Перехват DNS маршрутизатора, мошеннические DHCP-серверы и восстановление зашифрованного DNS (DoH/DoT)¶

Каждый раз, когда вы вводите адрес веб-сайта, например chase.com, google.com, или apple.com в браузер, ваше устройство запрашивает Систему доменных имен (DNS) преобразователь для преобразования этого удобочитаемого имени в числовой IP-адрес (142.250.190.46). Если злоумышленник незаметно меняет настройки основного и вторичного DNS-серверов внутри вашего домашнего или офисного Wi-Fi-маршрутизатора, запускает мошеннический DHCP-сервер в вашей локальной сети, изменяет скрытые ** данные вашего компьютера.hosts файл** или перехватывает ваши запросы в сети отеля или аэропорта, они контролируют телефонную книгу вашего Интернета. Даже когда вы вводите точный, правильно написанный URL-адрес вашего банка, поставщика электронной почты или сервера обновлений программного обеспечения в адресную строку, взломанный DNS-сервер (DNSChanger, ghostDNS, ZuoRATили местный житель dnsmasq спуфер) может направить ваше соединение на вредоносный сервер-двойник, заблокировать загрузку определений угроз вашим антивирусным программным обеспечением или отобразить поддельное всплывающее окно «Обновление прошивки маршрутизатора/Критическое обновление Chrome», которое устанавливает трояна-инфостилера.

Не игнорируйте внезапныеNET::ERR_CERT_AUTHORITY_INVALID предупреждения, неожиданные всплывающие окна «Войти в сеть Wi-Fi» на домашнем Wi-Fi или перенаправления браузера при посещении основных веб-сайтов. Сравнивая то, что ваш текущий назначенный DNS-сервер возвращает с доверенным зашифрованным преобразователем (1.1.1.1, 8.8.8.8, или 9.9.9.9), аудит настроек WAN и DHCP вашего маршрутизатора, очистку отравленных кэшей DNS ОС и браузера, а также включение DNS-over-HTTPS (DoH) или DNS-over-TLS (DoT), вы можете устранить перехват DNS менее чем за 10 минут.

Сделай это сейчас¶

1. НИКОГДА не нажимайте Advanced -> Proceed to [website] (unsafe) если ваш браузер внезапно отображает NET::ERR_CERT_AUTHORITY_INVALID или MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT предупреждение в крупном банке, по электронной почте или на облачном веб-сайте. Современный HTTPS (TLS 1.3) и строгая транспортная безопасность HTTP (HSTS) являются вашей последней линией защиты в случае взлома вашего DNS: взломанный DNS-сервер направил ваш браузер на IP-адрес злоумышленника, и ваш браузер уловил ложь, потому что сервер злоумышленника не имеет подлинного криптографического закрытого ключа Google или Chase. Нажатие кнопки «Продолжить в любом случае» передает ваши пароли и файлы cookie сеанса прямо злоумышленнику.
2. НИКОГДА не загружайте и не запускайте "Browser Update.exe / .dmg" или введите свой пароль Wi-Fi WPA2/WPA3 во всплывающем окне, которое внезапно появится в домашней или офисной сети Wi-Fi. При взломе маршрутизатора вредоносным ПО (ghostDNS, Roaming Mantis) изменяет DNS-серверы WAN/DHCP вашего маршрутизатора на преступный IP-адрес, его тактика №1 , перенаправлять каждую загрузку HTTP-страницы на поддельную страницу "Ваша прошивка Google Chrome/Safari/маршрутизатора устарела" или поддельный портал входа в Интернет-провайдер.
3. **Пробегите 10 секунд nslookup или dig сравнительный тест в вашем терминале прямо сейчас, чтобы увидеть, врет ли вам ваш текущий DNS-сервер. ** Откройте командную строку или терминал и сравните nslookup google.com (который использует DNS-сервер вашего текущего маршрутизатора/ОС) против nslookup google.com 1.1.1.1 (который напрямую запрашивает Cloudflare). Если ваш DNS-сервер по умолчанию представляет собой странный общедоступный IP-адрес, расположенный в другой стране, который вы никогда не настраивали, или возвращает совершенно другие поддельные IP-адреса для банковских/антивирусных доменов, ваш DNS взломан.
4. Временно переопределите настройки DNS вашего устройства на зашифрованный DNS (DoH / DoT на 1.1.1.1, 9.9.9.9, или 8.8.8.8) ПЕРЕД входом в маршрутизатор или сбросом паролей. Потому что DNS-over-HTTPS (DoH) отправляет все поисковые запросы по домену в зашифрованном виде. TLS Port 443 туннелируйте напрямую к Cloudflare, Quad9 или Google, включение DoH в вашем браузере или ОС немедленно ослепляет взломанный маршрутизатор или мошеннический преобразователь интернет-провайдера, поэтому вы можете безопасно получить доступ к реальным веб-сайтам и очистить свою сеть.
5. Войдите в домашний/офисный маршрутизатор через проводной кабель Ethernet (192.168.1.1 или 192.168.0.1), проверьте оба WAN / Internet DNS И LAN DHCP Server DNS поля, и если какое-либо из них содержит незнакомые общедоступные IP-адреса, выполните аппаратное 30-second Pin-Hole Factory Reset немедленно. Вредоносное ПО, изменяющее настройки DNS маршрутизатора, почти всегда проникает через открытый Remote Web Management (WAN Admin) порт, UPnP (Universal Plug and Play) правило переадресации портов или значение по умолчанию. admin/admin пароль (см. Защита домашних маршрутизаторов и устройств Интернета вещей).
6. Проверьте локальную сеть вашего компьютера hosts настройки файла и прокси/PAC (C:\Windows\System32\drivers\etc\hosts в Windows или /etc/hosts на macOS/Linux) и очистите кэш DNS вашей ОС. Даже если ваш маршрутизатор на 100 процентов чист, локальное рекламное ПО или трояны на одном ПК или Mac могут локально переопределить разрешение DNS, внедрив IP-перенаправления в hosts файл или установка мошеннической автоматической конфигурации прокси (PAC) URL в свойствах Интернета Windows.

