یا apple.com در مرورگر شما، دستگاه شما یک **سیستم نام دامنه (DNS(142.250.190.46). اگر مهاجمی به‌طور بی‌صدا تنظیمات سرور DNS اولیه و ثانویه را در روتر وای‌فای خانه یا محل کار شما تغییر دهد، یک سرور DHCP سرکش را در شبکه محلی شما بچرخاند، اطلاعات پنهان رایانه شما را تغییر دهد hosts file، یا درخواست های شما را در یک شبکه هتل یا فرودگاه رهگیری می کند، آنها دفترچه تلفن اینترنت شما را کنترل می کنند. حتی وقتی آدرس اینترنتی بانک، ارائه‌دهنده ایمیل یا سرور به‌روزرسانی نرم‌افزار خود را دقیقاً و به درستی املای آن را در نوار آدرس تایپ می‌کنید، یک سرور DNS ربوده شده (DNSChanger، ghostDNS، ZuoRAT، یا محلی dnsmasq spoofer) می تواند اتصال شما را به یک سرور مشابه مخرب هدایت کند، نرم افزار آنتی ویروس شما را از دانلود تعاریف تهدید مسدود کند، یا یک پنجره جعلی "به روز رسانی سیستم عامل روتر / به روز رسانی حیاتی کروم" را نمایش دهد که یک تروجان infostealer را نصب می کند.

ناگهانی را نادیده نگیرید NET::ERR_CERT_AUTHORITY_INVALID هشدارها، «ورود به شبکه Wi-Fi» غیرمنتظره در وای فای خانگی شما، یا تغییر مسیرهای مرورگر هنگام بازدید از وب سایت های اصلی. با مقایسه آنچه که سرور DNS به شما در حال حاضر اختصاص داده شده است در مقابل یک حل کننده رمزگذاری شده قابل اعتماد (1.1.1.1، 8.8.8.8، یا 9.9.9.9(DoH)** یا DNS-over-TLS (DoT)، می توانید دزدی DNS را در کمتر از 10 دقیقه از بین ببرید.

