Router DNS-kaping, frauduleuze DHCP-servers en gecodeerd DNS (DoH/DoT) herstel¶

Elke keer dat u een websiteadres typt, zoals chase.com, google.com, of apple.com in uw browser vraagt uw apparaat om een Domain Name System (DNS) solver om die voor mensen leesbare naam te vertalen naar een numeriek IP-adres (142.250.190.46). Als een aanvaller stilletjes de instellingen van de primaire en secundaire DNS-server in uw Wi-Fi-router thuis of op kantoor wijzigt, een valse DHCP-server op uw lokale netwerk opstart, de verborgen ** van uw computer wijzigthosts bestand**, of uw vragen op een hotel- of luchthavennetwerk onderschept, beheren zij het telefoonboek van uw internet. Zelfs wanneer u de exacte, correct gespelde URL van uw bank, e-mailprovider of software-updateserver in de adresbalk typt, wordt een gekaapte DNS-server (DNSChanger, ghostDNS, ZuoRAT, of een plaatselijke dnsmasq spoofer) kan uw verbinding routeren naar een kwaadaardige, vergelijkbare server, voorkomen dat uw antivirussoftware dreigingsdefinities downloadt, of een valse pop-up 'Router Firmware Update / Chrome Critical Update' weergeven die een infostealer-trojan installeert.

Negeer plotselinge NET::ERR_CERT_AUTHORITY_INVALID waarschuwingen, onverwachte "Log in op Wi-Fi Network" captive portal pop-ups op uw eigen Wi-Fi thuis, of browseromleidingen bij het bezoeken van grote websites. Door te vergelijken wat uw momenteel toegewezen DNS-server retourneert met een vertrouwde gecodeerde oplosser (1.1.1.1, 8.8.8.8, of 9.9.9.9), het controleren van de WAN- en DHCP-instellingen van uw router, het leegmaken van de DNS-caches van het besturingssysteem en de browser, en het inschakelen van DNS-over-HTTPS (DoH) of DNS-over-TLS (DoT) kunt u DNS-kaping in minder dan 10 minuten uitroeien.

Doe dit nu¶

1. Klik NOOIT Advanced -> Proceed to [website] (unsafe) als uw browser plotseling een NET::ERR_CERT_AUTHORITY_INVALID of MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT waarschuwing op een grote bank-, e-mail- of cloudwebsite. Moderne HTTPS (TLS 1.3) en HTTP strikte transportbeveiliging (HSTS) zijn uw laatste verdedigingslinie wanneer uw DNS wordt gekaapt: de gekaapte DNS-server heeft uw browser naar het IP-adres van de aanvaller geleid, en uw browser heeft de leugen opgevangen omdat de server van de aanvaller niet over de echte cryptografische privésleutel van Google of Chase beschikt. Als u op 'Toch doorgaan' klikt, worden uw wachtwoorden en sessiecookies rechtstreeks aan de aanvaller overhandigd.
2. Download of voer NOOIT een "Browser Update.exe / .dmg" of typ uw Wi-Fi WPA2/WPA3-wachtwoord in een pop-up die plotseling verschijnt op uw Wi-Fi-netwerk thuis of op kantoor. Bij het kapen van malware (ghostDNS, Roaming Mantis) de WAN/DHCP DNS-servers van uw router verandert in een crimineel IP-adres, is de belangrijkste tactiek om elke HTTP-pagina die wordt geladen om te leiden naar een valse "Uw Google Chrome/Safari/Routerfirmware is verouderd"-pagina of een valse ISP-inlogportal.
3. Ren 10 seconden nslookup of dig vergelijkingstest in uw terminal nu om te zien of uw huidige DNS-server tegen u liegt. Open de opdrachtprompt of terminal en vergelijk nslookup google.com (die uw momenteel toegewezen router/OS DNS-server gebruikt) tegen nslookup google.com 1.1.1.1 (die Cloudflare rechtstreeks opvraagt). Als uw standaard DNS-server een vreemd openbaar IP-adres is dat zich in een ander land bevindt en dat u nooit hebt geconfigureerd, of geheel andere valse IP-adressen retourneert voor bank-/antivirusdomeinen, wordt uw DNS gekaapt.
4. Wijzig tijdelijk de DNS-instellingen van uw apparaat naar gecodeerde DNS (DoH / DoT op 1.1.1.1, 9.9.9.9, of 8.8.8.8) VOORDAT u zich aanmeldt bij uw router of wachtwoorden opnieuw instelt. Omdat DNS-over-HTTPS (DoH) verzendt alle domeinzoekopdrachten naar een gecodeerde TLS Port 443 tunnel rechtstreeks naar Cloudflare, Quad9 of Google, en als u DoH in uw browser of besturingssysteem inschakelt, wordt een gekaapte router of frauduleuze ISP-resolver onmiddellijk verblind, zodat u veilig toegang kunt krijgen tot echte websites en uw netwerk kunt opruimen.
5. Log in op uw thuis-/kantoorrouter via een bekabelde Ethernet-kabel (192.168.1.1 of 192.168.0.1), inspecteer zowel de WAN / Internet DNS EN LAN DHCP Server DNS velden, en als een van beide onbekende openbare IP-adressen bevat, voer dan een hardware 30-second Pin-Hole Factory Reset onmiddellijk. Malware die de DNS-instellingen van de router wijzigt, komt bijna altijd binnen via een blootgestelde Remote Web Management (WAN Admin) poort, een UPnP (Universele Plug and Play) poort-doorsturen-regel, of een standaard admin/admin wachtwoord (zie Beveiliging van thuisrouters en IoT-apparaten).
6. Controleer de lokale computer van uw computer hosts bestands- en proxy/PAC-instellingen (C:\Windows\System32\drivers\etc\hosts op Windows of /etc/hosts op macOS/Linux) en leeg de DNS-cache van uw besturingssysteem. Zelfs als uw router 100 procent schoon is, kunnen lokale adware of trojans op een enkele pc of Mac de DNS-resolutie lokaal overschrijven door IP-omleidingen in de hosts bestand of het instellen van een frauduleus Automatische proxyconfiguratie (PAC) URL in Windows Internet-opties.

