Únos DNS smerovača, nečestné servery DHCP a obnova šifrovaného DNS (DoH/DoT).¶

Zakaždým, keď zadáte adresu webovej stránky, ako je chase.com, google.com, alebo apple.com do vášho prehliadača sa vaše zariadenie spýta Domain Name System (DNS) resolver na preklad tohto ľudsky čitateľného názvu na číselnú IP adresu (142.250.190.46). Ak útočník potichu zmení nastavenia primárneho a sekundárneho servera DNS vo vašom domácom alebo kancelárskom smerovači Wi-Fi, spustí nečestný server DHCP vo vašej lokálnej sieti, upraví skryté hosts súbor, alebo zachytí vaše otázky v hotelovej alebo letiskovej sieti, ovládajú telefónny zoznam vášho internetu. Dokonca aj keď do panela s adresou zadáte presnú, správne napísanú adresu URL svojej banky, poskytovateľa e-mailu alebo servera na aktualizáciu softvéru, ukradnutý server DNS (DNSChanger, ghostDNS, ZuoRAT, alebo miestny dnsmasq spoofer) môže nasmerovať vaše pripojenie na škodlivý server, zablokovať váš antivírusový softvér v sťahovaní definícií hrozieb alebo zobraziť falošné vyskakovacie okno „Aktualizácia firmvéru smerovača / kritická aktualizácia Chrome“, ktoré nainštaluje trójsky kôň infostealer.

Neignorujte náhle NET::ERR_CERT_AUTHORITY_INVALID upozornenia, neočakávané vyskakovacie okná portálu na prihlásenie do siete Wi-Fi na vašej domácej sieti Wi-Fi alebo presmerovania prehliadača pri návšteve veľkých webových stránok. Porovnaním toho, čo vracia váš aktuálne priradený server DNS s dôveryhodným šifrovaným prekladačom (1.1.1.1, 8.8.8.8, alebo 9.9.9.9), auditovanie nastavení WAN a DHCP vášho smerovača, vyprázdnenie otrávených vyrovnávacích pamätí DNS operačného systému a prehliadača a povolenie DNS-over-HTTPS (DoH) alebo DNS-over-TLS (DoT), môžete odstrániť únos DNS za menej ako 10 minút.

Urobte to teraz¶

1. NIKDY neklikajte Advanced -> Proceed to [website] (unsafe) ak váš prehliadač náhle zobrazí a NET::ERR_CERT_AUTHORITY_INVALID alebo MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT varovanie na webovej stránke veľkej banky, e-mailu alebo cloudu. Moderné HTTPS (TLS 1.3) a HTTP Strict Transport Security (HSTS) sú vašou poslednou obrannou líniou, keď je váš DNS unesený: unesený DNS server nasmeroval váš prehliadač na útočníkovu IP adresu a váš prehliadač zachytil lož, pretože útočníkov server nemá skutočný kryptografický súkromný kľúč Google alebo Chase. Kliknutím na „Aj tak pokračovať“ odovzdá vaše heslá a súbory cookie relácie priamo útočníkovi.
2. NIKDY nesťahujte ani nespúšťajte a "Browser Update.exe / .dmg" alebo zadajte svoje heslo WPA2/WPA3 siete Wi-Fi do kontextového okna, ktoré sa náhle zobrazí na vašej domácej alebo kancelárskej sieti Wi-Fi. Keď malvér znášajúci smerovač (ghostDNS, Roaming Mantis) zmení servery DNS WAN/DHCP vášho smerovača na kriminálnu IP adresu, jeho taktikou číslo 1 je presmerovať každé načítanie stránky HTTP na falošnú stránku „Firmvér vášho prehliadača Google Chrome / Safari / smerovač je zastaraný“ alebo falošný prihlasovací portál ISP.
3. Spustiť 10 sekúnd nslookup alebo dig porovnávací test vo vašom termináli práve teraz, aby ste zistili, či vás váš aktuálny server DNS klame. Otvorte príkazový riadok alebo terminál a porovnajte nslookup google.com (ktorý používa váš aktuálne priradený server DNS smerovača/OS) proti nslookup google.com 1.1.1.1 (ktorý sa priamo pýta na Cloudflare). Ak je váš predvolený server DNS podivná verejná adresa IP nachádzajúca sa v inej krajine, ktorú ste nikdy nenakonfigurovali, alebo vracia úplne iné falošné adresy IP pre bankové/antivírusové domény, váš DNS bude unesený.
4. ** Dočasne prepíšte nastavenia DNS vášho zariadenia na šifrované DNS (DoH / DoT na 1.1.1.1, 9.9.9.9, alebo 8.8.8.8) PRED prihlásením do smerovača alebo resetovaním hesiel.** Pretože DNS-over-HTTPS (DoH) posiela všetky vyhľadávania domén v zašifrovanom TLS Port 443 tunelovať priamo do Cloudflare, Quad9 alebo Google, zapnutím DoH vo vašom prehliadači alebo operačnom systéme okamžite oslepíte unesený router alebo nepoctivý ISP resolver, takže môžete bezpečne pristupovať k skutočným webovým stránkam a vyčistiť svoju sieť.
5. ** Prihláste sa do svojho domáceho/kancelárskeho smerovača pomocou káblového ethernetového kábla (192.168.1.1 alebo 192.168.0.1), skontrolujte obe WAN / Internet DNS A LAN DHCP Server DNS polia a ak niektorá z nich obsahuje neznáme verejné IP adresy, vykonajte hardvér 30-second Pin-Hole Factory Reset okamžite.** Škodlivý softvér, ktorý mení nastavenia DNS smerovača, sa takmer vždy dostane cez nekrytý Remote Web Management (WAN Admin) prístav, UPnP (Universal Plug and Play) pravidlo presmerovania portov alebo predvolené admin/admin heslo (viď Zabezpečenie domácich smerovačov a zariadení internetu vecí).
6. Skontrolujte miestne nastavenie počítača hosts súbor a nastavenia proxy/PAC (C:\Windows\System32\drivers\etc\hosts v systéme Windows alebo /etc/hosts na macOS/Linux) a vyprázdnite vyrovnávaciu pamäť DNS vášho operačného systému. Aj keď je váš smerovač 100-percentne čistý, lokálny adware alebo trójske kone na jednom PC alebo Mac môžu prepísať rozlíšenie DNS lokálne vložením presmerovaní IP do hosts súbor alebo nastavenie nečestnej Automatická konfigurácia proxy (PAC) URL v Možnosti siete Windows.