همین الان این کار را بکن¶

1. هرگز کلیک نکنید Advanced -> Proceed to [website] (unsafe) اگر مرورگر شما به طور ناگهانی یک را نشان دهد NET::ERR_CERT_AUTHORITY_INVALID یا MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT هشدار در یک بانک بزرگ، ایمیل، یا وب سایت ابری. HTTPS مدرن (TLS 1.3) و امنیت حمل و نقل سخت HTTP (HSTS) آخرین خط دفاعی شما در هنگام ربوده شدن DNS هستند: سرور DNS ربوده شده مرورگر شما را به آدرس IP مهاجم هدایت می کند و مرورگر شما دروغ را متوجه می شود زیرا سرور مهاجم کلید خصوصی رمزنگاری واقعی Google یا Chase را نگه نمی دارد. با کلیک بر روی "ادامه در هر حال" گذرواژه‌ها و کوکی‌های جلسه خود را مستقیماً در اختیار مهاجم قرار می‌دهد.
2. هرگز a را دانلود یا اجرا نکنید "Browser Update.exe / .dmg" یا رمز عبور Wi-Fi WPA2/WPA3 خود را در یک پنجره بازشو تایپ کنید که به طور ناگهانی در وای فای منزل یا محل کار شما ظاهر می شود. هنگامی که بدافزار ربوده شده توسط روتر (ghostDNS، Roaming Mantis) سرورهای WAN/DHCP DNS روتر شما را به یک آدرس IP مجرمانه تغییر می دهد، تاکتیک شماره 1 آن این است که هر صفحه HTTP بارگیری شده را به صفحه جعلی "Google Chrome / Safari / Router Firmware قدیمی است" یا یک پورتال ورود ISP جعلی هدایت می کند.
3. ** 10 ثانیه اجرا کنید nslookup یا dig در حال حاضر در ترمینال خود تست مقایسه کنید تا ببینید آیا سرور DNS فعلی شما به شما دروغ می گوید یا خیر.** Command Prompt یا Terminal را باز کنید و مقایسه کنید nslookup google.com (که از روتر/سرور DNS سیستم عامل فعلی اختصاص داده شده شما استفاده می کند) در مقابل nslookup google.com 1.1.1.1 (که مستقیماً Cloudflare را پرس و جو می کند). اگر سرور DNS پیش‌فرض شما یک آدرس IP عمومی عجیب و غریب است که در کشور دیگری قرار دارد و هرگز آن را پیکربندی نکرده‌اید، یا IPهای جعلی کاملاً متفاوتی را برای دامنه‌های بانکی/آنتی ویروس برمی‌گرداند، DNS شما ربوده می‌شود.
4. به طور موقت تنظیمات DNS دستگاه خود را به DNS رمزگذاری شده لغو کنید (DoH / DoT در 1.1.1.1، 9.9.9.9، یا 8.8.8.8) قبل از ورود به روتر یا بازنشانی رمزهای عبور. زیرا DNS-over-HTTPS (DoH) تمام جستجوهای دامنه را در داخل یک رمزگذاری شده ارسال می کند TLS Port 443 مستقیماً به Cloudflare، Quad9، یا Google تونل کنید، روشن کردن DoH در مرورگر یا سیستم عامل خود فوراً یک روتر ربوده شده یا حل‌کننده ISP سرکش را کور می‌کند تا بتوانید با خیال راحت به وب‌سایت‌های واقعی دسترسی داشته باشید و شبکه خود را تمیز کنید.
5. از طریق کابل اترنت سیمی وارد روتر منزل/دفتر خود شوید (192.168.1.1 یا 192.168.0.1، هر دو را بازرسی کنید WAN / Internet DNS و LAN DHCP Server DNS فیلدها، و اگر هر کدام حاوی آدرس های IP عمومی ناآشنا باشد، یک سخت افزار انجام دهید 30-second Pin-Hole Factory Reset بلافاصله. ** بدافزاری که تنظیمات DNS روتر را تغییر می دهد تقریباً همیشه از طریق یک در معرض ** وارد می شودRemote Web Management (WAN Admin) پورت، یک UPnP (Universal Plug and Play) قانون انتقال پورت، یا یک پیش فرض admin/admin رمز عبور (نگاه کنید به ایمن سازی روترهای خانگی و دستگاه های اینترنت اشیا).
6. ** محلی بودن رایانه خود را بررسی کنید hosts تنظیمات فایل و Proxy/PAC (C:\Windows\System32\drivers\etc\hosts در ویندوز یا /etc/hosts در macOS/Linux) و حافظه نهان DNS سیستم عامل خود را شستشو دهید.** حتی اگر روتر شما 100 درصد تمیز باشد، ابزارهای تبلیغاتی مزاحم یا تروجان های محلی در یک رایانه شخصی یا مک می توانند وضوح DNS را به صورت محلی با تزریق تغییر مسیرهای IP به داخل آن لغو کنند. hosts فایل یا تنظیم یک پیکربندی خودکار پراکسی (PAC) URL در Windows Internet Options.

flowchart TD
    A["دزدی مشکوک DNS: هشدارهای گواهی، پنجره های به روز رسانی جعلی، یا بارگذاری اشتباه سایت ها"] --> B["1. بلافاصله DNS رمزگذاری شده (DoH) را در مرورگر / سیستم عامل فعال کنید تا از حل کننده مسموم عبور کنید."]
    B --> C["2. اجرای Terminal Diagnostic: «nslookup example.com» را در مقابل «nslookup example.com 1.1.1.1» مقایسه کنید"]
    C --> D{"آیا همه دستگاه‌های روی Wi-Fi تحت تأثیر قرار می‌گیرند یا فقط یک رایانه/تلفن خاص؟"}
    D -->|"همه دستگاه‌های روی Wi-Fi تحت تأثیر قرار گرفتند"| E["روتر WAN/DHCP Hijack یا سرور DHCP Rogue در LAN"]
    E --> F["IP درگاه پیش فرض و سرور DHCP ('ipconfig /all') را بررسی کنید. اگر MAC/IP نا آشنا -> دستگاه Rogue را جدا کنید"]
    E --> G["روتر بازنشانی کارخانه سخت افزار -> به روز رسانی سیستم عامل -> غیرفعال کردن WAN Admin & UPnP -> تنظیم DNS روتر به 1.1.1.1 / 9.9.9.9"]
    D -->|"فقط یک رایانه یا تلفن تحت تأثیر قرار گرفته است"| H["ربودن دستگاه محلی: DNS استاتیک آداپتور شبکه، فایل میزبان، اسکریپت پروکسی/PAC و پسوندهای مرورگر را بررسی کنید"]
    H --> I["'/etc/hosts' یا 'C:\\Windows\\System32\\drivers\\etc\\hosts' را پاک کنید، Root Certs را حذف کنید و کش DNS را پاک کنید"]