flowchart TD
    A["Подозрение на перехват DNS: предупреждения о сертификатах, всплывающие окна с поддельными обновлениями или неправильная загрузка сайтов"] --> B["1. Немедленно включите зашифрованный DNS (DoH) в браузере/ОС, чтобы обойти отравленный преобразователь."]
    B --> C["2. Запустите диагностику терминала: сравните «nslookup example.com» и «nslookup example.com 1.1.1.1»."]
    C --> D{"Затрагиваются ли ВСЕ устройства в сети Wi-Fi или только ОДИН конкретный компьютер/телефон?"}
    D -->|"Затронуты все устройства, подключенные к Wi-Fi."| E["Взлом WAN/DHCP маршрутизатора или мошеннический DHCP-сервер в локальной сети"]
    E --> F["Проверьте шлюз по умолчанию и IP-адрес DHCP-сервера («ipconfig /all»). Если незнакомый MAC/IP -> Изолировать постороннее устройство"]
    E --> G["Аппаратный сброс маршрутизатора до заводских настроек -> Обновить прошивку -> Отключить администрирование WAN и UPnP -> Установить DNS маршрутизатора на 1.1.1.1 / 9.9.9.9"]
    D -->|"Затронут только ОДИН компьютер или телефон"| H["Взлом локального устройства: проверка статического DNS сетевого адаптера, файла хостов, прокси/PAC-скриптов и расширений браузера"]
    H --> I["Очистите «/etc/hosts» или «C:\\Windows\\System32\\drivers\\etc\\hosts», удалите несанкционированные корневые сертификаты и очистите кеш DNS."]

Диагностическая матрица: 5 уровней, на которых происходит перехват DNS и сетевой маршрутизации¶

Когда доменное имя разрешается на неправильном сервере, захват происходит на одном из пяти различных технических уровней в цепочке разрешения. Используйте эту таблицу, чтобы определить, какой слой скомпрометирован:

Этап 1. 60-секундный криминалистический аудит DNS и DHCP с использованием командной строки¶

Прежде чем что-либо сбрасывать, откройте терминал на своем компьютере и запустите эти точные команды только для чтения, чтобы получить данные о том, какие DNS-серверы и DHCP-серверы в настоящее время используются вашим компьютером.

