חטיפת DNS של נתב, שרתי DHCP נוכלים ושחזור DNS מוצפן (DoH/DoT)¶

בכל פעם שאתה מקליד כתובת אתר כמו chase.com, google.com, או apple.com לתוך הדפדפן שלך, המכשיר שלך שואל מערכת שמות דומיין (DNS) resolver כדי לתרגם את השם הניתן לקריאה על ידי אדם לכתובת IP מספרית (142.250.190.46). אם תוקף משנה בשקט את הגדרות שרת ה-DNS הראשי והמשני בתוך נתב ה-Wi-Fi הביתי או המשרדי שלך, מפעיל שרת DHCP סורר ברשת המקומית שלך, משנה את הנסתר של המחשב שלךhosts קובץ**, או מיירט את השאילתות שלך ברשת של מלון או שדה תעופה, הם שולטים בספר הטלפונים של האינטרנט שלך. גם כאשר אתה מקליד את כתובת האתר המדויקת, מאויתת נכונה של הבנק, ספק הדוא"ל או שרת עדכון התוכנה שלך בשורת הכתובת, שרת DNS נחטף (DNSChanger, ghostDNS, ZuoRAT, או מקומי dnsmasq spoofer) יכול לנתב את החיבור שלך לשרת דומה זדוני, לחסום את תוכנת האנטי-וירוס שלך מלהוריד הגדרות איומים, או להציג חלון קופץ מזויף "עדכון קושחה לנתב / עדכון קריטי של Chrome" שמתקין סוס טרויאני מגניבת מידע.

אל תתעלם פתאומי NET::ERR_CERT_AUTHORITY_INVALID אזהרות, חלונות קופצים בלתי צפויים של פורטל שבוי "התחבר לרשת Wi-Fi" ב-Wi-Fi הביתי שלך, או הפניות מחדש של דפדפן בעת ​​ביקור באתרים גדולים. על ידי השוואה של מה שמחזיר שרת ה-DNS המוקצה לך מול פותר מוצפן מהימן (1.1.1.1, 8.8.8.8, או 9.9.9.9), ביקורת על הגדרות ה-WAN וה-DHCP של הנתב שלך, שטיפת מטמוני ה-DNS של מערכת ההפעלה והדפדפן המורעל, והפעלת DNS-over-HTTPS (DoH) או DNS-over-TLS (DoT), אתה יכול למגר חטיפת DNS תוך פחות מ-10 דקות.

