Router DNS ogurlamak, Rogue DHCP serwerleri we şifrlenen DNS (DoH / DoT) dikeldişi¶

Her gezek web sahypasynyň adresini ýazanyňyzda chase.com, google.com, ýa-da apple.com brauzeriňize, enjamyňyz ** Domen ady ulgamyny soraýar (DNS) çözüji ** adam okalýan ady san IP adresine terjime etmek üçin (142.250.190.46). Eger bir hüjümçi öýüňiziň ýa-da ofisiňiziň Wi-Fi marşrutizatorynyň içindäki Başlangyç we Ikinji DNS serwer sazlamalaryny ýuwaşlyk bilen üýtgedýän bolsa, ýerli ulgamyňyzda ** gödek DHCP serwerini aýlasa, kompýuteriňiziň gizlenen ** üýtgeder **hosts faýl **, ýa-da soraglaryňyzy myhmanhanada ýa-da howa menzilinde saklaýar, internetiňiziň telefon kitabyna gözegçilik edýärler. Hatda bankyňyzyň, e-poçta üpjün edijiňiziň ýa-da programma üpjünçiliginiň täzelenme serweriniň takyk, dogry ýazylan URL-ni salgy salgysyna, ogurlanan DNS serwerine ýazanyňyzda (DNSChanger, ghostDNS, ZuoRATýa-da ýerli dnsmasq spoofer) baglanyşygyňyzy zyýanly görnüşli serwere ugrukdyryp biler, wirusa garşy programma üpjünçiligiňizi howp kesgitlemelerini göçürip bilmez ýa-da infostealer trojany gurýan galp "Router Firmware Update / Chrome Critical Update" popup görkezip biler.

Duýdansyz üns bermäň NET::ERR_CERT_AUTHORITY_INVALID duýduryşlar, garaşylmadyk "Wi-Fi tora giriň" portal portallary öz öýüňizdäki Wi-Fi ýa-da esasy web sahypalaryna gireniňizde brauzer gönükdirýär. Häzirki wagtda bellenen DNS serweriňiziň ygtybarly şifrlenen çözüjä garşy gelýänini deňeşdirip (1.1.1.1, 8.8.8.8, ýa-da 9.9.9.9), marşrutizatoryňyzyň WAN we DHCP sazlamalaryny barlamak, zäherlenen OS we brauzer DNS keşlerini ýuwmak we ** DNS-over-HTTPS açmak (DoH) ** ýa-da ** DNS-over-TLS (DoT) **, 10 minutyň içinde DNS ogurlamagyny ýok edip bilersiňiz.