1. Windows 10 и Windows 11 (Command Prompt или PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• Как прочитать выходные данные шага 1 (ipconfig /all):
• Посмотрите DNS Servers. Обычно здесь отображается частный IP-адрес локальной сети вашего домашнего маршрутизатора (192.168.1.1, 192.168.0.1, 10.0.0.1), известный общедоступный преобразователь, который вы намеренно установили (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222) или региональные DNS-серверы вашего подлинного широкополосного интернет-провайдера (проверьте любой незнакомый IP-адрес по адресу https://bgp.he.net или whois: если IP-адрес принадлежит надежному провайдеру VPS-хостинга в другой стране, а не вашему интернет-провайдеру, ваш DNS отравлен).
• Посмотрите DHCP Server против. Default Gateway. В 99 процентах домашних сетей DHCP Server ИП и Default Gateway IP-адрес должен быть идентичным (например, оба 192.168.1.1). Если они разные (и вы лично не создавали контроллер домена Pi-hole или Windows Server), у вас в локальной сети есть мошеннический DHCP-сервер.

2. macOS и Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Выявление и изоляция мошеннического DHCP-сервера в вашей локальной сети¶

Что, если ipconfig /all (или ip route / networksetup -getinfo Wi-Fi) показывает, что ваш компьютер получил аренду IP-адреса и настройки DNS с незнакомого локального IP-адреса, например 192.168.1.142 вместо вашего настоящего роутера (192.168.1.1)? 1. Немедленно определите MAC-адрес оборудования (Physical Address) и производитель поддельного устройства (192.168.1.142), проверив таблицу ARP:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

Этап 2. Пошаговое устранение перехвата WAN/DHCP маршрутизатора¶

Если ваш аудит на этапе 1 показал, что ваш маршрутизатор Wi-Fi раздает вредоносные DNS-адреса (или что внутренний DNS WAN вашего маршрутизатора был изменен), просто войдите в маршрутизатор и наберите 1.1.1.1 обратно в коробку недостаточно. В первую очередь вы должны закрыть уязвимость, которая позволила злоумышленнику проникнуть в ваш маршрутизатор:

Шаг 1. Выполните аппаратный 30-секундный сброс настроек маршрутизатора¶

Почему полный сброс настроек вместо простого редактирования поля DNS? Поскольку вредоносное ПО маршрутизатора (ZuoRAT, VPNFilter, Cyclops Blink, Mirai варианты) часто добавляет скрытые iptables Правила перенаправления NAT (REDIRECT --to-ports 53), устанавливает постоянное задание cron в /tmp или NVRAM, или включает скрытые учетные записи удаленного управления SSH/Telnet. 1. Отсоедините кабель WAN/Интернет-Ethernet маршрутизатора (кабель, идущий от оптоволоконного ONT или кабельного модема), чтобы злоумышленник не смог повторно подключиться, пока вы его настраиваете. 2. Включив маршрутизатор, нажмите и удерживайте утопленную кнопку Кнопку сброса на задней панели маршрутизатора с помощью скрепки для бумаг в течение 15-30 полных секунд, пока все светодиоды на передней панели не мигнут одновременно. 3. Подождите 3 минуты, пока маршрутизатор перезагрузится в чистое заводское состояние, затем подключите чистый компьютер через кабель Ethernet (или с помощью заводской наклейки Wi-Fi) и войдите в систему. 192.168.1.1 (или 192.168.0.1).

Шаг 2. Заблокируйте 5 настроек маршрутизатора, которые злоумышленники используют для перехвата DNS¶