תעשה את זה עכשיו¶

1. לעולם אל תלחץ Advanced -> Proceed to [website] (unsafe) אם הדפדפן שלך מציג פתאום א NET::ERR_CERT_AUTHORITY_INVALID או MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT אזהרה בבנק גדול, באימייל או באתר ענן. HTTPS מודרני (TLS 1.3) ו-HTTP Strict Transport Security (HSTS) הם קו ההגנה האחרון שלך כאשר ה-DNS שלך נחטף: שרת ה-DNS שנחטף הפנה את הדפדפן שלך לכתובת ה-IP של התוקף, והדפדפן שלך תפס את השקר כי השרת של התוקף אינו מחזיק את המפתח הפרטי ההצפנה האמיתי של גוגל או צ'ייס. לחיצה על "המשך בכל זאת" מעבירה את הסיסמאות וקובצי ה-cookie של הפגישה ישירות לתוקף.
2. לעולם אל תוריד או תפעיל א "Browser Update.exe / .dmg" או הקלד את סיסמת ה-Wi-Fi WPA2/WPA3 שלך בחלון קופץ שמופיע לפתע ב-Wi-Fi הביתי או המשרדי שלך. כאשר הנתב חוטף תוכנות זדוניות (ghostDNS, Roaming Mantis) משנה את שרתי ה-WAN/DHCP DNS של הנתב שלך לכתובת IP פלילית, הטקטיקה מספר 1 שלו היא להפנות כל טעינת דף HTTP לדף מזויף "קושמת Google Chrome / Safari / נתב שלך אינה מעודכנת" או פורטל התחברות מזויף של ספק שירותי אינטרנט.
3. רוץ 10 שניות nslookup או dig בדיקת השוואה בטרמינל שלך עכשיו כדי לראות אם שרת ה-DNS הנוכחי שלך משקר לך. פתח את שורת הפקודה או את המסוף והשווה nslookup google.com (שמשתמש בנתב/שרת DNS של הנתב/מערכת ההפעלה שהוקצו כרגע) נגד nslookup google.com 1.1.1.1 (ששואל ישירות את Cloudflare). אם שרת ה-DNS המוגדר כברירת מחדל הוא כתובת IP ציבורית מוזרה הממוקמת במדינה אחרת שמעולם לא הגדרת, או מחזיר כתובות IP מזויפות שונות לחלוטין עבור דומיינים של בנקאות/אנטי וירוס, ה-DNS שלך נחטף.
4. עקוף באופן זמני את הגדרות ה-DNS של המכשיר שלך ל-DNS מוצפן (DoH / DoT על 1.1.1.1, 9.9.9.9, או 8.8.8.8) לפני כניסה לנתב או איפוס סיסמאות. כי DNS-over-HTTPS (DoH) שולח את כל חיפושי הדומיין בתוך מוצפן TLS Port 443 מנהרה ישירות ל-Cloudflare, Quad9 או Google, הפעלת DoH בתוך הדפדפן או מערכת ההפעלה שלך מסנוורת מיד נתב חטוף או פותר ספק שירותי אינטרנט נוכל, כך שתוכל לגשת בבטחה לאתרים אמיתיים ולנקות את הרשת שלך.
5. התחבר לנתב הביתי/משרדי שלך באמצעות כבל Ethernet קווי (192.168.1.1 או 192.168.0.1), בדוק את שניהם WAN / Internet DNS ו LAN DHCP Server DNS שדות, ואם אחד מהם מכיל כתובות IP ציבוריות לא מוכרות, בצע חומרה 30-second Pin-Hole Factory Reset באופן מיידי. תוכנה זדונית שמשנה את הגדרות ה-DNS של הנתב כמעט תמיד נכנסת דרך ** חשוףRemote Web Management (WAN Admin)**יציאה, UPnP (Universal Plug and Play) כלל העברת יציאות, או ברירת מחדל admin/admin סיסמה (ראה אבטחת נתבים ביתיים ומכשירי IoT).
6. בדוק את המחשב המקומי שלך hosts הגדרות קובץ ו-Proxy/PAC (C:\Windows\System32\drivers\etc\hosts ב-Windows או /etc/hosts ב-macOS/Linux) ושטוף את מטמון ה-DNS של מערכת ההפעלה שלך. גם אם הנתב שלך נקי ב-100 אחוז, תוכנות פרסום מקומיות או סוסים טרויאניים במחשב או Mac בודד יכולים לעקוף את רזולוציית ה-DNS באופן מקומי על ידי הזרקת הפניות IP hosts קובץ או הגדרת נוכל תצורת פרוקסי אוטומטית (PAC) URL באפשרויות האינטרנט של Windows.

flowchart TD
    A["חשד לחטיפת DNS: אזהרות אישור, חלונות קופצים של עדכונים מזויפים או טעינת אתרים שגויים"] --> B["1. הפעל DNS מוצפן (DoH) בדפדפן/מערכת ההפעלה באופן מיידי כדי לעקוף את פותר מורעל"]
    B --> C["2. הפעל אבחון מסוף: השווה את 'nslookup example.com' לעומת 'nslookup example.com 1.1.1.1'"]
    C --> D{"האם כל המכשירים ב-Wi-Fi מושפעים, או רק מחשב/טלפון ספציפי אחד?"}
    D -->|"כל המכשירים ב-Wi-Fi מושפעים"| E["הנתב WAN/DHCP Hijack או Rogue DHCP Server ב-LAN"]
    E --> F["בדוק שער ברירת מחדל ו-IP של שרת DHCP ('ipconfig /all'). אם לא מוכר MAC/IP -> Isolate Rogue Device"]
    E --> G["איפוס מפעל חומרה נתב -> עדכן קושחה -> השבת WAN Admin & UPnP -> הגדר את הנתב DNS ל-1.1.1.1 / 9.9.9.9"]
    D -->|"רק מחשב או טלפון אחד מושפעים"| H["חטיפת מכשיר מקומי: בדוק DNS סטטי של מתאם רשת, קובץ מארחים, סקריפט Proxy/PAC ותוספי דפדפן"]
    H --> I["נקה את '/etc/hosts' או 'C:\\Windows\\System32\\drivers\\etc\\hosts', הסר אישורי שורש סוררים ושטוף את מטמון ה-DNS"]

