Киднапирање DNS на рутер, нечесни DHCP сервери и обновување шифрирана DNS (DoH/DoT)¶

Секој пат кога ќе напишете адреса на веб-страница како chase.com, google.com, или apple.com во вашиот прелистувач, вашиот уред бара Систем за име на домен (DNS) разрешувач да го преведе тоа име читливо од човек во нумеричка IP адреса (142.250.190.46). Ако напаѓачот тивко ги промени поставките за примарниот и секундарниот DNS сервер во вашиот домашен или канцелариски рутер за Wi-Fi, врти нечесен DHCP-сервер на вашата локална мрежа, ја менува скриената на вашиот компјутер hosts датотека, или ги пресретнува вашите прашања на мрежата на хотел или аеродром, тие го контролираат именикот на вашиот интернет. Дури и кога ќе ја напишете точната, правилно напишана URL-адреса на вашата банка, давател на е-пошта или сервер за ажурирање софтвер во лентата за адреси, киднапиран DNS-сервер (DNSChanger, ghostDNS, ZuoRAT, или локален dnsmasq spoofer) може да ја насочи вашата врска до злонамерен сличен сервер, да го блокира вашиот антивирусен софтвер од преземање дефиниции за закани или да прикаже лажен скокачки прозорец „Ажурирање на фирмверот на рутерот / Критичко ажурирање на Chrome“ што инсталира тројанец за infostealer.

Не игнорирајте ненадејно NET::ERR_CERT_AUTHORITY_INVALID предупредувања, неочекувани скокачки прозорци „Најавете се во Wi-Fi мрежа“ на вашиот сопствен домашен Wi-Fi или пренасочувања на прелистувачот кога ги посетувате главните веб-локации. Со споредување на она што го враќа вашиот тековно доделен DNS-сервер со доверлив шифриран разрешувач (1.1.1.1, 8.8.8.8, или 9.9.9.9), ревизија на поставките за WAN и DHCP на вашиот рутер, испирање на затруениот оперативен систем и DNS кешовите на прелистувачот и овозможување DNS-over-HTTPS (DoH) или DNS-over-TLS (DoT), можете да го искорените киднапирањето DNS за помалку од 10 минути.