Прежде чем снова подключить кабель WAN/Интернет, настройте эти пять обязательных параметров в консоли администрирования вашего маршрутизатора (см. наше полное руководство по Защита домашних маршрутизаторов и устройств Интернета вещей для глубокой закалки): 1. Установите уникальный пароль администратора маршрутизатора длиной более 16 символов (НЕ совпадает с паролем Wi-Fi): Никогда не оставляйте логин администратора маршрутизатора как admin / admin или admin / password. Каждый набор эксплойтов CSRF для перехвата DNS в Интернете автоматически угадывает учетные данные по умолчанию, когда вы загружаете вредоносный рекламный баннер в свой браузер. 2. Проверять Remote Management / WAN Administration строго DISABLED: Посмотрите ниже Advanced -> Administration -> Remote Management и убедитесь, что никто в общедоступном Интернете не может получить доступ к странице входа в систему вашего маршрутизатора или портам SSH/Telnet со стороны WAN. 3. Отключить UPnP (Универсальный Plug and Play): Под Advanced -> UPnP (или NAT Forwarding -> UPnP), выключите UPnP ВЫКЛ. Вредоносное ПО на любом устройстве в вашем доме использует UPnP (IGD SOAP-запросы), чтобы молча дать команду маршрутизатору открыть порты или изменить правила переадресации WAN без пароля. 4. Надежные DNS-серверы с жесткой блокировкой вредоносного ПО (IPv4 И IPv6) на маршрутизаторе: Перейдите в Настройка Интернета/ГВС -> DNS-сервер (и LAN -> DHCP-сервер) и переключитесь с Получить автоматически от интернет-провайдера на Использовать эти DNS-серверы: * Облачное сияние (1.1.1.1 for Families - Malware Blocking): Первичный IPv4: 1.1.1.2 | Вторичный IPv4: 1.0.0.2 (или стандартное нефильтрованное 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 и 2606:4700:4700::1002. * Quad9 (Malware & Phishing Blocking + DNSSEC): Первичный IPv4: 9.9.9.9 | Вторичный IPv4: 149.112.112.112. IPv6: 2620:fe::fe и 2620:fe::9. * Публичный DNS Google: Основной IPv4: 8.8.8.8 | Вторичный IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 и 2001:4860:4860::8844. 5. Повторно подключите кабель WAN и немедленно установите последнее обновление прошивки маршрутизатора: Если модель вашего маршрутизатора вышла из-под контроля производителя Окончание срока службы (EoL) дату и больше не получает исправлений безопасности (см. Аварийное исправление уязвимостей нулевого дня и изоляция устройств по окончании срока службы.), немедленно замените оборудование маршрутизатора, чтобы известные неисправленные CVE нельзя было повторно использовать завтра.

Этап 3. Очистка отравленного локального компьютера (Hosts Файл, DNS-адаптер и очистка кэша)¶

После защиты вашего маршрутизатора (или если был взломан только один компьютер) выполните следующие команды, чтобы сбросить сетевой стек вашего локального компьютера и очистить каждую кэшированную отравленную запись DNS:

1. Windows 10/11: полный сброс DNS, хостов, Winsock и кэша браузера.¶

Откройте Командную строку от имени администратора (Win + X -> Terminal (Admin) / Command Prompt (Admin)) и запустите:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• Если ваш C:\Windows\System32\drivers\etc\hosts файл содержал строки несанкционированного перенаправления: Откройте Блокнот от имени администратора, откройте C:\Windows\System32\drivers\etc\hosts, удалите все строки без комментариев (чистая версия Windows по умолчанию). hosts файл имеет ноль активных некомментированных строк, и каждая строка комментария начинается с #), сохраните файл и запустите ipconfig /flushdns.
• Проверьте наличие несанкционированных корневых сертификатов (certmgr.msc): Если злоумышленник или локальное вредоносное ПО также установили поддельный корневой центр сертификации (CA) на свой компьютер, чтобы они могли перехватывать HTTPS-трафик, не вызывая предупреждений браузера, нажмите Win + R, тип certmgr.msc, разверните Доверенные корневые центры сертификации -> Сертификаты, отсортируйте по Issued By или Expiration Dateи удалите все незнакомые самозаверяющие корневые сертификаты, которые вы не узнаете.