flowchart TD
    A["Podozrenie na únos DNS: varovania certifikátu, falošné kontextové okná aktualizácie alebo načítanie nesprávnych stránok"] --> B["1. Okamžite povoľte šifrované DNS (DoH) v prehliadači / OS, aby ste obišli otrávený resolver"]
    B --> C["2. Spustite diagnostiku terminálu: Porovnajte „nslookup example.com“ a „nslookup example.com 1.1.1.1“"]
    C --> D{"Sú ovplyvnené VŠETKY zariadenia na Wi-Fi alebo iba JEDEN konkrétny počítač/telefón?"}
    D -->|"Ovplyvnené sú všetky zariadenia na Wi-Fi"| E["Router WAN/DHCP Hijack alebo Rogue DHCP Server v sieti LAN"]
    E --> F["Skontrolujte IP adresu predvolenej brány a servera DHCP ('ipconfig /all'). Ak nepoznáte MAC/IP -> Isolate Rogue Device"]
    E --> G["Hardware Factory Reset Router -> Update Firmware -> Disable WAN Admin & UPnP -> Set Router DNS to 1.1.1.1 / 9.9.9.9"]
    D -->|"Ovplyvnený iba JEDEN počítač alebo telefón"| H["Únos lokálneho zariadenia: Skontrolujte statický DNS sieťového adaptéra, súbor hostiteľov, skript proxy/PAC a rozšírenia prehliadača"]
    H --> I["Vyčistite „/etc/hosts“ alebo „C:\\Windows\\System32\\drivers\\etc\\hosts“, odstráňte nečestné koreňové certifikáty a vyprázdnite vyrovnávaciu pamäť DNS"]

Diagnostická matica: 5 vrstiev, kde sú DNS a sieťové smerovanie unesené¶

Keď sa názov domény preloží na nesprávny server, k únosu dôjde na jednej z piatich odlišných technických vrstiev v reťazci riešenia. Pomocou tejto tabuľky môžete určiť, ktorá vrstva je napadnutá:

Fáza 1: 60-sekundový forenzný audit DNS a DHCP príkazového riadka¶

Predtým, ako čokoľvek resetujete, otvorte na svojom počítači terminál a spustite tieto presné príkazy iba na čítanie, aby ste získali dôkaz o tom, aké servery DNS a DHCP váš počítač momentálne používa.