Направете го ова сега¶

1. НИКОГАШ не кликнете Advanced -> Proceed to [website] (unsafe) ако вашиот прелистувач одеднаш прикаже a NET::ERR_CERT_AUTHORITY_INVALID или MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT предупредување на голема банка, е-пошта или веб-локација во облак. Модерен HTTPS (TLS 1.3) и HTTP строга транспортна безбедност (HSTS) се вашата последна линија на одбрана кога вашиот DNS е киднапиран: киднапираниот DNS-сервер го насочил вашиот прелистувач до IP адресата на напаѓачот, а вашиот прелистувач ја сфати лагата затоа што серверот на напаѓачот не го држи вистинскиот криптографски приватен клуч на Google или Chase. Со кликнување на „Продолжи во секој случај“ вашите лозинки и колачиња за сесија директно му ги предаваат на напаѓачот.
2. НИКОГАШ не преземајте или стартувајте a "Browser Update.exe / .dmg" или внесете ја лозинката за Wi-Fi WPA2/WPA3 во скокачки прозорец што одеднаш се појавува на вашиот дом или канцеларија Wi-Fi. Кога злонамерен софтвер киднапиран од рутер (ghostDNS, Roaming Mantis) ги менува WAN/DHCP DNS серверите на вашиот рутер во криминална IP адреса, нејзината тактика број 1 е да го пренасочи секое вчитување на страницата HTTP на лажна „Вашиот фирмвер на Google Chrome / Safari / рутер е застарен“ или на лажен портал за најавување на интернет провајдерот.
3. ** Стартувај 10 секунди nslookup или dig компаративен тест во вашиот терминал во моментов за да видите дали вашиот тековен DNS-сервер ве лаже.** Отворете командна линија или терминал и споредете nslookup google.com (кој го користи моментално доделениот рутер/ОС DNS сервер) против nslookup google.com 1.1.1.1 (што директно го прашува Cloudflare). Ако вашиот стандарден DNS-сервер е чудна јавна IP адреса лоцирана во друга земја што никогаш не сте ја конфигурирале или враќа сосема различни лажни IP-адреси за банкарски/антивирусни домени, вашиот DNS е киднапиран.
4. Привремено префрлете ги поставките за DNS на вашиот уред на Шифриран DNS (DoH / DoT на 1.1.1.1, 9.9.9.9, или 8.8.8.8) ПРЕД да се најавите на вашиот рутер или да ги ресетирате лозинките. Бидејќи DNS-over-HTTPS (DoH) ги испраќа сите пребарувања на домен во шифрирана TLS Port 443 тунелирајте директно до Cloudflare, Quad9 или Google, со вклучување DoH во вашиот прелистувач или оперативен систем веднаш го заслепува киднапираниот рутер или непријателскиот разрешувач на интернет провајдерот за да можете безбедно да пристапите до вистинските веб-локации и да ја исчистите вашата мрежа.
5. Најавете се во вашиот домашен/канцелариски рутер преку жичен етернет кабел (192.168.1.1 или 192.168.0.1), проверете ги и двете WAN / Internet DNS И LAN DHCP Server DNS полиња, и ако било кое од нив содржи непознати јавни IP адреси, извршете хардвер 30-second Pin-Hole Factory Reset веднаш. Злонамерниот софтвер што ги менува поставките за DNS на рутерот речиси секогаш влегува преку експонирана Remote Web Management (WAN Admin) порта, а UPnP (Универзално Plug and Play) правило за пренасочување на порта, или стандардно admin/admin лозинка (види Обезбедување домашни рутери и IoT уреди).
6. Проверете ја локалната локација на вашиот компјутер hosts датотека и поставки за прокси/PAC (C:\Windows\System32\drivers\etc\hosts на Windows или /etc/hosts на macOS/Linux) и измијте го вашиот DNS кеш на ОС. Дури и ако вашиот рутер е 100 проценти чист, локалниот софтвер за рекламирање или тројанци на еден компјутер или Mac може локално да ја отфрлат резолуцијата на DNS со вбризгување на IP пренасочувања во hosts податотека или поставување лажни Автоматска конфигурација на прокси (PAC) URL во Windows Internet Options.

flowchart TD
    A["Сомнително киднапирање на DNS: предупредувања за сертификати, скокачки прозорци за лажни ажурирања или погрешно вчитување на сајтови"] --> B["1. Веднаш овозможете шифриран DNS (DoH) во прелистувачот / оперативниот систем за да го заобиколите отруениот разрешувач"]
    B --> C["2. Извршете дијагностика на терминал: споредете „nslookup example.com“ со „nslookup example.com 1.1.1.1“"]
    C --> D{"Дали се засегнати СИТЕ уреди на Wi-Fi или само ЕДЕН специфичен компјутер/телефон?"}
    D -->|"Засегнати се сите уреди на Wi-Fi"| E["Рутер WAN/DHCP Hijack или Rogue DHCP сервер на LAN"]
    E --> F["Проверете ја стандардната IP на портата и DHCP-серверот („ipconfig /all“). Ако не е запознаен MAC/IP -> Изолирајте Rogue Device"]
    E --> G["Хардвер фабрички ресетиран рутер -> Ажурирај го фирмверот -> Оневозможи WAN администратор и UPnP -> Постави DNS на рутерот на 1.1.1.1 / 9.9.9.9"]
    D -->|"Засегнати се само ЕДЕН компјутер или телефон"| H["Киднапирање на локален уред: проверете го статичниот DNS на мрежниот адаптер, датотеката на домаќините, скриптата за прокси/PAC и екстензии на прелистувачот"]
    H --> I["Исчистете ги '/etc/hosts' или 'C:\\Windows\\System32\\drivers\\etc\\hosts', отстранете ги непријателските Root Certs и исчистете го кешот DNS"]

Дијагностичка матрица: 5 слоеви каде DNS и мрежното рутирање се киднапирани¶

Кога името на доменот се решава на погрешен сервер, киднапирањето се случува на еден од петте различни технички слоеви во синџирот на резолуција. Користете ја оваа табела за прецизно да одредите кој слој е компромитиран:

Фаза 1: Судска ревизија на DNS и DHCP на командната линија од 60 секунди¶

Пред да ресетирате било што, отворете терминал на вашиот компјутер и извршете ги овие точни команди само за читање за да ги доловите доказите за тоа кои DNS сервери и DHCP сервер ги користи вашата машина во моментот.