flowchart TD
    A["Vermoedelijke DNS-kaping: Certificeringswaarschuwingen, nep-updatepop-ups of verkeerd laden van sites"] --> B["1. Schakel gecodeerde DNS (DoH) onmiddellijk in browser/besturingssysteem in om de vergiftigde solver te omzeilen"]
    B --> C["2. Voer Terminal Diagnostic uit: vergelijk 'nslookup example.com' met 'nslookup example.com 1.1.1.1'"]
    C --> D{"Zijn ALLE apparaten op de Wi-Fi getroffen, of slechts ÉÉN specifieke computer/telefoon?"}
    D -->|"Alle apparaten met wifi zijn getroffen"| E["Router WAN/DHCP Hijack of frauduleuze DHCP-server op LAN"]
    E --> F["Controleer de standaardgateway en DHCP-server-IP ('ipconfig /all'). Indien onbekende MAC/IP -> Isoleer het frauduleuze apparaat"]
    E --> G["Hardware Factory Reset Router -> Firmware bijwerken -> WAN Admin & UPnP uitschakelen -> Router DNS instellen op 1.1.1.1 / 9.9.9.9"]
    D -->|"Slechts EEN computer of telefoon getroffen"| H["Lokale apparaatkaping: inspecteer de statische DNS van de netwerkadapter, het hostbestand, het proxy/PAC-script en de browserextensies"]
    H --> I["Maak '/etc/hosts' of 'C:\\Windows\\System32\\drivers\\etc\\hosts' schoon, verwijder frauduleuze rootcertificaten en spoel de DNS-cache leeg"]

Diagnostische matrix: de 5 lagen waar DNS en netwerkroutering worden gekaapt¶

Wanneer een domeinnaam naar de verkeerde server wordt omgezet, vindt de kaping plaats op een van de vijf verschillende technische lagen in de resolutieketen. Gebruik deze tabel om vast te stellen welke laag is aangetast:

Fase 1: De 60 seconden durende opdrachtregel-DNS- en DHCP-forensische audit¶

Voordat u iets opnieuw instelt, opent u een terminal op uw computer en voert u deze exacte alleen-lezen opdrachten uit om bewijs vast te leggen van welke DNS-servers en DHCP-server uw machine momenteel gebruikt.