ماتریس تشخیصی: 5 لایه ای که DNS و مسیریابی شبکه ربوده می شوند¶

هنگامی که نام دامنه به سرور اشتباهی حل می شود، ربوده شدن در یکی از پنج لایه فنی مجزا در زنجیره رزولوشن اتفاق می افتد. از این جدول برای تعیین دقیق اینکه کدام لایه در معرض خطر است استفاده کنید:

فاز 1: حسابرسی قانونی DNS و DHCP خط فرمان 60 ثانیه ای¶

قبل از بازنشانی هر چیزی، یک ترمینال را در رایانه خود باز کنید و این دستورات فقط خواندنی را اجرا کنید تا شواهدی از سرورهای DNS و سرور DHCP که دستگاه شما در حال حاضر از آن استفاده می‌کند، به دست آورید.

1. ویندوز 10 و ویندوز 11 (Command Prompt یا PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• نحوه خواندن خروجی مرحله 1 (ipconfig /all):
• نگاه کن DNS Servers. به طور معمول، این یا IP LAN خصوصی روتر خانگی شما (192.168.1.1، 192.168.0.1، 10.0.0.1)، یک حل کننده عمومی معروف که شما عمدا تنظیم کرده اید (1.1.1.1، 1.0.0.1، 8.8.8.8، 8.8.4.4، 9.9.9.9، 208.67.222.222) یا سرورهای DNS منطقه ای ISP باند پهن واقعی شما (هر IP ناآشنا را در ** تأیید کنیدhttps://bgp.he.net** یا whois: اگر IP متعلق به یک ارائه دهنده میزبان VPS ضد گلوله در کشور دیگری به جای ISP شما باشد، DNS شما مسموم شده است.
• نگاه کن DHCP Server در مقابل Default Gateway. در 99 درصد از شبکه های خانگی، DHCP Server IP و Default Gateway IP باید یکسان باشد (به عنوان مثال، هر دو 192.168.1.1). اگر آنها متفاوت هستند (و شما شخصاً کنترل کننده دامنه Pi-hole یا Windows Server را ایجاد نکرده اید)، یک سرور DHCP سرکش در شبکه محلی خود دارید.

2. macOS و Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. شکار و جداسازی یک سرور DHCP سرکش در شبکه محلی خود¶

چه می شود اگر ipconfig /all (یا ip route / networksetup -getinfo Wi-Fi) نشان می دهد که رایانه شما اجاره IP و تنظیمات DNS خود را از یک آدرس IP محلی ناآشنا دریافت کرده است 192.168.1.142 به جای روتر واقعی شما (192.168.1.1)؟ 1. فوراً سخت افزار ** آدرس MAC (Physical Address)** و سازنده دستگاه سرکش (192.168.1.142) با بررسی جدول ARP خود:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

فاز 2: ریشه کنی گام به گام برای ربودن روتر WAN/DHCP¶

اگر ممیزی شما در فاز 1 ثابت کرد که روتر Wi-Fi شما آدرس‌های DNS مخرب را ارائه می‌کند (یا اینکه DNS WAN داخلی روتر شما اصلاح شده است)، به سادگی وارد روتر شوید و تایپ کنید. 1.1.1.1 بازگشت به جعبه کافی نیست. شما باید در وهله اول آسیب پذیری را ببندید که به مهاجم اجازه ورود به روتر شما را داده است:

مرحله 1: یک بازنشانی کارخانه ای سخت افزاری 30 ثانیه ای روی روتر انجام دهید¶

چرا به جای ویرایش فقط فیلد DNS، بازنشانی کامل کارخانه ای انجام شود؟ زیرا بدافزار روتر (ZuoRAT، VPNFilter، Cyclops Blink، Mirai انواع) اغلب موارد پنهان را اضافه می کند iptables قوانین تغییر مسیر NAT (REDIRECT --to-ports 53، یک cron job مداوم را در آن نصب می کند /tmp یا NVRAM، یا حساب های مدیریت مخفی SSH/Telnet راه دور را فعال می کند. 1. کابل WAN / اینترنت اترنت روتر (کابلی که از فیبر ONT یا مودم کابلی شما می آید) را جدا کنید تا مهاجم نتواند در حین پیکربندی مجدد آن را وصل کند. 2. در حالی که روتر روشن است، دکمه فرورفته دکمه سوراخ مجدد تنظیم مجدد را در پشت روتر با یک گیره کاغذ به مدت 15 تا 30 ثانیه کامل فشار دهید و نگه دارید تا زمانی که همه LED های پانل جلویی به طور همزمان چشمک بزنند. 3. 3 دقیقه صبر کنید تا روتر به حالت تمیز کارخانه راه اندازی شود، سپس یک کامپیوتر تمیز را از طریق کابل اترنت (یا اعتبار برچسب Wi-Fi کارخانه) وصل کنید و وارد شوید 192.168.1.1 (یا 192.168.0.1).

مرحله 2: قفل کردن 5 تنظیمات روتر که مهاجمان برای ربودن DNS سوء استفاده می کنند¶

قبل از اتصال مجدد کابل WAN / اینترنت، این پنج تنظیمات اجباری را در کنسول مدیریت روتر خود پیکربندی کنید (راهنمای کامل ما را در ایمن سازی روترهای خانگی و دستگاه های اینترنت اشیا برای سخت شدن عمیق): 1. ** رمز عبور مدیریت روتر 16+ کاراکتری را تنظیم کنید (که با رمز عبور Wi-Fi شما یکسان نیست):** هرگز ورود به سیستم مدیریت روتر را به عنوان رها نکنید admin / admin یا admin / password. هر کیت اکسپلویت ربودن DNS CSRF در وب به طور خودکار اعتبار پیش فرض را هنگام بارگذاری یک بنر تبلیغاتی مخرب در مرورگر خود حدس می زند. 2. ** تأیید کنید Remote Management / WAN Administration به شدت است DISABLED:** به زیر نگاه کن Advanced -> Administration -> Remote Management و مطمئن شوید که هیچ کس در اینترنت عمومی نمی تواند به صفحه ورود به سیستم روتر یا پورت های SSH/Telnet از سمت WAN دسترسی داشته باشد. 3. غیرفعال کردن UPnP (Universal Plug and Play): Under Advanced -> UPnP (یا NAT Forwarding -> UPnP، UPnP را خاموش کنید. بدافزار در هر دستگاهی در داخل خانه شما از UPnP (IGD درخواست‌های SOAP) برای فرمان دادن بی‌صدا به روتر شما برای باز کردن پورت‌ها یا تغییر قوانین ارسال WAN بدون رمز عبور. 4. ** سرورهای DNS (IPv4 و IPv6) قابل اعتماد، مسدود کننده بدافزار در روتر:** به راه اندازی اینترنت / WAN -> سرور DNS (و LAN -> سرور DHCP) بروید و از دریافت خودکار از ISP به استفاده از این سرورهای DNS بروید: * ** Cloudflare (1.1.1.1 for Families - Malware Blocking):** IPv4 اولیه: 1.1.1.2 | IPv4 ثانویه: 1.0.0.2 (یا استاندارد بدون فیلتر 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 و 2606:4700:4700::1002. * ** Quad9 (Malware & Phishing Blocking + DNSSEC):** IPv4 اولیه: 9.9.9.9 | IPv4 ثانویه: 149.112.112.112. IPv6: 2620:fe::fe و 2620:fe::9. * Google Public DNS: IPv4 اولیه: 8.8.8.8 | IPv4 ثانویه: 8.8.4.4. IPv6: 2001:4860:4860::8888 و 2001:4860:4860::8844. 5. کابل WAN را مجدداً وصل کنید و فوراً آخرین بروزرسانی سیستم عامل روتر را نصب کنید: اگر مدل روتر شما از سازنده گذشته است پایان عمر (EoL) تاریخ دارد و دیگر وصله های امنیتی را دریافت نمی کند (نگاه کنید به وصله اضطراری بهره برداری روز صفر و ایزوله دستگاه پایان عمر)، بلافاصله سخت افزار روتر را جایگزین کنید تا CVE های وصله نشده شناخته شده فردا نتوانند مجدداً مورد سوء استفاده قرار گیرند.