1. Windows 10 и Windows 11 (Command Prompt или PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• Како да го прочитате излезот од чекор 1 (ipconfig /all):
• Погледнете DNS Servers. Нормално, ова ја покажува или приватната LAN IP IP на вашиот домашен рутер (192.168.1.1, 192.168.0.1, 10.0.0.1), добро познат јавен разрешувач што намерно го поставивте (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), или регионалните DNS сервери на вашиот оригинален широкопојасен интернет провајдер (потврдете која било непозната IP адреса на https://bgp.he.net или whois: ако IP припаѓа на провајдер на VPS хостинг отпорен на куршуми во друга земја, наместо на вашиот интернет провајдер, вашиот DNS е отруен).
• Погледнете DHCP Server наспроти Default Gateway. На 99 проценти од домашните мрежи, на DHCP Server IP и Default Gateway IP мора да биде идентична (на пр., и двете 192.168.1.1). Ако тие се различни (а вие лично не сте изградиле контролер на домен Pi-hole или Windows Server), имате непријателски DHCP сервер на вашата локална мрежа.

2. macOS и Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Ловирање и изолирање на непријателски DHCP сервер на вашата локална мрежа¶

Што ако ipconfig /all (или ip route / networksetup -getinfo Wi-Fi) открива дека вашиот компјутер ги добил поставките за закуп на IP и DNS од непозната локална IP адреса како 192.168.1.142 наместо вашиот вистински рутер (192.168.1.1)? 1. Веднаш идентификувајте ја хардверот MAC адреса (Physical Address) и производителот на нечесниот уред (192.168.1.142) со проверка на вашата ARP табела:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

Фаза 2: чекор-по-чекор искоренување за киднапирање на рутер WAN/DHCP¶

Ако вашата ревизија во Фаза 1 покажа дека вашиот Wi-Fi рутер ви дели злонамерни DNS адреси (или дека внатрешниот WAN DNS на вашиот рутер е изменет), едноставно најавете се во рутерот и внесете 1.1.1.1 назад во кутијата не е доволно. Мора да ја затворите ранливоста што му дозволи на напаѓачот да влезе во вашиот рутер на прво место:

Чекор 1: Изведете фабричко ресетирање на хардверот за 30 секунди на рутерот¶

Зошто целосно ресетирање на фабричките поставки наместо само уредување на полето DNS? Бидејќи малициозниот софтвер на рутерот (ZuoRAT, VPNFilter, Cyclops Blink, Mirai варијанти) често додава скриени iptables NAT правила за пренасочување (REDIRECT --to-ports 53), инсталира постојана cron работа во /tmp или NVRAM, или овозможува скриени далечински сметки за управување со SSH/Telnet. 1. Исклучете го WAN / Интернет етернет-кабелот на рутерот (кабелот што доаѓа од вашиот оптички ONT или кабелскиот модем) за да не може напаѓачот повторно да се поврзе додека го конфигурирате. 2. Кога рутерот е вклучен, притиснете го и задржете го вдлабнатиот копче за ресетирај игла на задниот дел од рутерот со спојка за хартија 15 до 30 полни секунди додека сите LED диоди на предниот панел не трепкаат истовремено. 3. Почекајте 3 минути рутерот да се рестартира во чиста фабричка состојба, потоа поврзете чист компјутер преку кабел за етернет (или фабрички акредитиви на налепницата за Wi-Fi) и најавете се 192.168.1.1 (или 192.168.0.1).