1. Windows 10 a Windows 11 (Command Prompt alebo PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• Ako čítať výstup z kroku 1 (ipconfig /all):
• Pozri DNS Servers. Normálne to zobrazuje buď súkromnú IP LAN vášho domáceho smerovača (192.168.1.1, 192.168.0.1, 10.0.0.1), známy verejný nástroj na riešenie problémov, ktorý ste zámerne nastavili (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), alebo regionálne servery DNS vášho pravého širokopásmového ISP (overte akúkoľvek neznámu IP na https://bgp.he.net alebo whois: ak IP patrí nepriestrelnému poskytovateľovi hostingu VPS v inej krajine a nie vášmu ISP, váš DNS je otrávený).
• Pozri DHCP Server vs.Default Gateway. Na 99 percentách domácich sietí je DHCP Server IP a Default Gateway IP musí byť identická (napr. obe 192.168.1.1). Ak sú odlišné (a nevytvorili ste osobne radič domény Pi-hole alebo Windows Server), máte vo svojej lokálnej sieti podvodný server DHCP.

2. macOS a Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Vyhľadanie a izolácia nečestného DHCP servera vo vašej lokálnej sieti¶

Čo keby ipconfig /all (alebo ip route / networksetup -getinfo Wi-Fi) odhaľuje, že váš počítač prijal nastavenia prenájmu IP a DNS z neznámej lokálnej adresy IP, napr 192.168.1.142 namiesto vášho skutočného smerovača (192.168.1.1)? 1. Okamžite identifikujte hardvér Adresa MAC (Physical Address) a výrobca nečestného zariadenia (192.168.1.142) kontrolou tabuľky ARP:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

Fáza 2: Postupné odstraňovanie únosu WAN/DHCP smerovača¶

Ak váš audit vo fáze 1 dokázal, že váš smerovač Wi-Fi rozdáva škodlivé adresy DNS (alebo že interný WAN DNS vášho smerovača bol upravený), jednoducho sa prihláste do smerovača a zadajte 1.1.1.1 späť do krabice nestačí. Najprv musíte odstrániť zraniteľnosť, ktorá umožnila útočníkovi preniknúť do vášho smerovača:

Krok 1: Vykonajte 30-sekundový hardvérový reset na továrenské nastavenie na smerovači¶

Prečo úplné obnovenie továrenských nastavení namiesto úpravy poľa DNS? Pretože malvér smerovača (ZuoRAT, VPNFilter, Cyclops Blink, Mirai varianty) často pridáva skryté iptables pravidlá presmerovania NAT (REDIRECT --to-ports 53), nainštaluje trvalú úlohu cron /tmp alebo NVRAM, alebo povoľuje skryté účty na vzdialenú správu SSH/Telnet. 1. Odpojte WAN/internetový ethernetový kábel smerovača (kábel pochádzajúci z vášho optického ONT alebo káblového modemu), aby sa útočník nemohol znova pripojiť, kým ho konfigurujete. 2. Keď je smerovač zapnutý, stlačte a podržte zapustené tlačidlo Reset dierky na zadnej strane smerovača pomocou kancelárskej sponky na 15 až 30 celých sekúnd, kým všetky LED diódy na prednom paneli nezablikajú súčasne. 3. Počkajte 3 minúty, kým sa smerovač reštartuje do stavu z výroby, potom pripojte čistý počítač pomocou ethernetového kábla (alebo prihlasovacích údajov nálepky Wi-Fi z výroby) a prihláste sa do 192.168.1.1 (alebo 192.168.0.1).