مرحله 3: تمیز کردن یک کامپیوتر محلی مسموم (Hosts فایل، آداپتور DNS، و Cache Flush)¶

پس از ایمن کردن روتر خود (یا اگر تنها یک رایانه ربوده شد)، این دستورات دقیق را برای تنظیم مجدد پشته شبکه رایانه محلی خود اجرا کنید و هر رکورد DNS مسموم کش شده را پاک کنید:

1. Windows 10/11 کامل DNS، هاست، Winsock و کش مرورگر بازنشانی شود¶

Command Prompt را به عنوان مدیر باز کنید (Win + X -> Terminal (Admin) / Command Prompt (Admin)) و اجرا کنید:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• ** اگر شما C:\Windows\System32\drivers\etc\hosts فایل حاوی خطوط تغییر مسیر غیرمجاز است: ** Notepad را به عنوان مدیر** باز کنید، باز کنید C:\Windows\System32\drivers\etc\hosts، تمام خط های بدون نظر را حذف کنید (یک ویندوز پیش فرض تمیز hosts فایل صفر خطوط فعال بدون نظر دارد و هر خط نظر با آن شروع می شود #)، فایل را ذخیره کرده و اجرا کنید ipconfig /flushdns.
• ** گواهینامه های Rogue Root را بررسی کنید (certmgr.msc):** اگر یک مهاجم یا بدافزار محلی یک مرجع صدور گواهی ریشه جعلی نیز نصب کرده باشد (CA) را روی رایانه شما قرار دهید تا بتوانند ترافیک HTTPS را بدون ایجاد هشدارهای مرورگر رهگیری کنند، فشار دهید Win + R، تایپ کنید certmgr.msc، گسترش ** Trusted Root Certification Authorities -> Certificates**، مرتب سازی بر اساس Issued By یا Expiration Dateو هر گواهینامه ریشه ناآشنا با امضای خود را که نمی شناسید حذف کنید.

2. macOS و Linux بازنشانی کامل DNS و فلاش کش¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. سوکت داخلی مرورگر وب و کش DNS خود را بشویید (Chrome، Edge، Brave، Firefox)¶

تله بحرانی: مرورگرهای وب مدرن کش DNS داخلی مجزای خود را حفظ می کنند و سوکت TCP را باز می کنند کاملا مستقل از ipconfig /flushdns. حتی بعد از اینکه روتر خود را تعمیر و اجرا کردید ipconfig /flushdns، Chrome یا Edge می توانند شما را به مدت 15 دقیقه دیگر به IP مهاجم ارسال کنند تا زمانی که کش داخلی مرورگر را پاک کنید: 1. در Chrome، Edge یا Brave: * نوع chrome://net-internals/#dns (یا edge://net-internals/#dns) وارد نوار آدرس شوید و روی ** کلیک کنیدClear host cache. * بلافاصله کلیک کنید Sockets در نوار کناری سمت چپ (chrome://net-internals/#sockets) و روی ** کلیک کنیدFlush socket pools (این کار باعث از بین رفتن اتصالات HTTP/2 یا QUIC دائمی فعال هنوز به IP مهاجم می شود). 2. در موزیلا فایرفاکس: * نوع about:networking#dns وارد نوار آدرس شوید و روی ** کلیک کنیدClear DNS Cache. 3. در Apple Safari (macOS و iOS): * در macOS، Safari -> Settings -> Advanced را باز کنید، ** را علامت بزنید.Show features for web developers، و روی ** کلیک کنیدDevelop -> Empty Caches** (Opt + Cmd + E)، سپس سافاری را رها کرده و دوباره راه اندازی کنید. * در iPhone یا iPad، حالت هواپیما را به مدت 5 ثانیه روشن کنید و دوباره خاموش کنید، که iOS را مجبور می کند mDNSResponder تا کل کش DNS فرار خود را بلافاصله بدون حذف لاگین های ذخیره شده وب سایت خود پاک کنید.