מטריצת אבחון: 5 השכבות שבהן DNS וניתוב רשת נחטפים¶

כאשר שם דומיין מועבר לשרת הלא נכון, החטיפה מתרחשת באחת מחמש שכבות טכניות מובחנות בשרשרת הפתרון. השתמש בטבלה זו כדי לקבוע איזו שכבה נפגעת:

שלב 1: ביקורת משפטית של 60 שניות DNS ו-DHCP¶

לפני איפוס משהו, פתח מסוף במחשב שלך והפעל בדיוק את הפקודות לקריאה בלבד כדי ללכוד את ההוכחות של שרתי DNS ושרת DHCP המכשיר שלך משתמש כעת.

1. Windows 10 ו-Windows 11 (Command Prompt או PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• כיצד לקרוא את הפלט של שלב 1 (ipconfig /all):
• תראה DNS Servers. בדרך כלל, זה מציג את ה-IP ה-LAN הפרטי של הנתב הביתי שלך (192.168.1.1, 192.168.0.1, 10.0.0.1), פותר ציבורי ידוע שהגדרת בכוונה (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), או שרתי ה-DNS האזוריים של ספק שירותי האינטרנט שלך בפס רחב (אמת כל IP לא מוכר ב-https://bgp.he.net או whois: אם ה-IP שייך לספק אירוח VPS חסין כדורים במדינה אחרת ולא לספק האינטרנט שלך, ה-DNS שלך מורעל).
• תראה DHCP Server לעומת Default Gateway. ב-99 אחוז מהרשתות הביתיות, ה DHCP Server IP וה- Default Gateway IP חייב להיות זהה (למשל, שניהם 192.168.1.1). אם הם שונים (ולא בנית באופן אישי בקר תחום Pi-hole או Windows Server), יש לך שרת DHCP נוכל ברשת המקומית שלך.

2. macOS & Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. ציד ובידוד של שרת DHCP נוכל ברשת המקומית שלך¶

מה אם ipconfig /all (או ip route / networksetup -getinfo Wi-Fi) מגלה שהמחשב שלך קיבל את חכירת ה-IP והגדרות ה-DNS שלו מכתובת IP מקומית לא מוכרת כמו 192.168.1.142 במקום הנתב האמיתי שלך (192.168.1.1)? 1. זהה מיד את החומרה כתובת MAC (Physical Address) ויצרן המכשיר הנוכל (192.168.1.142) על ידי בדיקת טבלת ה-ARP שלך:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

שלב 2: חיסול שלב אחר שלב עבור חטיפת WAN/DHCP של נתב¶

אם הביקורת שלך בשלב 1 הוכיחה כי נתב ה-Wi-Fi שלך מחלק כתובות DNS זדוניות (או שה-WAN DNS הפנימי של הנתב שלך השתנה), פשוט היכנס לנתב והקלד 1.1.1.1 חזרה לקופסה לא מספיק. עליך לסגור את הפגיעות שאפשרה לתוקף להיכנס לנתב שלך מלכתחילה:

שלב 1: בצע איפוס יצרן של חומרה למשך 30 שניות בנתב¶

למה איפוס מלא להגדרות היצרן במקום רק לערוך את שדה ה-DNS? בגלל תוכנה זדונית בנתב (ZuoRAT, VPNFilter, Cyclops Blink, Mirai וריאנטים) מוסיף לעתים קרובות מוסתרים iptables כללי הפניית NAT (REDIRECT --to-ports 53), מתקין ב-Cron Job מתמשך /tmp או NVRAM, או מאפשר חשבונות ניהול SSH/Telnet מרחוק נסתרים. 1. נתק את כבל ה-WAN/אינטרנט Ethernet של הנתב (הכבל המגיע מהסיבי ONT או ממודם הכבלים) כך שהתוקף לא יוכל להתחבר מחדש בזמן שאתה מגדיר אותו. 2. כשהנתב מופעל, לחץ והחזק את לחצן איפוס חור חריר השקוע בגב הנתב עם מהדק למשך 15 עד 30 שניות מלאות עד שכל נוריות הלוח הקדמי יהבהבו בו-זמנית. 3. המתן 3 דקות עד שהנתב יאתחל מחדש למצב היצרן הנקי שלו, ואז חבר מחשב נקי באמצעות כבל Ethernet (או אישורי מדבקת ה-Wi-Fi של היצרן) והתחבר 192.168.1.1 (או 192.168.0.1).

שלב 2: נעל את 5 הגדרות הנתב שתוקפים מנצלים כדי לחטוף DNS¶

לפני חיבור מחדש של כבל ה-WAN/אינטרנט, הגדר את חמש הגדרות החובה הללו בתוך מסוף הניהול של הנתב שלך (ראה המדריך המלא שלנו על אבטחת נתבים ביתיים ומכשירי IoT להתקשות עמוקה): 1. הגדר סיסמת ניהול ייחודית של 16+ תווים לנתב (לא זהה לסיסמת ה-Wi-Fi שלך): לעולם אל תעזוב את פרטי ההתחברות של ניהול הנתב בתור admin / admin או admin / password. כל ערכת ניצול לחטיפת DNS של CSRF באינטרנט מנחשת אוטומטית אישורי ברירת מחדל כאשר אתה טוען מודעת באנר זדונית בדפדפן שלך. 2. אמת Remote Management / WAN Administration הוא למהדרין DISABLED: תסתכל למטה Advanced -> Administration -> Remote Management וודא שאף אחד באינטרנט הציבורי לא יכול לגשת לדף הכניסה של הנתב שלך או ליציאות SSH/Telnet מצד ה-WAN. 3. השבת UPnP (הכנס והפעל אוניברסלי): מתחת Advanced -> UPnP (או NAT Forwarding -> UPnP), כבה את UPnP OFF. תוכנה זדונית בכל מכשיר בתוך הבית שלך משתמשת ב-UPnP (IGD SOAP requests) לפקודה בשקט לנתב שלך לפתוח פורטים או לשנות כללי העברת WAN ללא סיסמה. 4. שרתי DNS מהימנים, חוסמי תוכנות זדוניות (IPv4 ו-IPv6) בנתב: עבור אל הגדרות אינטרנט / WAN -> שרת DNS (ו-LAN -> שרת DHCP) ועבור מ-קבל אוטומטית מ-ISP ל-השתמש בשרתי DNS אלה: * Cloudflare (1.1.1.1 for Families - Malware Blocking): IPv4 ראשי: 1.1.1.2 | IPv4 משני: 1.0.0.2 (או סטנדרטי ללא סינון 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 ו 2606:4700:4700::1002. * Quad9 (Malware & Phishing Blocking + DNSSEC): IPv4 ראשי: 9.9.9.9 | IPv4 משני: 149.112.112.112. IPv6: 2620:fe::fe ו 2620:fe::9. * DNS ציבורי של Google: IPv4 ראשי: 8.8.8.8 | IPv4 משני: 8.8.4.4. IPv6: 2001:4860:4860::8888 ו 2001:4860:4860::8844. 5. חבר מחדש את כבל ה-WAN והתקן מיד את עדכון קושחת הנתב האחרון: אם דגם הנתב שלך עבר את היצרן שלו סוף החיים (EoL) תאריך ואינו מקבל עוד תיקוני אבטחה (ראה תיקון חירום לניצול של יום אפס ובידוד מכשיר סוף החיים), החלף את חומרת הנתב באופן מיידי, כך שלא ניתן יהיה לנצל מחדש CVEs ידועים ללא תיקון מחר.