Indi et¶

1. ** Hiç haçan basmaň Advanced -> Proceed to [website] (unsafe) brauzeriňiz birden a NET::ERR_CERT_AUTHORITY_INVALID ýa-da MOZILLA_PKIX_ERROR_SELF_SIGNED_CERT esasy bankda, e-poçta ýa-da bulut web sahypasynda duýduryş. ** Häzirki zaman HTTPS (TLS 1.3) we HTTP berk ulag howpsuzlygy (HSTS) DNS ogurlananda iň soňky gorag setiriňiz: ogurlanan DNS serweri brauzeriňizi hüjümçiniň IP adresine ugrukdyrdy, hüjümçiniň serweri Google ýa-da Chase-iň hakyky kriptografiki açaryny saklamaýandygy sebäpli brauzeriňiz ýalan sözledi. "Her niçigem bolsa dowam et" düwmesine bassaňyz, parollaryňyzy we sessiýa gutapjyklaryny göni hüjümçä berýär.
2. ** Hiç haçan göçürip almaň ýa-da işletmäň "Browser Update.exe / .dmg" ýa-da Wi-Fi WPA2 / WPA3 parolyňyzy öýüňizde ýa-da ofisiňizde duýdansyz peýda bolýan açylýan ýere ýazyň. ** Router-ogurlaýan zyýanly programma üpjünçiligi (ghostDNS, Roaming Mantis) marşrutizatoryňyzyň WAN / DHCP DNS serwerlerini jenaýat IP adresine üýtgedýär, onuň 1-nji taktikasy, her HTTP sahypa ýüküni galp ** gönükdirmekdir "" Google Chrome / Safari / Router Programma üpjünçiligi köne "** sahypasy ýa-da ýasama ISP giriş portaly.
3. ** 10 sekunt işlediň nslookup ýa-da dig häzirki DNS serweriňiziň size ýalan sözleýändigini ýa-da ýokdugyny anyklamak üçin şu wagt terminalyňyzda deňeşdirme synagy. ** Command Prompt ýa-da Terminaly açyň we deňeşdiriň nslookup google.com (häzirki bellenen marşrutizatoryňyzy / OS DNS serwerini ulanýar) garşy nslookup google.com 1.1.1.1 (“Cloudflare” -ni gönüden-göni soraýar). Adaty DNS serweriňiz, hiç wagt düzmedik başga bir ýurtda ýerleşýän ýa-da bank / wirusa garşy domenler üçin düýbünden başga IP-leri yzyna gaýtarýan geň IP adresi bolsa, DNS-iňiz ogurlanýar.
4. ** Enjamyňyzyň DNS sazlamalaryny şifrlenen DNS-e wagtlaýyn ýok ediň (DoH / DoT üstünde 1.1.1.1, 9.9.9.9, ýa-da 8.8.8.8) Routeriňize girmezden ýa-da parollary täzeden düzmezden ozal. ** Sebäbi DNS-over-HTTPS (DoH) ähli domen gözleglerini kodlanan içinde iberýär TLS Port 443 göni “Cloudflare”, “Quad9” ýa-da “Google” -a tunel, brauzeriňizde ýa-da OS-da DoH açsaňyz, hakyky web sahypalaryna arkaýyn girip we toruňyzy arassalap bilersiňiz, ogurlanan marşrutizatory ýa-da ISP çözüjisini derrew kör edýär.
5. ** Öý / ofis marşrutizatoryňyza simli Ethernet kabeli arkaly giriň (192.168.1.1 ýa-da 192.168.0.1), ikisini hem barlaň WAN / Internet DNS WE LAN DHCP Server DNS meýdanlary, ýa-da nätanyş köpçülige açyk IP adresleri bar bolsa, apparat üpjünçiligini ýerine ýetiriň 30-second Pin-Hole Factory Reset derrew. ** marşrutizator DNS sazlamalaryny üýtgedýän zyýanly programma üpjünçiligi elmydama açyk ** arkaly girýär Remote Web Management (WAN Admin) port, a **UPnP (Univershliumumy Plug we Play) ** port ugradyş düzgüni ýa-da deslapky admin/admin parol (ser Öý marşrutizatorlaryny we IoT enjamlaryny goramak).
6. ** Kompýuteriňiziň ýerli ýerini barlaň hosts faýl we proksi / PAC sazlamalary (C:\Windows\System32\drivers\etc\hosts Windows-da ýa-da /etc/hosts macOS / Linux-da) we OS DNS keş keşdäňizi ýuwuň. ** Routeriňiz 100 göterim arassa bolsa-da, bir kompýuterde ýa-da Mac-da ýerli mahabat programmalary ýa-da trojanlar, IP gönükdirmelerini sanjym edip ýerli DNS çözgüdini ýok edip biler. hosts faýl ýa-da gödek bir sazlamak ** Awtomatiki proksi konfigurasiýasy (PAC) Windows Internet opsiýalarynda URL **.