Чекор 2: Заклучете ги 5-те поставки на рутерот кои напаѓачите ги искористуваат за да го киднапираат DNS¶

Пред повторно да го вклучите WAN / Интернет кабелот, конфигурирајте ги овие пет задолжителни поставки во административната конзола на вашиот рутер (видете го нашиот целосен водич за Обезбедување домашни рутери и IoT уреди за длабоко стврднување): 1. Поставете уникатна административна лозинка за рутер со 16+ знаци (НЕ е иста како лозинката за Wi-Fi): Никогаш не оставајте го најавувањето за администрација на рутерот како admin / admin или admin / password. Секој комплет за експлоатација за киднапирање на CSRF DNS на веб автоматски ги погодува стандардните акредитиви кога вчитувате злонамерен банер реклама во вашиот прелистувач. 2. ** Потврдете Remote Management / WAN Administration е строго DISABLED:** Погледнете под Advanced -> Administration -> Remote Management и уверете се дека никој на јавниот интернет не може да пристапи до страницата за најавување на вашиот рутер или SSH/Telnet портите од страната на WAN. 3. Оневозможи UPnP (Универзално Plug and Play): Под Advanced -> UPnP (или NAT Forwarding -> UPnP), исклучете го UPnP OFF. Злонамерниот софтвер на кој било уред во вашата куќа користи UPnP (IGD SOAP барања) за тивко да му наредите на вашиот рутер да ги отвори портите или да ги промени правилата за препраќање WAN без лозинка. 4. Доверливи хардкод, DNS-сервери што блокираат малициозен софтвер (IPv4 И IPv6) на рутерот: Одете во Поставување на Интернет / WAN -> DNS-сервер (и LAN -> DHCP-сервер) и префрлете се од Автоматско преземање од интернет провајдер на Користете ги овие DNS-сервери: * ** Cloudflare (1.1.1.1 for Families - Malware Blocking):** Примарен IPv4: 1.1.1.2 | Секундарна IPv4: 1.0.0.2 (или стандардно нефилтрирано 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 и 2606:4700:4700::1002. * ** Quad9 (Malware & Phishing Blocking + DNSSEC):** Примарен IPv4: 9.9.9.9 | Секундарна IPv4: 149.112.112.112. IPv6: 2620:fe::fe и 2620:fe::9. * Гугл јавен DNS: Примарен IPv4: 8.8.8.8 | Секундарна IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 и 2001:4860:4860::8844. 5. Повторно поврзете го WAN-кабелот и веднаш инсталирајте го најновото ажурирање на фирмверот на рутерот: ако моделот на вашиот рутер е минато од неговиот производител Крајот на животот (EoL) датум и повеќе не добива безбедносни закрпи (види Закрпи за итни случаи и изолација на уредот до крајот на животот), веднаш заменете го хардверот на рутерот, така што познатите незакрпени CVE не можат повторно да се експлоатираат утре.

Фаза 3: Чистење на отруен локален компјутер (Hosts Датотека, адаптер DNS и кеш флеш)¶

Откако ќе го обезбедите вашиот рутер (или ако само еден компјутер бил киднапиран), извршете ги овие точни команди за да го ресетирате мрежниот оџак на вашиот локален компјутер и да го исчистите секој кеширан отруен DNS запис:

1. Windows 10 / 11 Целосно ресетирање на DNS, домаќини, Winsock и кешот на прелистувачот¶

Отворете Командна линија како администратор (Win + X -> Terminal (Admin) / Command Prompt (Admin)) и стартувајте:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• Ако вашиот C:\Windows\System32\drivers\etc\hosts датотеката содржела неовластени линии за пренасочување: Отворете Бележник како администратор, отворете C:\Windows\System32\drivers\etc\hosts, избришете ја секоја некоментирана линија (чист стандарден Windows hosts датотеката има нула активни некоментирани линии и секоја линија за коментар започнува со #), зачувајте ја датотеката и стартувајте ipconfig /flushdns.
• ** Проверете дали има сертификати за Rogue Root (certmgr.msc):** Ако напаѓачот или локален малициозен софтвер инсталирал и лажен авторитет за коренски сертификати (CA) на вашиот компјутер за да можат да го пресретнат сообраќајот HTTPS без да активираат предупредувања од прелистувачот, притиснете Win + R, тип certmgr.msc, проширете Сертификациони органи за доверливи корени -> Сертификати, подредете по Issued By или Expiration Date, и избришете го секој непознат, самопотпишан корен сертификат што не го препознавате.