שלב 3: ניקוי מחשב מקומי מורעל (Hosts קובץ, מתאם DNS ושטוף מטמון)¶

לאחר אבטחת הנתב שלך (או אם רק מחשב בודד נחטף), הפעל את הפקודות המדויקות האלה כדי לאפס את מחסנית הרשת של המחשב המקומי שלך ולשטוף כל רשומת DNS מורעלת במטמון:

1. איפוס DNS, מארחים, Winsock ואיפוס מטמון דפדפן מלא של Windows 10/11¶

פתח את שורת הפקודה כמנהל מערכת (Win + X -> Terminal (Admin) / Command Prompt (Admin)) והריצו:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• אם שלך C:\Windows\System32\drivers\etc\hosts הקובץ הכיל שורות הפניה לא מורשות: פתח את פנקס רשימות כמנהל, פתח C:\Windows\System32\drivers\etc\hosts, מחק כל שורה ללא הערות (ברירת מחדל נקייה של Windows hosts לקובץ יש אפס שורות פעילות ללא הערות, וכל שורת הערה מתחילה ב #), שמור את הקובץ והפעל ipconfig /flushdns.
• בדוק אם יש אישורי שורש נוכלים (certmgr.msc): אם תוקף או תוכנה זדונית מקומית התקין גם רשות אישורי שורש מזויפת (CA) למחשב שלך כדי שיוכלו ליירט תעבורת HTTPS מבלי להפעיל אזהרות בדפדפן, לחץ Win + R, הקלד certmgr.msc, הרחב את רשויות אישורי שורש מהימנות -> אישורים, מיין לפי Issued By או Expiration Date, ומחק כל תעודת שורש לא מוכרת בחתימה עצמית שאינך מזהה.

2. macOS & Linux השלם איפוס DNS ושטוף מטמון¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. שטוף את השקע הפנימי ואת מטמון ה-DNS של דפדפן האינטרנט שלך (Chrome, Edge, Brave, Firefox)¶

מלכודת קריטית: דפדפני אינטרנט מודרניים שומרים על מטמון DNS פנימי נפרד משלהם ומאגר שקעי TCP פתוח בלתי תלוי לחלוטין ipconfig /flushdns. גם אחרי שתתקן את הנתב ורץ ipconfig /flushdns, Chrome או Edge יכולים להמשיך לשלוח אותך ל-IP של התוקף עוד 15 דקות עד שתנקה את המטמון הפנימי של הדפדפן: 1. ב-Chrome, Edge או Brave: * הקלד chrome://net-internals/#dns (או edge://net-internals/#dns) לתוך שורת הכתובת ולחץ על Clear host cache. * לחץ מיד על Sockets בסרגל הצד השמאלי (chrome://net-internals/#sockets) ולחץ על Flush socket pools (זה הורג כל חיבורי HTTP/2 או QUIC פעילים שעדיין פתוחים ל-IP של התוקף). 2. ב-Mozilla Firefox: * הקלד about:networking#dns לתוך שורת הכתובת ולחץ על Clear DNS Cache. 3. ב-Apple Safari (macOS ו-iOS): * ב-macOS, פתח את Safari -> הגדרות -> מתקדם, סמן את Show features for web developers, ולחץ על Develop -> Empty Caches(Opt + Cmd + E), ואז צא והפעל מחדש את Safari. * באייפון או ב-iPad, החלף את מצב טיסה מופעל למשך 5 שניות וכבוי חזרה, מה שמכריח את iOS mDNSResponder לטהר את כל מטמון ה-DNS ההפכפך שלו באופן מיידי מבלי למחוק את כניסות האתר השמורים שלך.