flowchart TD
    A["DNS ogurlamakda güman edilýän: Şahadatnamalar, galp täzelenmeler, ýa-da nädogry saýtlar ýüklenýär"] --> B["1. Zäherlenen çözüjini derrew aýlamak üçin brauzerde / OS-da şifrlenen DNS-i (DoH) açyň."]
    B --> C["2. Terminal diagnostikasyny işlediň: 'nslookup example.com' vs 'nslookup example.com 1.1.1.1' bilen deňeşdiriň."]
    C --> D{"Wi-Fi-daky ähli enjamlara täsir edilýärmi ýa-da diňe BIR kompýuter / telefon?"}
    D -->|"Wi-Fi-daky ähli enjamlar täsir etdi"| E["RAN WAN / DHCP ogurlamak ýa-da LAN-daky Rogue DHCP serweri"]
    E --> F["Bellenen şlýuz we DHCP serwer IP-i barlaň ('ipconfig / all'). Nätanyş MAC / IP -> Rogue enjamyny izolirläň"]
    E --> G["Enjam zawody täzeden düzmek marşrutizatory -> Programma üpjünçiligini täzeläň -> WAN administratoryny öçüriň & UPnP -> Router DNS-i 1.1.1.1 / 9.9.9.9 edip düzüň"]
    D -->|"Diňe BIR kompýuter ýa-da telefon täsir etdi"| H["Deviceerli enjamyň ogurlanmagy: Tor adapteriniň statiki DNS-i, host faýly, proksi / PAC skripti we brauzer giňeltmelerini barlaň"]
    H --> I["'/ Etc / host' ýa-da 'C: \\ Windows \\ System32 \\ sürüjiler \\ etc \\ hostlary' arassalaň, kök kök sertlerini aýyryň we DNS keşini ýuwuň"]

Diagnostiki matrisa: DNS we tor marşruty ogurlanan 5 gatlak¶

Domen ady nädogry serwere çözülende, garakçylyk çözgüt zynjyrynyň bäş aýratyn tehniki gatlagynyň birinde bolup geçýär. Haýsy gatlagyň bozulýandygyny kesgitlemek üçin şu tablisany ulanyň:

1-nji etap: 60 sekuntlyk buýruk setiri DNS & DHCP kazyýet işi¶

Haýsydyr bir zady täzeden başlamazdan ozal, kompýuteriňizde terminal açyň we DNS serwerleriniň we DHCP serweriňiziň häzirki wagtda ulanýan zatlarynyň subutnamalaryny almak üçin diňe okalýan buýruklary işlediň.

1. Windows 10 we Windows 11 (Command Prompt ýa-da PowerShell)¶

# 1. Inspect your active Default Gateway, DHCP Server IP, and configured DNS Servers:
ipconfig /all

# 2. Check if any non-commented IP redirect lines exist in your local Windows hosts file:
findstr /V "^#" "%SystemRoot%\System32\drivers\etc\hosts" | findstr /V "^$"

# 3. Check if a rogue Proxy Server or Automatic Configuration Script (PAC) is hijacking browser traffic:
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyServer
reg query "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL

# 4. Compare what your current default DNS server returns vs. Quad9 (9.9.9.9) and Cloudflare (1.1.1.1):
nslookup www.microsoft.com
nslookup www.microsoft.com 9.9.9.9

• ** 1-nji ädimiň çykyşyny nädip okamaly (ipconfig /all): **
• ** serediňDNS Servers**. Adatça, bu öý marşrutizatoryňyzyň şahsy LAN IP-sini görkezýär (192.168.1.1, 192.168.0.1, 10.0.0.1), bilgeşleýin bellän meşhur jemgyýetçilik çözgüdiňiz (1.1.1.1, 1.0.0.1, 8.8.8.8, 8.8.4.4, 9.9.9.9, 208.67.222.222), ýa-da hakyky giň zolakly ISP-iň sebit DNS serwerleri (nätanyş IP-ni -de barlaňhttps://bgp.he.net ýa-da whois: eger IP ISP däl-de, başga bir ýurtda ok geçirmeýän VPS hosting üpjün edijisine degişli bolsa, DNS zäherlenýär).
• ** serediňDHCP Server** vs. Default Gateway. Öý torlarynyň 99 göteriminde DHCP Server IP we Default Gateway IP ** birmeňzeş ** bolmaly (meselem, ikisi 192.168.1.1). Başgaça bolsa (we “Pi-deşik” ýa-da “Windows Server” domen dolandyryjysyny özüňiz gurmadyňyz), ýerli ulgamyňyzda gödek DHCP serweri bar.