Krok 2: Uzamknite 5 nastavení smerovača, ktoré útočníci využívajú na únos DNS¶

Pred opätovným pripojením kábla WAN/internetu nakonfigurujte týchto päť povinných nastavení v konzole na správu smerovača (pozrite si našu úplnú príručku na Zabezpečenie domácich smerovačov a zariadení internetu vecí pre hlboké kalenie): 1. Nastavte si jedinečné heslo správcu smerovača s viac ako 16 znakmi (NIE je rovnaké ako vaše heslo Wi-Fi): Nikdy nenechávajte prihlasovacie údaje pre správu smerovača ako admin / admin alebo admin / password. Každá súprava na zneužitie CSRF DNS na webe automaticky uhádne predvolené poverenia, keď do prehliadača načítate škodlivú bannerovú reklamu. 2. ** Overiť Remote Management / WAN Administration je Striktne DISABLED:** Pozri sa dole Advanced -> Administration -> Remote Management a uistite sa, že nikto na verejnom internete nemá prístup k prihlasovacej stránke smerovača alebo k portom SSH/Telnet zo strany WAN. 3. Zakázať UPnP (Universal Plug and Play): Pod Advanced -> UPnP (alebo NAT Forwarding -> UPnP), vypnite UPnP OFF. Škodlivý softvér na akomkoľvek zariadení vo vašom dome používa UPnP (IGD požiadavky SOAP) na tichý príkaz smerovača, aby otvoril porty alebo zmenil pravidlá presmerovania WAN bez hesla. 4. Dôveryhodné servery DNS s pevným kódom, ktoré blokujú škodlivý softvér (IPv4 A IPv6) na smerovači: Prejdite na Nastavenie internetu / WAN -> Server DNS (a LAN -> Server DHCP) a prepnite z Automaticky získať od ISP na Použiť tieto servery DNS: * Cloudflare (1.1.1.1 for Families - Malware Blocking): Primárna IPv4: 1.1.1.2 | Sekundárny IPv4: 1.0.0.2 (alebo štandardne nefiltrované 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 a 2606:4700:4700::1002. * Quad9 (Malware & Phishing Blocking + DNSSEC): Primárna IPv4: 9.9.9.9 | Sekundárny IPv4: 149.112.112.112. IPv6: 2620:fe::fe a 2620:fe::9. * Verejné DNS spoločnosti Google: Primárna IPv4: 8.8.8.8 | Sekundárny IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 a 2001:4860:4860::8844. 5. Znova pripojte kábel WAN a okamžite nainštalujte najnovšiu aktualizáciu firmvéru smerovača: Ak váš model smerovača už nie je výrobcom Koniec životnosti (EoL) dátum a už nedostáva bezpečnostné záplaty (pozri Zero-day využíva núdzové opravy a izoláciu zariadení na konci životnosti), okamžite vymeňte hardvér smerovača, aby nebolo možné zajtra znova využiť známe CVE bez záplaty.

Fáza 3: Čistenie otráveného lokálneho počítača (Hosts Súbor, DNS adaptéra a vyprázdnenie vyrovnávacej pamäte)¶

Po zabezpečení smerovača (alebo ak bol unesený iba jeden počítač) spustite tieto presné príkazy, aby ste resetovali sieťový zásobník miestneho počítača a vyprázdnili každý otrávený záznam DNS z vyrovnávacej pamäte:

1. Windows 10/11 dokončite resetovanie DNS, hostiteľov, Winsock a vyrovnávacej pamäte prehliadača¶

Otvorte Príkazový riadok ako správca (Win + X -> Terminal (Admin) / Command Prompt (Admin)) a spustite:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• Ak váš C:\Windows\System32\drivers\etc\hosts súbor obsahoval riadky neoprávneného presmerovania: Otvorte Poznámkový blok ako správca, otvorte C:\Windows\System32\drivers\etc\hosts, odstráňte každý nekomentovaný riadok (čisté predvolené Windows hosts súbor má nula aktívnych nekomentovaných riadkov a každý riadok komentára začína na #), uložte súbor a spustite ipconfig /flushdns.
• Vyhľadajte Rogue Root Certificates (certmgr.msc): Ak útočník alebo miestny malvér nainštaloval aj falošnú koreňovú certifikačnú autoritu (CA) do vášho počítača, aby mohli zachytiť prenos HTTPS bez spustenia upozornení prehliadača, stlačte Win + R, napíš certmgr.msc, rozbaľte Dôveryhodné koreňové certifikačné autority -> Certifikáty, zoraďte podľa Issued By alebo Expiration Datea odstráňte akýkoľvek neznámy koreňový certifikát s vlastným podpisom, ktorý nepoznáte.

2. macOS a Linux Kompletné resetovanie DNS a vyprázdnenie vyrovnávacej pamäte¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Vyprázdnite internú zásuvku a vyrovnávaciu pamäť DNS vášho webového prehliadača (Chrome, Edge, Brave, Firefox)¶