1. Windows 10 en Windows 11 (Command Prompt of PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• Hoe de uitvoer van stap 1 te lezen (ipconfig /all):
• Kijk naar DNS Servers. Normaal gesproken wordt hier het privé-LAN-IP-adres van uw thuisrouter weergegeven (192.168.1.1, 192.168.0.1, 10.0.0.1), een bekende openbare oplosser die u opzettelijk heeft ingesteld (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), of de regionale DNS-servers van uw echte breedband-ISP (verifieer onbekende IP-adressen op https://bgp.he.net of whois: als het IP-adres toebehoort aan een kogelvrije VPS-hostingprovider in een ander land dan aan uw ISP, is uw DNS vergiftigd).
• Kijk naar DHCP Server versus Default Gateway. Op 99 procent van de thuisnetwerken is de DHCP Server IP en de Default Gateway IP moet identiek zijn (bijvoorbeeld beide 192.168.1.1). Als ze verschillend zijn (en je hebt niet persoonlijk een Pi-hole- of Windows Server-domeincontroller gebouwd), heb je een frauduleuze DHCP-server op je lokale netwerk.

2. macOS en Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Een frauduleuze DHCP-server op uw lokale netwerk opsporen en isoleren¶

Wat als ipconfig /all (of ip route / networksetup -getinfo Wi-Fi) onthult dat uw computer de IP-lease- en DNS-instellingen heeft ontvangen van een onbekend lokaal IP-adres, zoals 192.168.1.142 in plaats van uw echte router (192.168.1.1)? 1. Identificeer onmiddellijk de hardware MAC-adres (Physical Address) en fabrikant van het frauduleuze apparaat (192.168.1.142) door uw ARP-tabel te inspecteren:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

Fase 2: Stapsgewijze uitroeiing van router-WAN/DHCP-kaping¶

Als uit uw audit in fase 1 is gebleken dat uw Wi-Fi-router kwaadaardige DNS-adressen uitdeelt (of dat de interne WAN DNS van uw router is gewijzigd), logt u eenvoudigweg in op de router en typt u 1.1.1.1 terug in de doos is niet genoeg. U moet eerst de kwetsbaarheid dichten waardoor de aanvaller uw router kon binnendringen:

Stap 1: Voer een hardwarematige fabrieksreset van 30 seconden uit op de router¶

Waarom een ​​volledige fabrieksreset in plaats van alleen het DNS-veld te bewerken? Omdat router-malware (ZuoRAT, VPNFilter, Cyclops Blink, Mirai varianten) voegt vaak verborgen toe iptables NAT-omleidingsregels (REDIRECT --to-ports 53), installeert een persistente cron-taak in /tmp of NVRAM, of schakelt verborgen externe SSH/Telnet-beheeraccounts in. 1. Koppel de WAN/Internet Ethernet-kabel van de router los (de kabel die afkomstig is van uw glasvezel-ONT- of kabelmodem), zodat de aanvaller geen nieuwe verbinding kan maken terwijl u deze aan het configureren bent. 2. Terwijl de router is ingeschakeld, houdt u de verzonken Reset pinhole-knop aan de achterkant van de router met een paperclip 15 tot 30 volle seconden ingedrukt totdat alle LED's op het voorpaneel tegelijkertijd knipperen. 3. Wacht 3 minuten totdat de router opnieuw is opgestart naar de schone fabrieksstatus, sluit vervolgens een schone computer aan via een Ethernet-kabel (of de fabrieksgegevens van de Wi-Fi-sticker) en log in 192.168.1.1 (of 192.168.0.1).

Stap 2: Vergrendel de 5 routerinstellingen die aanvallers misbruiken om DNS te kapen¶