2. macOS и Linux Целосно ресетирање на DNS и испирање на кешот¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Исчистете го внатрешниот приклучок и DNS кешот на вашиот веб-прелистувач (Chrome, Edge, Brave, Firefox)¶

Критична замка: Современите веб-прелистувачи го одржуваат својот сопствен посебен внатрешен DNS кеш и отвораат базен на TCP socket целосно независно од ipconfig /flushdns. Дури и откако ќе го поправите вашиот рутер и ќе го стартувате ipconfig /flushdns, Chrome или Edge може да продолжат да ве испраќаат до IP адресата на напаѓачот уште 15 минути додека не го исчистите внатрешниот кеш на прелистувачот: 1. Во Chrome, Edge или Brave: * Тип chrome://net-internals/#dns (или edge://net-internals/#dns) во лентата за адреси и кликнете Clear host cache. * Веднаш кликнете Sockets во левата странична лента (chrome://net-internals/#sockets) и кликнете Flush socket pools (ова ги уништува сите активни постојани HTTP/2 или QUIC конекции кои сè уште се отворени за IP на напаѓачот). 2. Во Mozilla Firefox: * Тип about:networking#dns во лентата за адреси и кликнете Clear DNS Cache. 3. Во Apple Safari (macOS и iOS): * На macOS, отворете Safari -> Settings -> Advanced, проверете Show features for web developers, и кликнете Develop -> Empty Caches (Opt + Cmd + E), потоа откажете се и повторно стартувајте го Safari. * На iPhone или iPad, вклучете го **Airplane Mode ON за 5 секунди и назад ИСКЛУЧЕНО **, што го принудува iOS mDNSResponder веднаш да го исчистите целиот негов испарлив кеш на DNS без да ги избришете зачуваните најавувања на веб-локацијата.

Фаза 4: Овозможување шифриран DNS (DoH / DoT) за ниту еден рутер, хотел или интернет провајдер да не може повторно да го киднапира вашиот DNS¶

Зошто е традиционалниот DNS (UDP Port 53) толку е лесно за компромитиран домашен рутер, Wi-Fi во кафуле или интернет провајдер да шпионира и киднапира? Бидејќи стандардниот DNS е дизајниран во **1983 (RFC 882(DNS Spoofing).

Со овозможување DNS-over-HTTPS (DoH, RFC 8484) или DNS-over-TLS (DoT, RFC 7858), вашиот уред го обвиткува секое барање за DNS во криптографски потврден TLS 1.3 тунел директно до доверлив решавач (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, или NextDNS). Ако непријателски рутер или хотелски Wi-Fi се обиде да го смени одговорот, потписот TLS не успее и вашиот уред веднаш го отфрла фалсификат.

Како да овозможите шифриран DNS (DoH / DoT) Низ секој уред за 60 секунди¶

Најчесто поставувани прашања¶

Зошто ми се појави прелистувачот NET::ERR_CERT_AUTHORITY_INVALID на google.com или мојата банка кога DNS-от на мојот рутер беше киднапиран?¶

Таа грешка на прелистувачот всушност ве спаси од кражба на вашата сметка. Кога напаѓачот ги киднапира DNS поставките на вашиот рутер, тој ја менува IP адресата за `www.yourbank.com` така што вашиот компјутер се поврзува со веб-серверот на напаѓачот наместо со вашата вистинска банка. Меѓутоа, кога вашиот прелистувач иницира шифриран HTTPS (`TLS`) ракување со серверот на напаѓачот, серверот на напаѓачот не може да произведе валиден дигитален TLS сертификат криптографски потпишан од доверлив орган за сертификати за `yourbank.com`. Вашиот прелистувач веднаш ја прекинува врската и се прикажува `NET::ERR_CERT_AUTHORITY_INVALID`. Сè додека никогаш не кликнете на „Продолжи во секој случај“ и никогаш не инсталирате лажен коренски сертификат (`CA`) на вашиот уред, само киднапирањето DNS не може да дешифрира или измами веб-локација HTTPS заштитена со HSTS.