שלב 4: הפעלת DNS מוצפן (DoH / DoT) כך שאף נתב, מלון או ספק שירותי אינטרנט לא יוכלו לחטוף את ה-DNS שלך שוב¶

מדוע DNS מסורתי (UDP Port 53) כל כך קל עבור נתב ביתי שנפגע, Wi-Fi של בית קפה או ספק שירותי אינטרנט לרגל ולחטוף? מכיוון שה-DNS הסטנדרטי תוכנן ב-1983 (RFC 882) עם אפס הצפנה ואפס אימות: כל שאילתה עוברת על פני החוט בטקסט רגיל, וכל מכשיר בנתיב יכול לזייף תשובת UDP מזויפת תוך פחות מאלפית שנייה (DNS Spoofing).

על ידי הפעלת DNS-over-HTTPS (DoH, RFC 8484) או DNS-over-TLS (DoT, RFC 7858), המכשיר שלך עוטף כל שאילתת DNS בתוך שאילתת קריפטוגרפית מאומתת TLS 1.3 מנהרה ישירות לפותר מהימן (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, או NextDNS). אם נתב נוכל או Wi-Fi של מלון מנסים לשנות את התשובה, חתימת ה-TLS נכשלת והמכשיר שלך דוחה את הזיוף באופן מיידי.

כיצד להפעיל DNS מוצפן (DoH / DoT) בכל מכשיר ב-60 שניות¶

שאלות נפוצות¶

למה הדפדפן שלי הראה NET::ERR_CERT_AUTHORITY_INVALID על google.com או הבנק שלי כאשר ה-DNS של הנתב שלי נחטף?¶

שגיאת הדפדפן הזו למעשה הצילה אותך מגניבת חשבונך. כאשר תוקף חוטף את הגדרות ה-DNS של הנתב שלך, הוא משנה את כתובת ה-IP עבור `www.yourbank.com` כך שהמחשב שלך מתחבר לשרת האינטרנט של התוקף במקום לבנק האמיתי שלך. עם זאת, כאשר הדפדפן שלך יוזם HTTPS מוצפן (`TLS`) לחיצת יד עם השרת של התוקף, השרת של התוקף לא יכול לייצר תעודת TLS דיגיטלית חוקית חתומה קריפטוגרפית על ידי רשות אישורים מהימנה עבור `yourbank.com`. הדפדפן שלך עוצר מיד את החיבור ומוצג `NET::ERR_CERT_AUTHORITY_INVALID`. כל עוד לא תלחץ על "המשך בכל זאת" ולעולם לא תתקין אישור שורש נוכל (`CA`) במכשיר שלך, חטיפת DNS לבדה אינה יכולה לפענח או לזייף אתר HTTPS מוגן HSTS.

איך האקר שינה את הגדרות ה-DNS בתוך נתב ה-Wi-Fi הביתי שלי מבלי לדעת את סיסמת ה-Wi-Fi שלי?¶

תוקפים לא צריכים להיות בטווח ה-Wi-Fi של הבית שלך כדי לשנות את הגדרות ה-DNS של הנתב שלך. הם משתמשים בשתי שיטות מרוחקות: ראשית, בוטים אוטומטיים (`Shodan` / `Censys` סורקים ו-botnets) סורקים כל כתובת IP ציבורית באינטרנט ומחפשים נתבים ביתיים בעלי **ניהול אינטרנט מרחוק (`WAN Admin`)** או **`UPnP`** נותר פתוח עם פרצות קושחה ידועות. שנית, גם אם WAN Admin סגור, אם השארת את סיסמת הניהול הפנימית של הנתב שלך כברירת מחדל של היצרן (`admin / admin` או `admin / password`), לחיצה על פרסומת או אתר זדוני במחשב הנייד שלך מאפשרת JavaScript מוסתר בדפדפן שלך לשלוח **זיוף בקשה חוצה אתרים (`CSRF`)** או **DNS Rebinding** בקשה ישירות מהמחשב הנייד שלך ל `http://192.168.1.1`, כניסה לנתב שלך מבפנים ושכתוב את הגדרות ה-DNS שלך בשקט.