Voordat u de WAN-/internetkabel weer aansluit, configureert u deze vijf verplichte instellingen in de beheerconsole van uw router (zie onze volledige handleiding over Beveiliging van thuisrouters en IoT-apparaten voor diepe verharding): 1. Stel een uniek routerbeheerderswachtwoord van meer dan 16 tekens in (NIET hetzelfde als uw Wi-Fi-wachtwoord): Laat de login voor het routerbeheer nooit achter als admin / admin of admin / password. Elke CSRF DNS-kaping-exploitkit op internet raadt automatisch de standaardgegevens wanneer u een kwaadaardige banneradvertentie in uw browser laadt. 2. Verifieer Remote Management / WAN Administration is strikt DISABLED: Kijk hieronder Advanced -> Administration -> Remote Management en zorg ervoor dat niemand op het openbare internet vanaf de WAN-kant toegang heeft tot de inlogpagina van uw router of SSH/Telnet-poorten. 3. Uitschakelen UPnP (Universele Plug and Play): Onder Advanced -> UPnP (of NAT Forwarding -> UPnP), schakel UPnP UIT. Malware op elk apparaat in uw huis maakt gebruik van UPnP (IGD SOAP-verzoeken) om uw router stil de opdracht te geven poorten te openen of WAN-doorstuurregels te wijzigen zonder wachtwoord. 4. Hardcode vertrouwde, malware-blokkerende DNS-servers (IPv4 EN IPv6) op de router: Ga naar Internet/WAN-instellingen -> DNS-server (en LAN -> DHCP-server) en schakel over van Automatisch ophalen van ISP naar Gebruik deze DNS-servers: * Wolkenvlam (1.1.1.1 for Families - Malware Blocking): Primaire IPv4: 1.1.1.2 | Secundaire IPv4: 1.0.0.2 (of standaard ongefilterd 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 en 2606:4700:4700::1002. * Quad9 (Malware & Phishing Blocking + DNSSEC): Primaire IPv4: 9.9.9.9 | Secundaire IPv4: 149.112.112.112. IPv6: 2620:fe::fe en 2620:fe::9. * Openbare DNS van Google: Primaire IPv4: 8.8.8.8 | Secundaire IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 en 2001:4860:4860::8844. 5. Sluit de WAN-kabel opnieuw aan en installeer onmiddellijk de nieuwste firmware-update voor de router: Als uw routermodel de fabrieksdatum heeft overschreden End-of-Life (EoL) datum en ontvangt geen beveiligingspatches meer (zie Zero-day-exploit-noodpatches en end-of-life-apparaatisolatie), vervang de routerhardware onmiddellijk, zodat bekende, niet-gepatchte CVE's morgen niet opnieuw kunnen worden geëxploiteerd.

Fase 3: Een vergiftigde lokale computer schoonmaken (Hosts Bestand, Adapter DNS en Cache Flush)¶

Nadat u uw router heeft beveiligd (of als slechts één computer is gekaapt), voert u deze exacte opdrachten uit om de netwerkstack van uw lokale computer opnieuw in te stellen en elk in de cache opgeslagen vergiftigde DNS-record te wissen:

1. Windows 10/11 Voltooi het opnieuw instellen van DNS, Hosts, Winsock en browsercache¶

Open Opdrachtprompt als beheerder (Win + X -> Terminal (Admin) / Command Prompt (Admin)) en voer uit:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• Als uw C:\Windows\System32\drivers\etc\hosts bestand bevatte ongeautoriseerde omleidingsregels: Open Kladblok als beheerder, open C:\Windows\System32\drivers\etc\hosts, verwijder elke regel zonder commentaar (een schone standaard Windows hosts bestand heeft nul actieve regels zonder commentaar, en elke commentaarregel begint met #), sla het bestand op en voer het uit ipconfig /flushdns.
• Controleer op frauduleuze rootcertificaten (certmgr.msc): Als een aanvaller of lokale malware ook een valse root-certificeringsinstantie (CA) op uw computer plaatsen, zodat ze HTTPS-verkeer kunnen onderscheppen zonder browserwaarschuwingen te activeren, drukt u op Win + R, typcertmgr.msc, vouw Vertrouwde basiscertificeringsinstanties -> Certificaten uit, sorteer op Issued By of Expiration Dateen verwijder alle onbekende, zelfondertekende basiscertificaten die u niet herkent.