Како хакер ги промени поставките за DNS во мојот домашен Wi-Fi рутер без да ја знае мојата лозинка за Wi-Fi?¶

Напаѓачите не треба да бидат во опсегот на Wi-Fi од вашата куќа за да ги променат поставките за DNS на вашиот рутер. Тие користат два далечински методи: прво, автоматизирани ботови (`Shodan` / `Censys` скенери и ботнети) ја скенираат секоја јавна IP адреса на интернет барајќи домашни рутери кои имаат **Далечинско управување со веб (`WAN Admin`)** или **`UPnP`** остави отворено со познати пропусти на фирмверот. Второ, дури и ако WAN Admin е затворен, ако ја оставивте лозинката за внатрешна администрација на вашиот рутер фабрички стандардно (`admin / admin` или `admin / password`), кликнувањето на злонамерна реклама или веб-локација на вашиот лаптоп дозволува скриениот JavaScript во вашиот прелистувач да испрати **Барање меѓу страници за фалсификување (`CSRF`)** или **DNS Rebinding** барање директно од вашиот лаптоп до `http://192.168.1.1`, најавување на вашиот рутер одвнатре и препишување на вашите поставки за DNS тивко.

Ако овозможам шифриран DNS (DoH) во Chrome или Firefox, дали тоа ги штити другите апликации на мојот компјутер?¶

Овозможување безбеден DNS (`DoH`) во Chrome, Edge, Brave или Firefox ги шифрира и заштитува сите пребарувања за DNS направени **во тој специфичен веб-прелистувач**, што веднаш ги запира пренасочувањата за фишинг базирани на прелистувач и страниците за лажни ажурирања. Сепак, другите апликации во заднина на вашиот компјутер (како што се клиентот за е-пошта, Slack, игрите или ажурирачот на оперативниот систем) сè уште го користат DNS-разрешувачот на целиот систем на оперативниот систем, освен ако не конфигурирате и шифриран DNS на ниво на оперативен систем (преку Windows 11 Native DoH, Android Private DNS `DoT`, или потпишан macOS/iOS шифриран DNS профил) и поправете ги поставките за WAN/DHCP DNS на вашиот рутер.

Која е разликата помеѓу 1.1.1.1 (Cloudflare) и 9.9.9.9 (Quad9), а кој да го ставам во мојот рутер?¶

Двете се брзи, кои ја почитуваат приватноста и не следат глобални разрешувачи на anycast DNS, управувани од реномирани организации, и која било од нив ќе ве заштити од киднапирање на интернет провајдерот или непријателските рутери. Стандардна **`1.1.1.1`** (Cloudflare) и **`8.8.8.8`** (Google) враќа чисти, нефилтрирани DNS одговори за секој домен на интернет. **`9.9.9.9`** (управувана од непрофитната фондација Quad9) и **`1.1.1.2`** (Cloudflare за семејства - Блокирање на малициозен софтвер) автоматски го проверува секое пребарување на домен против глобалните информации за разузнавачки информации во реално време на познати веб-локации за фишинг, команда и контрола на откупниот софтвер (`C2`) сервери и домени на infostealer, блокирајќи ја врската во слојот DNS пред да може да се вчита злонамерната страница.

Поврзани водичи¶

• Обезбедување домашни рутери и IoT уреди
• Јавен Wi-Fi, Evil Twin hotspots и заштита од USB-juice-jacking
• Злонамерни екстензии на прелистувач, киднапери на таблата со исечоци и отстранување на рекламен софтвер
• Закрпи за итни случаи и изолација на уредот до крајот на животот
• Киднапирање на име на домен, истечен DNS и преземање веб-страница
• Глобални броеви за итни случаи

Проверени извори¶

• Агенција за сајбер-безбедност и инфраструктурна безбедност (CISA) и агенција за национална безбедност (NSA) (Соединети Американски Држави): Информативен лист за сајбер-безбедност (Избор на заштитна услуга DNS (PDNS) и Користење шифриран DNS DoH / DoT во Enterprise and Home Environments).
• Работна група за интернет инженерство (IETF) (меѓународен): RFC 7858 (Спецификација за DNS преку безбедност на транспортниот слој DoT), RFC 8484 (Прашања за DNS преку HTTPS DoH), и RFC 9462 (Откривање на назначени резолутори DDR).
• Советодавниот комитет за безбедност и стабилност на ICANN (SSAC) (меѓународен): Советодавно за нарушување на инфраструктурата на DNS, реконфигурација на рутер WAN и валидација на DNSSEC.
• Национален центар за сајбер безбедност (NCSC) (Обединето Кралство): Заштитна архитектура на DNS и ублажување на непријателските напади на DHCP и локална мрежа.