Kritická pasca: Moderné webové prehliadače si udržiavajú svoju vlastnú samostatnú internú vyrovnávaciu pamäť DNS a otvorený fond soketov TCP úplne nezávisle od ipconfig /flushdns. Dokonca aj vtedy, keď opravíte smerovač a spustíte ipconfig /flushdns, Chrome alebo Edge vás môžu posielať na adresu IP útočníka ďalších 15 minút, kým nevymažete internú vyrovnávaciu pamäť prehliadača: 1. V prehliadači Chrome, Edge alebo Brave: * Typ chrome://net-internals/#dns (príp edge://net-internals/#dns) do panela s adresou a kliknite na Clear host cache. * Okamžite kliknite Sockets na ľavom bočnom paneli (chrome://net-internals/#sockets) a kliknite na Flush socket pools (týmto sa zastavia všetky aktívne trvalé pripojenia HTTP/2 alebo QUIC, ktoré sú stále otvorené pre adresu IP útočníka). 2. V prehliadači Mozilla Firefox: * Typ about:networking#dns do panela s adresou a kliknite na Clear DNS Cache. 3. V Apple Safari (macOS a iOS): * V systéme macOS otvorte Safari -> Nastavenia -> Rozšírené, zaškrtnite Show features for web developers a kliknite na Develop -> Empty Caches (Opt + Cmd + E), potom ukončite a znova spustite Safari. * Na iPhone alebo iPade prepnite Režim v lietadle na ZAPNUTÝ na 5 sekúnd a späť na VYPNUTÝ, čo prinúti iOS mDNSResponder aby ste okamžite vyčistili celú svoju nestabilnú vyrovnávaciu pamäť DNS bez odstránenia uložených prihlásení na web.

Fáza 4: Povolenie šifrovaného DNS (DoH / DoT), takže žiadny smerovač, hotel alebo ISP už nikdy nemôže uniesť váš DNS¶

Prečo je tradičný DNS (UDP Port 53) tak jednoduché, aby ich mohol ohrozený domáci router, kaviarenská Wi-Fi alebo ISP špehovať a uniesť? Pretože štandardný DNS bol navrhnutý v 1983 (RFC 882) s nulovým šifrovaním a nulovou autentifikáciou: každý dopyt prechádza po drôte vo forme obyčajného textu a akékoľvek zariadenie na ceste môže vytvoriť falošnú odpoveď UDP za menej ako milisekundu (DNS Spoofing).

Povolením DNS-over-HTTPS (DoH, RFC 8484) alebo DNS-over-TLS (DoT, RFC 7858), vaše zariadenie zabalí každý dopyt DNS do kryptograficky overeného TLS 1.3 tunelovať priamo do dôveryhodného prekladača (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, alebo NextDNS). Ak sa nečestný smerovač alebo hotelová sieť Wi-Fi pokúsi zmeniť odpoveď, podpis TLS zlyhá a vaše zariadenie falšovanie okamžite odmietne.

Ako povoliť šifrované DNS (DoH / DoT) Naprieč každým zariadením za 60 sekúnd¶

Často kladené otázky¶

Prečo sa môj prehliadač zobrazil NET::ERR_CERT_AUTHORITY_INVALID na google.com alebo moja banka, keď bol unesený DNS smerovača?¶

Táto chyba prehliadača vás skutočne zachránila pred odcudzením účtu. Keď útočník unesie nastavenia DNS vášho smerovača, zmení IP adresu pre `www.yourbank.com` takže váš počítač sa pripojí k webovému serveru útočníka namiesto vašej skutočnej banky. Keď však váš prehliadač spustí šifrovaný protokol HTTPS (`TLS`) handshake so serverom útočníka, server útočníka nemôže vytvoriť platný digitálny certifikát TLS kryptograficky podpísaný dôveryhodnou certifikačnou autoritou pre `yourbank.com`. Váš prehliadač okamžite zastaví pripojenie a zobrazí `NET::ERR_CERT_AUTHORITY_INVALID`. Pokiaľ nikdy nekliknete na „Aj tak pokračovať“ a nikdy nenainštalujete podvodný koreňový certifikát (`CA`) do vášho zariadenia, samotné únosy DNS nedokážu dešifrovať ani sfalšovať webovú stránku HTTPS chránenú HSTS.