2. macOS en Linux Voltooi DNS-reset en cache-flush¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Spoel de interne socket en DNS-cache van uw webbrowser leeg (Chrome, Edge, Brave, Firefox)¶

Kritische valkuil: Moderne webbrowsers onderhouden hun eigen afzonderlijke interne DNS-cache en open TCP-socketpool, volledig onafhankelijk van ipconfig /flushdns. Zelfs nadat u uw router hebt gerepareerd en uitgevoerd ipconfig /flushdns, Chrome of Edge kunnen u nog 15 minuten naar het IP-adres van de aanvaller sturen totdat u de interne cache van de browser wist: 1. In Chrome, Edge of Brave: * Typechrome://net-internals/#dns (of edge://net-internals/#dns) in de adresbalk en klik op Clear host cache. * Klik onmiddellijk op Sockets in de linkerzijbalk (chrome://net-internals/#sockets) en klik op Flush socket pools (Hiermee worden alle actieve persistente HTTP/2- of QUIC-verbindingen die nog openstaan ​​voor het IP-adres van de aanvaller uitgeschakeld). 2. In Mozilla Firefox: * Typeabout:networking#dns in de adresbalk en klik op Clear DNS Cache. 3. In Apple Safari (macOS en iOS): * Open op macOS Safari -> Instellingen -> Geavanceerd, vink ** aanShow features for web developers, en klik op Develop -> Empty Caches (Opt + Cmd + E), sluit vervolgens Safari af en start het opnieuw. Op iPhone of iPad schakelt u **Vliegtuigmus 5 seconden AAN en weer UIT, waardoor iOS wordt geforceerd mDNSResponder om de volledige vluchtige DNS-cache onmiddellijk te wissen zonder uw opgeslagen website-aanmeldingen te verwijderen.

Fase 4: Gecodeerde DNS inschakelen (DoH / DoT) zodat geen enkele router, hotel of ISP ooit uw DNS kan kapen¶

Waarom is traditionele DNS (UDP Port 53) zo gemakkelijk te bespioneren en te kapen voor een gecompromitteerde thuisrouter, wifi-netwerk in een café of ISP? Omdat standaard DNS is ontworpen in 1983 (RFC 882) zonder encryptie en zonder authenticatie: elke vraag gaat in platte tekst over de draad, en elk apparaat op het pad kan in minder dan een milliseconde een nep-UDP-antwoord vervalsen (DNS Spoofing).

Door DNS-over-HTTPS in te schakelen (DoH, RFC 8484) of DNS-over-TLS (DoT, RFC 7858), uw apparaat verpakt elke DNS-query in een cryptografisch geverifieerde TLS 1.3 tunnel rechtstreeks naar een vertrouwde oplosser (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, of NextDNS). Als een frauduleuze router of hotel-wifi het antwoord probeert te wijzigen, mislukt de TLS-handtekening en wijst uw apparaat de vervalsing onmiddellijk af.

Gecodeerde DNS inschakelen (DoH / DoT) Op elk apparaat in 60 seconden¶

Veelgestelde vragen¶

Waarom werd mijn browser weergegeven NET::ERR_CERT_AUTHORITY_INVALID op google.com of mijn bank toen de DNS van mijn router werd gekaapt?¶

Die browserfout heeft ervoor gezorgd dat uw account niet werd gestolen. Wanneer een aanvaller de DNS-instellingen van uw router kaapt, verandert hij het IP-adres `www.yourbank.com` zodat uw computer verbinding maakt met de webserver van de aanvaller in plaats van met uw echte bank. Wanneer uw browser echter een gecodeerde HTTPS (`TLS`) handshake met de server van de aanvaller, kan de server van de aanvaller geen geldig digitaal TLS-certificaat produceren dat cryptografisch is ondertekend door een vertrouwde certificeringsinstantie voor `yourbank.com`. Uw browser verbreekt onmiddellijk de verbinding en geeft weer `NET::ERR_CERT_AUTHORITY_INVALID`. Zolang u nooit op "Toch doorgaan" klikt en nooit een frauduleus rootcertificaat installeert (`CA`) op uw apparaat, kan DNS-kaping alleen een HSTS-beveiligde HTTPS-website niet ontsleutelen of vervalsen.