2. MacOS & Linux (Terminal)¶

# 1. On macOS: Display all active DNS resolvers, search domains, and interface bindings:
scutil --dns | grep -E "nameserver|domain|interface"

#    On Linux (systemd-resolved / NetworkManager):
resolvectl status

# 2. Inspect the local /etc/hosts file for unauthorized redirects (anything other than 127.0.0.1 localhost / ::1):
grep -v '^#' /etc/hosts | grep -v '^$'

# 3. On macOS: Check if a malicious Web Proxy or PAC Auto-Config script is enabled on Wi-Fi:
networksetup -getwebproxy Wi-Fi
networksetup -getsecurewebproxy Wi-Fi
networksetup -getautoproxyurl Wi-Fi

# 4. Compare DNS answers and check DNSSEC authentication (ad flag) using dig:
dig www.google.com
dig @1.1.1.1 www.google.com +dnssec

3. Aw awlamak we ýerli ulgamyňyzda Rogue DHCP serwerini izolirlemek¶

Näme bolsa? ipconfig /all (ýa-da ip route / networksetup -getinfo Wi-Fi) kompýuteriňiziň IP kärendesini we DNS sazlamalaryny nätanyş ýerli IP adresinden alandygyny görkezýär 192.168.1.142 hakyky marşrutizatoryňyzyň ýerine (192.168.1.1)? 1. Enjamy derrew kesgitläň ** MAC Salgysy (Physical Address) ** we gödek enjamyň öndürijisi (192.168.1.142) ARP tablisaňyzy barlamak arkaly:

# On Windows, macOS, or Linux, display the hardware MAC address mapped to the rogue DHCP IP:
arp -a

2-nji etap: Router WAN / DHCP ogurlamak üçin ädimme-ädim ýok etmek¶

1-nji tapgyra geçirilen audit, Wi-Fi marşrutizatoryňyzyň zyýanly DNS salgylaryny (ýa-da marşrutizatoryňyzyň içerki WAN DNS üýtgedilendigini) subut eden bolsa, diňe marşrutizatoryň içine girip ýazyň. 1.1.1.1 gutujyga gaýdyp gelmek ** ýeterlik däl **. Hüjümçä ilki bilen marşrutizatoryňyza ýol beren gowşaklygy ýapmaly:

1-nji ädim: Routerde 30 sekuntlyk zawody täzeden düzmek¶

Näme üçin diňe DNS meýdançasyny redaktirlemegiň ýerine doly zawod täzeden başlaýar? Sebäbi marşrutizator zyýanly programma üpjünçiligi (ZuoRAT, VPNFilter, Cyclops Blink, Mirai görnüşleri) köplenç gizlin goşýar iptables NAT gönükdirmek düzgünleri (REDIRECT --to-ports 53), dowamly kron işini gurýar /tmp ýa-da NVRAM, ýa-da uzakdaky SSH / Telnet dolandyryş hasaplaryny açýar. 1. Routeriň ** WAN / Internet Ethernet kabelini (süýüm ONT ýa-da kabel modemiňizden gelýän kabel) aýryň, şonuň üçin hüjümçi sazlaýarkaňyz täzeden birikdirip bilmez. 2. Router işledilensoň, öňdäki panelleriň yşyk-diodly indikatorlary bir wagtda ýanýança, marşrutizatoryň arka tarapynda çyzylan ** Çukur düwmesini ** düwmesini basyp saklaň. 3. Routeriň arassa zawod ýagdaýyna täzeden başlamagy üçin 3 minut garaşyň, soňra Ethernet kabeli (ýa-da zawodyň Wi-Fi stiker şahadatnamalary) arkaly arassa kompýuter birikdiriň we giriň 192.168.1.1 (ýa-da 192.168.0.1).