Ako hacker zmenil nastavenia DNS v mojom domácom smerovači Wi-Fi bez toho, aby poznal moje heslo Wi-Fi?¶

Útočníci nemusia byť v dosahu Wi-Fi vášho domu, aby mohli zmeniť nastavenia DNS vášho smerovača. Používajú dve vzdialené metódy: po prvé, automatizované roboty (`Shodan` / `Censys` skenery a botnety) skenujú každú verejnú IP adresu na internete a hľadajú domáce smerovače, ktoré majú **Vzdialenú webovú správu (`WAN Admin`)** alebo **`UPnP`** ponechané otvorené so známymi chybami zabezpečenia firmvéru. Po druhé, aj keď je WAN Admin zatvorený, ak ste ponechali interné správcovské heslo smerovača v predvolenom nastavení z výroby (`admin / admin` alebo `admin / password`), kliknutím na škodlivú reklamu alebo webovú stránku na svojom notebooku umožníte skrytému JavaScriptu vo vašom prehliadači odoslať **Sfalšovanie požiadavky medzi stránkami (`CSRF`)** alebo **DNS Rebinding** žiadosť priamo z vášho notebooku na `http://192.168.1.1`, prihlásite sa zvnútra do smerovača a v tichosti prepíšete nastavenia DNS.

Ak povolím šifrované DNS (DoH) v prehliadači Chrome alebo Firefox, chráni to ostatné aplikácie v mojom počítači?¶

Povolenie zabezpečeného DNS (`DoH`) v prehliadačoch Chrome, Edge, Brave alebo Firefox šifruje a chráni všetky vyhľadávania DNS uskutočnené **v tomto konkrétnom webovom prehliadači**, čo okamžite zastaví presmerovania phishingu založené na prehliadači a falošné aktualizačné stránky. Iné aplikácie na pozadí vo vašom počítači (napríklad váš e-mailový klient, Slack, hry alebo aktualizátor OS) však stále používajú prekladač DNS pre celý operačný systém, pokiaľ nenakonfigurujete aj šifrovaný DNS na úrovni operačného systému (cez Windows 11 Native DoH, Android Private DNS `DoT`alebo podpísaný profil šifrovaného DNS systému macOS/iOS) a opravte nastavenia WAN/DHCP DNS smerovača.

Aký je rozdiel medzi 1.1.1.1 (Cloudflare) a 9.9.9.9 (Quad9) a ktorý z nich mám vložiť do smerovača?¶

Obidva sú rýchle, súkromie rešpektujúce a nesledujúce globálne prekladače DNS Anycast prevádzkované renomovanými organizáciami a každý z nich vás ochráni pred ISP alebo napadnutím nečestného smerovača. štandard **`1.1.1.1`** (Cloudflare) a **`8.8.8.8`** (Google) vracia čisté, nefiltrované odpovede DNS pre každú doménu na internete. **`9.9.9.9`** (prevádzkuje nezisková nadácia Quad9 Foundation) a **`1.1.1.2`** (Cloudflare for Families - Blokovanie škodlivého softvéru) automaticky krížovo skontroluje každé vyhľadávanie domény v porovnaní s globálnymi informačnými kanálmi o hrozbách v reálnom čase známych phishingových webových stránok, príkazmi a ovládaním ransomvéru (`C2`) servery a domény infostealer, ktoré blokujú pripojenie na vrstve DNS ešte predtým, ako sa môže načítať škodlivá stránka.

Súvisiaci sprievodcovia¶

• Zabezpečenie domácich smerovačov a zariadení internetu vecí
• Verejné Wi-Fi, prístupové body Evil Twin a ochrana proti výpadku USB
• Škodlivé rozšírenia prehliadača, únoscovia schránky a odstránenie adwaru
• Zero-day využíva núdzové opravy a izoláciu zariadení na konci životnosti
• Únos názvu domény, vypršaný DNS a prevzatie webových stránok
• Globálne tiesňové čísla

Zdroje skontrolované¶

• Agentúra pre kybernetickú bezpečnosť a bezpečnosť infraštruktúry (CISA) a Národná bezpečnostná agentúra (NSA) (Spojené štáty): Informačný list kybernetickej bezpečnosti (Výber ochrannej služby DNS (PDNS) a Používanie šifrovaného DNS DoH / DoT v podnikových a domácich prostrediach).
• Internet Engineering Task Force (IETF) (medzinárodná): RFC 7858 (špecifikácia pre DNS over Transport Layer Security DoT), RFC 8484 (DNS dotazy cez HTTPS DoH) a RFC 9462 (Discovery of Designated Resolvers DDR).
• Poradný výbor pre bezpečnosť a stabilitu ICANN (SSAC) (medzinárodný): Poradenstvo v oblasti narušenia infraštruktúry DNS, rekonfigurácie smerovača WAN a validácie DNSSEC.
• Národné centrum kybernetickej bezpečnosti (NCSC) (Spojené kráľovstvo): Ochranná architektúra DNS a zmiernenie nečestných útokov DHCP a falšovania miestnej siete.