Hoe heeft een hacker de DNS-instellingen in mijn wifi-router thuis gewijzigd zonder mijn wifi-wachtwoord te kennen?¶

Aanvallers hoeven zich niet binnen het Wi-Fi-bereik van uw huis te bevinden om de DNS-instellingen van uw router te wijzigen. Ze gebruiken twee externe methoden: ten eerste geautomatiseerde bots (`Shodan` / `Censys` scanners en botnets) scannen elk openbaar IP-adres op internet op zoek naar thuisrouters met **Remote Web Management (`WAN Admin`)** of **`UPnP`** opengelaten met bekende kwetsbaarheden in de firmware. Ten tweede, zelfs als WAN Admin gesloten is, als u het interne beheerderswachtwoord van uw router op de fabrieksinstellingen hebt gelaten (`admin / admin` of `admin / password`), kunt u door op een kwaadaardige advertentie of website op uw laptop te klikken, verborgen JavaScript in uw browser toestaan ​​een **Cross-Site Request Forgery (`CSRF`)** of **DNS Rebinding** verzoek rechtstreeks vanaf uw laptop naar `http://192.168.1.1`, van binnenuit inloggen op uw router en stil uw DNS-instellingen herschrijven.

Als ik gecodeerde DNS inschakel (DoH) in Chrome of Firefox, beschermt dat de andere apps op mijn computer?¶

Veilige DNS inschakelen (`DoH`) in Chrome, Edge, Brave of Firefox codeert en beschermt alle DNS-zoekopdrachten **in die specifieke webbrowser**, waardoor browsergebaseerde phishing-omleidingen en nep-updatepagina's onmiddellijk worden gestopt. Andere achtergrondtoepassingen op uw computer (zoals uw e-mailclient, Slack, games of OS-updater) gebruiken echter nog steeds de systeembrede DNS-resolver van het besturingssysteem, tenzij u ook Encrypted DNS op besturingssysteemniveau configureert (via Windows 11 Native DoH, Android Private DNS `DoT`of een ondertekend macOS/iOS gecodeerd DNS-profiel) en corrigeer de WAN/DHCP DNS-instellingen van uw router.

Wat is het verschil tussen 1.1.1.1 (Wolkenvlam) en 9.9.9.9 (Quad9), en welke moet ik in mijn router plaatsen?¶

Beide zijn snelle, privacy-respecterende, niet-tracking wereldwijde anycast DNS-resolvers die worden beheerd door gerenommeerde organisaties, en beide zullen u beschermen tegen ISP- of frauduleuze router-kaping. Standaard **`1.1.1.1`** (Wolkenvlam) en **`8.8.8.8`** (Google) retourneert pure, ongefilterde DNS-antwoorden voor elk domein op internet. **`9.9.9.9`** (beheerd door de non-profit Quad9 Foundation) en **`1.1.1.2`** (Cloudflare for Families - Malware Blocking) vergelijkt automatisch elke domeinzoekopdracht met realtime wereldwijde dreigingsinformatiefeeds van bekende phishing-websites, ransomware command-and-control (`C2`)-servers en infostealer-domeinen, waardoor de verbinding op de DNS-laag wordt geblokkeerd voordat een kwaadaardige pagina zelfs maar kan worden geladen.

Gerelateerde handleidingen¶

• Beveiliging van thuisrouters en IoT-apparaten
• Openbare Wi-Fi, Evil Twin-hotspots en bescherming tegen USB-sap-jacking
• Schadelijke browserextensies, klembordkapers en verwijdering van adware
• Zero-day-exploit-noodpatches en end-of-life-apparaatisolatie
• Domeinnaamkaping, verlopen DNS en overname van websites
• Wereldwijde noodnummers

Bronnen gecontroleerd¶

• Cybersecurity and Infrastructure Security Agency (CISA) en National Security Agency (NSA) (Verenigde Staten): Cybersecurity-informatieblad (Een beschermende DNS-service (PDNS) selecteren en Gecodeerde DNS gebruiken DoH / DoT in bedrijfs- en thuisomgevingen).
• Internet Engineering Task Force (IETF) (internationaal): RFC 7858 (specificatie voor DNS via Transport Layer Security DoT), RFC 8484 (DNS-query's via HTTPS DoH) en RFC 9462 (Ontdekking van aangewezen resoluties DDR).
• ICANN Security and Stability Advisory Committee (SSAC) (internationaal): advies over geknoei met DNS-infrastructuur, herconfiguratie van router-WAN en DNSSEC-validatie.
• National Cyber ​​Security Center (NCSC) (Verenigd Koninkrijk): Beschermende DNS-architectuur en beperking van frauduleuze DHCP- en lokale netwerkspoofing-aanvallen.