2. macOS и Linux: полный сброс DNS и очистка кэша.¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Очистите внутренний сокет и DNS-кэш вашего веб-браузера (Chrome, Edge, Brave, Firefox)¶

Критическая ловушка: Современные веб-браузеры поддерживают свой собственный отдельный внутренний кэш DNS и открытый пул сокетов TCP полностью независимо от ipconfig /flushdns. Даже после того, как вы почините маршрутизатор и запустите ipconfig /flushdns, Chrome или Edge могут отправлять вас на IP-адрес злоумышленника еще 15 минут, пока вы не очистите внутренний кеш браузера: 1. В Chrome, Edge или Brave: * Тип chrome://net-internals/#dns (или edge://net-internals/#dns) в адресную строку и нажмите Clear host cache. * Сразу нажмите Sockets на левой боковой панели (chrome://net-internals/#sockets) и нажмите Flush socket pools (при этом уничтожаются все активные постоянные соединения HTTP/2 или QUIC, которые все еще открыты для IP-адреса злоумышленника). 2. В Mozilla Firefox: * Тип about:networking#dns в адресную строку и нажмите Clear DNS Cache. 3. В Apple Safari (macOS и iOS): * В macOS откройте Safari -> Настройки -> Дополнительно, установите флажок Show features for web developers и нажмите Develop -> Empty Caches (Opt + Cmd + E), затем закройте и перезапустите Safari. * На iPhone или iPad переключите Режим полета в положение «ВКЛ» на 5 секунд, а затем снова ВЫКЛЮЧИТЕ, что заставит iOS mDNSResponder чтобы немедленно очистить весь нестабильный кэш DNS, не удаляя сохраненные логины на веб-сайте.

Этап 4. Включение зашифрованного DNS (DoH / DoT), поэтому ни один маршрутизатор, отель или интернет-провайдер никогда больше не сможет взломать ваш DNS.¶

Почему традиционный DNS (UDP Port 53) так легко взломанному домашнему маршрутизатору, Wi-Fi в кафе или интернет-провайдеру шпионить и взломать? Поскольку стандартный DNS был разработан в 1983 году (RFC 882) с нулевым шифрованием и нулевой аутентификацией: каждый запрос передается по сети в виде обычного текста, и любое устройство на пути может подделать поддельный ответ UDP менее чем за миллисекунду (DNS Spoofing).

Включив DNS-over-HTTPS (DoH, RFC 8484) или DNS-over-TLS (DoT, RFC 7858) ваше устройство заключает каждый DNS-запрос в криптографически проверенный TLS 1.3 туннелируйте напрямую к доверенному преобразователю (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, или NextDNS). Если несанкционированный маршрутизатор или Wi-Fi в отеле попытается изменить ответ, подпись TLS не удастся, и ваше устройство немедленно отклонит подделку.

Как включить зашифрованный DNS (DoH / DoT) На каждом устройстве за 60 секунд¶

Часто задаваемые вопросы¶

Почему мой браузер показывал NET::ERR_CERT_AUTHORITY_INVALID на google.com или мой банк, когда DNS моего маршрутизатора был взломан?¶

Эта ошибка браузера фактически спасла вас от кражи вашего аккаунта. Когда злоумышленник взламывает настройки DNS вашего маршрутизатора, он меняет IP-адрес на `www.yourbank.com` поэтому ваш компьютер подключается к веб-серверу злоумышленника, а не к вашему реальному банку. Однако когда ваш браузер инициирует зашифрованный HTTPS (`TLS`) рукопожатие с сервером злоумышленника, сервер злоумышленника не может создать действительный цифровой сертификат TLS, криптографически подписанный доверенным центром сертификации для `yourbank.com`. Ваш браузер немедленно прерывает соединение и отображает `NET::ERR_CERT_AUTHORITY_INVALID`. Пока вы никогда не нажимаете «Все равно продолжить» и никогда не устанавливаете мошеннический корневой сертификат (`CA`) на ваше устройство, только перехват DNS не может расшифровать или подделать веб-сайт HTTPS, защищенный HSTS.