2-nji ädim: 5 marşrutizator sazlaýjy hüjümçileri DNS-ni ogurlamak üçin ulanýarlar¶

WAN / Internet kabelini gaýtadan dakmazdan ozal, marşrutizatoryňyzyň dolandyryş konsolynyň içinde bu bäş hökmany sazlamany düzüň (doly gollanmamyza serediň) Öý marşrutizatorlaryny we IoT enjamlaryny goramak çuňlaşdyrmak üçin): 1. ** Üýtgeşik 16+ nyşanly marşrutizator administratorynyň parolyny düzüň (Wi-Fi parolyňyz bilen birmeňzeş däl): ** Router administrasiýasynyň girişini hiç haçan goýmaň admin / admin ýa-da admin / password. Webdäki her CSRF DNS-ogurlamak ekspluatasiýa toplumy, brauzeriňize zyýanly banner mahabatyny ýükläniňizde, şahsyýet maglumatlaryny awtomatiki usulda çaklaýar. 2. ** Barlaň Remote Management / WAN Administration berk DISABLED: ** Aşakda serediň Advanced -> Administration -> Remote Management we umumy internetde hiç kimiň marşrutizatoryňyzyň giriş sahypasyna ýa-da WAN tarapyndan SSH / Telnet portlaryna girip bilmejekdigine göz ýetiriň. 3. ** Öçüriň UPnP (Univershliumumy wilka we oýnamak): ** Aşakda Advanced -> UPnP (ýa-da NAT Forwarding -> UPnP), ** UPnP OFF ** öwüriň. Öýüňizdäki islendik enjamdaky zyýanly programma üpjünçiligi UPnP ulanýar (IGD SOAP haýyşlary) marşrutizatoryňyza portlary açmagy ýa-da parolsyz WAN ugratmak düzgünlerini üýtgetmegi buýurmak. 4. ** Routerdäki gaty kodly ygtybarly, zyýanly programma üpjünçiligini bloklaýan DNS serwerleri (IPv4 we IPv6): ** ** Internet / WAN Setup -> DNS Serwer ** (we ** LAN -> DHCP Serwer **) -e giriň we * ISP-den awtomatiki alyň * -dan ** Bu DNS serwerlerini ulanyň **: * ** Bulutlar (1.1.1.1 for Families - Malware Blocking): ** Esasy IPv4: 1.1.1.2 | Ikinji IPv4: 1.0.0.2 (ýa-da standart süzülmedik 1.1.1.1 / 1.0.0.1). IPv6: 2606:4700:4700::1112 we 2606:4700:4700::1002. * ** Kwad9 (Malware & Phishing Blocking + DNSSEC): ** Esasy IPv4: 9.9.9.9 | Ikinji IPv4: 149.112.112.112. IPv6: 2620:fe::fe we 2620:fe::9. * ** Google Public DNS: ** Esasy IPv4: 8.8.8.8 | Ikinji IPv4: 8.8.4.4. IPv6: 2001:4860:4860::8888 we 2001:4860:4860::8844. 5. ** WAN kabelini täzeden birikdiriň we iň soňky marşrutizator programma üpjünçiliginiň täzelenmesini derrew guruň: ** Router modeliňiz öndürijisinden geçen bolsa ** Durmuşyň soňy (EoL) ** senesi we indi howpsuzlyk ýamalaryny almaýar (ser Nol günlük gyssagly patch we ahyrky durmuş enjamyny izolýasiýa etmek), marşrutizator enjamlaryny derrew çalyşyň, belli bolmadyk iberilmedik CVE-ler ertir gaýtadan ulanylyp bilinmez.