فاز 4: فعال کردن DNS رمزگذاری شده (DoH / DoT) بنابراین هیچ روتر، هتل یا ISP نمی تواند دوباره DNS شما را هک کند¶

چرا DNS سنتی (UDP Port 53) جاسوسی و ربودن یک روتر خانگی، وای فای کافی شاپ، یا ISP آسان است؟ زیرا DNS استاندارد در 1983 (RFC 882) با رمزگذاری صفر و احراز هویت صفر: هر پرس و جو به صورت متن ساده در سراسر سیم حرکت می کند و هر دستگاهی در مسیر می تواند یک پاسخ UDP جعلی را در کمتر از یک میلی ثانیه جعل کند (DNS Spoofing).

با فعال کردن DNS-over-HTTPS (DoH، RFC 8484) یا DNS-over-TLS (DoT، RFC 7858)، دستگاه شما هر پرس و جوی DNS را در داخل یک رمزنگاری تأیید شده قرار می دهد TLS 1.3 تونل مستقیم به یک حل کننده قابل اعتماد (Cloudflare 1.1.1.1، Quad9 9.9.9.9، Google 8.8.8.8، یا NextDNS). اگر روتر یا Wi-Fi هتلی سرکش سعی کند پاسخ را تغییر دهد، امضای TLS از کار می افتد و دستگاه شما فورا جعل را رد می کند.

نحوه فعال کردن DNS رمزگذاری شده (DoH / DoT) در هر دستگاه در 60 ثانیه¶

سوالات متداول¶

چرا مرورگرم نشون داد NET::ERR_CERT_AUTHORITY_INVALID در google.com یا بانک من زمانی که DNS روتر من هک شد؟¶

آن خطای مرورگر در واقع شما را از دزدیده شدن حسابتان نجات داد. هنگامی که یک مهاجم تنظیمات DNS روتر شما را می رباید، آدرس IP را برای آن تغییر می دهد `www.yourbank.com` بنابراین رایانه شما به جای بانک واقعی شما به وب سرور مهاجم متصل می شود. با این حال، زمانی که مرورگر شما یک HTTPS رمزگذاری شده (`TLS`) دست دادن با سرور مهاجم، سرور مهاجم نمی تواند یک گواهی دیجیتال معتبر TLS تولید کند که به صورت رمزنگاری شده توسط یک مرجع گواهی معتبر برای `yourbank.com`. مرورگر شما بلافاصله اتصال را متوقف می کند و نمایش داده می شود `NET::ERR_CERT_AUTHORITY_INVALID`. تا زمانی که هرگز روی "ادامه" کلیک نکنید و هرگز یک گواهی ریشه سرکش نصب نکنید (`CA`) روی دستگاه شما، ربودن DNS به تنهایی نمی تواند یک وب سایت HTTPS محافظت شده با HSTS را رمزگشایی یا جعل کند.

چگونه یک هکر تنظیمات DNS را در روتر وای فای خانگی من بدون دانستن رمز وای فای من تغییر داد؟¶

برای تغییر تنظیمات DNS روتر، لازم نیست مهاجمان در محدوده Wi-Fi خانه شما باشند. آنها از دو روش راه دور استفاده می کنند: اول، ربات های خودکار (`Shodan` / `Censys` اسکنرها و بات نت ها) هر آدرس IP عمومی را در اینترنت اسکن می کنند و به دنبال روترهای خانگی هستند که **مدیریت وب از راه دور (`WAN Admin`)** یا **`UPnP`** با آسیب‌پذیری‌های میان‌افزار شناخته‌شده باز مانده است. دوم، حتی اگر WAN Admin بسته باشد، اگر رمز عبور مدیریت داخلی روتر خود را در حالت پیش فرض کارخانه گذاشته باشید (`admin / admin` یا `admin / password`)، کلیک کردن روی یک تبلیغ یا وب سایت مخرب در لپ تاپ به جاوا اسکریپت مخفی در مرورگر شما اجازه می دهد تا یک **جعل درخواست بین سایتی (`CSRF`)** یا **DNS Rebinding** مستقیماً از لپ تاپ خود به `http://192.168.1.1`، از داخل وارد روتر خود شوید و تنظیمات DNS خود را در سکوت بازنویسی کنید.