אם אני מפעיל DNS מוצפן (DoH) ב-Chrome או Firefox, האם זה מגן על האפליקציות האחרות במחשב שלי?¶

הפעלת DNS מאובטח (`DoH`) בתוך Chrome, Edge, Brave או Firefox מצפינים ומגנים על כל חיפושי ה-DNS שנעשו **בתוך דפדפן האינטרנט הספציפי הזה**, מה שעוצר מיד הפניות מחדש של דיוג מבוסס דפדפן ודפי עדכונים מזויפים. עם זאת, יישומי רקע אחרים במחשב שלך (כגון לקוח הדואר האלקטרוני שלך, Slack, משחקים או עדכון מערכת ההפעלה) עדיין משתמשים במפותח ה-DNS כלל המערכת של מערכת ההפעלה, אלא אם כן תגדיר גם DNS מוצפן ברמת מערכת ההפעלה (דרך Windows 11 Native DoH, Android Private DNS `DoT`, או פרופיל DNS מוצפן macOS/iOS חתום) ותקן את הגדרות ה-WAN/DHCP DNS של הנתב שלך.

מה ההבדל בין 1.1.1.1 (Cloudflare) ו 9.9.9.9 (Quad9), ואיזה אני צריך לשים בנתב שלי?¶

שניהם מהירים, המכבדים פרטיות, ללא מעקב, פותרי DNS גלובליים מסוג Anycast המופעלים על ידי ארגונים בעלי מוניטין, וכל אחד מהם יגן עליך מפני חטיפת ספק שירותי אינטרנט או נתב נוכל. סטנדרטי**`1.1.1.1`** (Cloudflare) ו-**`8.8.8.8`** (גוגל) מחזירה תשובות DNS טהורות ולא מסוננות עבור כל דומיין באינטרנט. **`9.9.9.9`** (מופעל על ידי קרן Quad9 ללא מטרות רווח) ו**`1.1.1.2`** (Cloudflare למשפחות - חסימת תוכנות זדוניות) צולב אוטומטית כל חיפוש דומיין מול עדכוני מודיעין איומים גלובליים בזמן אמת של אתרי פישינג ידועים, פקודה ושליטה של תוכנות כופר (`C2`) שרתי, ודומיינים של גנבי מידע, חוסמים את החיבור בשכבת ה-DNS לפני שדף זדוני יכול אפילו לטעון.

מדריכים קשורים¶

• אבטחת נתבים ביתיים ומכשירי IoT
• Wi-Fi ציבורי, נקודות חמות של Evil Twin והגנה מפני יציאות USB
• הרחבות דפדפן זדוניות, חוטפי לוח והסרת תוכנות פרסום
• תיקון חירום לניצול של יום אפס ובידוד מכשיר סוף החיים
• חטיפת שמות דומיין, DNS שפג תוקפו והשתלטות על אתר
• מספרי חירום גלובליים

נבדקו מקורות¶

• סוכנות אבטחת סייבר ותשתיות (CISA) והסוכנות לביטחון לאומי (NSA) (ארצות הברית): גיליון מידע בנושא אבטחת סייבר (בחירת שירות DNS מגן (PDNS) ושימוש ב-DNS מוצפן DoH / DoT בסביבות ארגוניות וביתיות).
• כוח המשימה להנדסת אינטרנט (IETF) (בינלאומי): RFC 7858 (מפרט עבור DNS over Transport Layer Security DoT), RFC 8484 (שאילתות DNS באמצעות HTTPS DoH), ו-RFC 9462 (גילוי של פותרים ייעודיים DDR).
• הוועדה המייעצת לאבטחה ויציבות של ICANN (SSAC) (בינלאומית): ייעוץ בנושא שיבוש תשתיות DNS, תצורה מחדש של נתב WAN ואימות DNSSEC.
• מרכז אבטחת סייבר לאומי (NCSC) (בריטניה): ארכיטקטורת DNS מגן והפחתת DHCP נוכלים והתקפות זיוף של רשתות מקומיות.