3-nji tapgyra: Zäherlenen ýerli kompýuteriň arassalanmagy (Hosts Faýl, Adapter DNS we Keş Flush)¶

Routeriňizi goranyňyzdan soň (ýa-da diňe bir kompýuter ogurlanan bolsa), ýerli kompýuteriň tor nokadyny täzeden düzmek we her keşli zäherlenen DNS ýazgysyny ýuwmak üçin şu takyk buýruklary işlediň:

1. Windows 10/11 Doly DNS, Hostlar, Winsock we Brauzer keş keşini täzeden düzmek¶

Administrator hökmünde ** buýruk teklipini açyň ** (Win + X -> Terminal (Admin) / Command Prompt (Admin)) we ylga:

:: 1. Reset all network adapters back to automatic DHCP DNS (removes static Trojan DNS overrides):
powershell -Command "Get-NetAdapter | Where-Object {$_.Status -eq 'Up'} | Set-DnsClientServerAddress -ResetServerAddresses"

:: 2. Disable any rogue Windows Registry Proxy or PAC AutoConfig script:
reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v ProxyEnable /t REG_DWORD /d 0 /f
reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings" /v AutoConfigURL /f 2>nul

:: 3. Flush the Windows OS DNS Resolver Cache, Winsock Catalog, and NetBIOS table:
ipconfig /flushdns
nbtstat -R
netsh winsock reset
netsh int ip reset

• ** Eger siziňki bolsa C:\Windows\System32\drivers\etc\hosts faýlda rugsatsyz gönükdirme setirleri bar: ** Açyň ** Dolandyryjy hökmünde Notepad **, açyň C:\Windows\System32\drivers\etc\hosts, teswir berilmedik her setiri pozuň (arassa bir Windows hosts faýlyň ** nol ** işjeň tertipsiz setirleri bar we her teswir setiri başlaýar #), faýly ýazdyryň we işlediň ipconfig /flushdns.
• ** Rogue kök şahadatnamalaryny barlaň (certmgr.msc): ** Eger bir hüjümçi ýa-da ýerli zyýanly programma üpjünçiligi hem ýasama kök şahadatnamasy edarasyny guran bolsa (CA) brauzer duýduryşlaryny döretmezden HTTPS traffigini saklap biler ýaly kompýuteriňize basyň Win + R, ** ýazyňcertmgr.msc**, giňeltmek ** Ynamly kök şahadatnamasy edaralary -> Şahadatnamalar **, tertip boýunça Issued By ýa-da Expiration Date, we tanamaýan özüňiz gol çeken kök şahadatnamasyny pozuň.

2. MacOS & Linux Doly DNS täzeden düzmek we keş keşi¶

# On macOS: Clear any static DNS overrides on Wi-Fi (reverts to DHCP) and flush mDNSResponder cache:
sudo networksetup -setdnsservers Wi-Fi Empty
sudo networksetup -setautoproxystate Wi-Fi off
sudo networksetup -setwebproxystate Wi-Fi off
sudo networksetup -setsecurewebproxystate Wi-Fi off
sudo dscacheutil -flushcache && sudo killall -HUP mDNSResponder