اگر DNS رمزگذاری شده را فعال کنم (DoH) در کروم یا فایرفاکس، آیا از سایر برنامه های رایانه من محافظت می کند؟¶

فعال کردن DNS امن (`DoH`) در Chrome، Edge، Brave یا Firefox همه جستجوهای DNS انجام شده **در داخل آن مرورگر وب خاص** را رمزگذاری و محافظت می کند، که بلافاصله تغییر مسیرهای فیشینگ مبتنی بر مرورگر و صفحات به روز رسانی جعلی را متوقف می کند. با این حال، سایر برنامه‌های پس‌زمینه رایانه شما (مانند سرویس گیرنده ایمیل، Slack، بازی‌ها یا به‌روزرسانی‌کننده سیستم‌عامل) همچنان از حل‌کننده DNS سیستم عامل استفاده می‌کنند، مگر اینکه DNS رمزگذاری شده را در سطح سیستم عامل (از طریق Windows 11 Native DoH، Android Private DNS) پیکربندی کنید. `DoT`یا یک نمایه DNS رمزگذاری شده macOS/iOS امضا شده) و تنظیمات WAN/DHCP DNS روتر خود را اصلاح کنید.

چه فرقی با هم دارند 1.1.1.1 (Cloudflare) و 9.9.9.9 (Quad9)، و کدام یک را باید در روتر خود قرار دهم؟¶

هر دوی آن ها سریع، با احترام به حریم خصوصی و بدون ردیابی جهانی anycast DNS Resolver هایی هستند که توسط سازمان های معتبر اداره می شوند و هر کدام از شما در برابر سرقت ISP یا روترهای سرکش محافظت می کنند. استاندارد **`1.1.1.1`** (Cloudflare) و **`8.8.8.8`** (Google) پاسخ‌های DNS خالص و بدون فیلتر را برای هر دامنه در اینترنت برمی‌گرداند. **`9.9.9.9`** (که توسط بنیاد غیرانتفاعی Quad9 اداره می شود) و **`1.1.1.2`** (Cloudflare برای خانواده ها - مسدود کردن بدافزار) به طور خودکار هر جستجوی دامنه را در برابر فیدهای اطلاعاتی تهدید جهانی در زمان واقعی وب سایت های فیشینگ شناخته شده، فرمان و کنترل باج افزار بررسی می کند (`C2`) سرورها و دامنه های infostealer، اتصال در لایه DNS را قبل از بارگیری یک صفحه مخرب مسدود می کنند.

راهنماهای مرتبط¶

• ایمن سازی روترهای خانگی و دستگاه های اینترنت اشیا
• Wi-Fi عمومی، نقاط مهم Evil Twin، و محافظت از USB-Jice-jacking
• پسوندهای مخرب مرورگر، ربایندگان کلیپ بورد و حذف ابزارهای تبلیغاتی مزاحم
• وصله اضطراری بهره برداری روز صفر و ایزوله دستگاه پایان عمر
• ربودن نام دامنه، DNS منقضی شده و تصاحب وب سایت
• شماره های اضطراری جهانی

منابع بررسی شد¶

• آژانس امنیت سایبری و امنیت زیرساخت (CISA) و آژانس امنیت ملی (NSA) (ایالات متحده): برگه اطلاعات امنیت سایبری (انتخاب سرویس DNS محافظتی (PDNS) و استفاده از DNS رمزگذاری شده DoH / DoT در محیط های سازمانی و خانگی).
• گروه وظیفه مهندسی اینترنت (IETF) (بین المللی): RFC 7858 (مشخصات DNS بر روی امنیت لایه حمل و نقل DoT)، RFC 8484 (پرس و جوهای DNS از طریق HTTPS DoHو RFC 9462 (کشف حل‌کننده‌های تعیین‌شده DDR).
• کمیته مشورتی امنیت و ثبات ICANN (SSAC) (بین المللی): مشاوره در مورد دستکاری زیرساخت DNS، پیکربندی مجدد روتر WAN و اعتبارسنجی DNSSEC.
• مرکز امنیت سایبری ملی (NCSC) (بریتانیا): معماری حفاظتی DNS و کاهش حملات جعلی DHCP و شبکه محلی محلی.