Как хакер изменил настройки DNS внутри моего домашнего Wi-Fi-маршрутизатора, не зная моего пароля Wi-Fi?¶

Злоумышленникам не обязательно находиться в зоне действия Wi-Fi вашего дома, чтобы изменить настройки DNS вашего маршрутизатора. Они используют два удаленных метода: во-первых, автоматизированные боты (`Shodan` / `Censys` сканеры и ботнеты) сканируют каждый общедоступный IP-адрес в Интернете в поисках домашних маршрутизаторов с функцией **Удаленного веб-управления (`WAN Admin`)** или **`UPnP`** оставлен открытым с известными уязвимостями прошивки. Во-вторых, даже если администратор WAN закрыт, если вы оставили пароль внутреннего администрирования вашего маршрутизатора по умолчанию (`admin / admin` или `admin / password`), щелчок по вредоносной рекламе или веб-сайту на вашем ноутбуке позволяет скрытому JavaScript в вашем браузере отправить **подделку межсайтового запроса (`CSRF`)** или **Перепривязка DNS** запросите прямо с вашего ноутбука на `http://192.168.1.1`, войдя в свой маршрутизатор изнутри и автоматически переписав настройки DNS.

Если я включу зашифрованный DNS (DoH) в Chrome или Firefox, защищает ли это другие приложения на моем компьютере?¶

Включение безопасного DNS (`DoH`) внутри Chrome, Edge, Brave или Firefox шифрует и защищает все запросы DNS, выполняемые **внутри этого конкретного веб-браузера**, что немедленно останавливает фишинговые перенаправления на основе браузера и поддельные страницы обновлений. Однако другие фоновые приложения на вашем компьютере (например, почтовый клиент, Slack, игры или средство обновления ОС) по-прежнему используют общесистемный преобразователь DNS операционной системы, если вы также не настроите зашифрованный DNS на уровне операционной системы (через Windows 11 Native DoH, Android Private DNS). `DoT`или подписанный профиль зашифрованного DNS macOS/iOS) и исправьте настройки DNS WAN/DHCP вашего маршрутизатора.

В чем разница между 1.1.1.1 (Облачное сияние) и 9.9.9.9 (Quad9), а какой мне поставить в роутер?¶

Оба являются быстрыми, соблюдающими конфиденциальность и не отслеживающими глобальные DNS-преобразователи произвольной рассылки, управляемые авторитетными организациями, и любой из них защитит вас от взлома интернет-провайдерами или несанкционированными маршрутизаторами. Стандарт **`1.1.1.1`** (Cloudflare) и **`8.8.8.8`** (Google) возвращает чистые, нефильтрованные ответы DNS для каждого домена в Интернете. **`9.9.9.9`** (управляется некоммерческой организацией Quad9 Foundation) и **`1.1.1.2`** (Cloudflare for Families , блокировка вредоносных программ) автоматически перепроверяет каждый поиск домена по глобальным каналам разведки об угрозах известных фишинговых веб-сайтов в реальном времени, системе управления программами-вымогателями (`C2`) серверы и домены информационных воров, блокируя соединение на уровне DNS еще до того, как вредоносная страница сможет загрузиться.

Связанные руководства¶

• Защита домашних маршрутизаторов и устройств Интернета вещей
• Общественный Wi-Fi, точки доступа Evil Twin и защита от USB-подключения
• Вредоносные расширения браузера, угонщики буфера обмена и удаление рекламного ПО
• Аварийное исправление уязвимостей нулевого дня и изоляция устройств по окончании срока службы.
• Взлом доменного имени, просроченный DNS и захват веб-сайта
• Глобальные номера экстренных служб

Источники проверены¶

• Агентство кибербезопасности и безопасности инфраструктуры (CISA) и Агентство национальной безопасности (АНБ) (США): Информационный листок по кибербезопасности (Выбор службы защитного DNS (PDNS) и Использование зашифрованного DNS DoH / DoT на предприятии и в домашних условиях).
• Инженерная группа Интернета (IETF) (международная): RFC 7858 (спецификация DNS поверх безопасности транспортного уровня). DoT), RFC 8484 (DNS-запросы через HTTPS DoH) и RFC 9462 (Обнаружение назначенных резольверов). DDR).
• Консультативный комитет ICANN по безопасности и стабильности (SSAC) (международный): консультации по вопросам взлома инфраструктуры DNS, реконфигурации глобальной сети маршрутизатора и проверки DNSSEC.
• Национальный центр кибербезопасности (NCSC) (Великобритания): Защитная архитектура DNS и смягчение несанкционированных атак DHCP и спуфинга в локальной сети.