# On Linux (Ubuntu / Debian / Fedora with systemd-resolved):
sudo resolvectl flush-caches

3. Web brauzeriňiziň içerki rozetkasyny we DNS keşini ýuwuň (Chrome, Edge, Brave, Firefox)¶

** Kritiki duzak: ** Häzirki zaman web brauzerleri özleriniň ** aýratyn içerki DNS keşini saklaýarlar we TCP rozetka howuzyny açýarlar ** düýbünden garaşsyz ipconfig /flushdns. Routeriňizi düzedip, işledeniňizden soňam ipconfig /flushdns, Chrome ýa-da Edge, brauzeriň içerki keşini arassalaýançaňyz, hüjümçiniň IP-sine ýene 15 minut iberip biler: 1. ** Chrome, Edge ýa-da Batyr: ** * ** ýazyňchrome://net-internals/#dns** (ýa-da edge://net-internals/#dns) salgy setirine giriň we ** basyňClear host cache. * Derrew ** basyňSockets çep gapdalda (chrome://net-internals/#sockets) we ** basyňFlush socket pools** (bu hüjümçiniň IP-si üçin açyk bolan islendik işjeň dowamly HTTP / 2 ýa-da QUIC birikmelerini öldürýär). 2. ** “Mozilla Firefox” -da: ** * ** ýazyňabout:networking#dns** salgy setirine giriň we ** basyňClear DNS Cache. 3. ** Apple Safari-de (macOS we iOS): ** * MakOS-da ** Safari -> Sazlamalar -> Giňişleýin ** açyň, barlaň Show features for web developers, we ** basyňDevelop -> Empty Caches (Opt + Cmd + E), soň bolsa Safari-den çykyň we täzeden işlediň. * “IPhone” ýa-da “iPad” -da ** Uçar rejesini 5 sekuntlap açyň we iOS-y güýçlendirýän OFF **-i üýtgediň mDNSResponder saklanýan web sahypalaryňyzy pozmazdan derrew üýtgäp durýan DNS keş keşini arassalamak.

4-nji tapgyra: Şifrlenen DNS-i işletmek (DoH / DoT) şonuň üçin hiç bir marşrutizator, myhmanhana ýa-da ISP DNS-ni täzeden ogurlap bilmez¶

Näme üçin adaty DNS (UDP Port 53) öýdäki marşrutizator, kofe dükany Wi-Fi ýa-da ISP içalyçylyk etmek we ogurlamak üçin aňsatmy? Sebäbi adaty DNS ** 1983-nji ýylda döredilipdi (RFC 882) nol şifrlemek we nol tassyklamak bilen **: her bir talap simiň üstünden açyk tekstde geçýär we ýolda islendik enjam millisekuntdan az wagtyň içinde galp UDP jogabyny döredip biler (DNS Spoofing).

** DNS-over-HTTPS açmak arkaly (DoH, RFC 8484) ** ýa-da ** DNS-over-TLS (DoT, RFC 7858) **, enjamyňyz kriptografiki taýdan barlanan her DNS talapyny gurşap alýar TLS 1.3 tunel gönüden-göni ygtybarly çözüjä (Cloudflare 1.1.1.1, Quad9 9.9.9.9, Google 8.8.8.8, ýa-da NextDNS). Nädogry marşrutizator ýa-da myhmanhana Wi-Fi jogaby üýtgetjek bolsa, TLS goly şowsuz bolýar we enjamyňyz galplygy derrew ret edýär.

Şifrlenen DNS-i nädip işletmeli (DoH / DoT) 60 sekuntda her enjamyň üstünden¶

Freygy-ýygydan berilýän soraglar¶

Näme üçin brauzerim görkezdi? NET::ERR_CERT_AUTHORITY_INVALID üstünde google.com ýa-da marşrutizatorymyň DNS-i ogurlananda bankym?¶

Şol brauzer ýalňyşlygy hakykatdanam hasabyňyzy ogurlamakdan halas etdi. Hüjümçi marşrutizatoryňyzyň DNS sazlamalaryny ogurlanda, IP adresini üýtgedýärler `www.yourbank.com` şonuň üçin kompýuteriňiz hakyky bankyňyzyň ýerine hüjümçiniň web serwerine birigýär. Şeýle-de bolsa, brauzeriňiz şifrlenen HTTPS başlanda (`TLS`) hüjümçiniň serweri bilen el çarpmak, hüjümçiniň serweri ygtybarly şahadatnama edarasy tarapyndan kriptografiki taýdan gol çekilen hakyky sanly TLS şahadatnamasyny öndürip bilmez. `yourbank.com`. Brauzeriňiz birikmäni derrew görkezýär we görkezýär `NET::ERR_CERT_AUTHORITY_INVALID`. Hiç haçan "Her niçigem bolsa dowam et" düwmesine basmasaňyz we hiç haçan gödek kök şahadatnamasyny gurmasaňyz (`CA`) enjamyňyza, diňe DNS ogurlamak HSTS bilen goralýan HTTPS web sahypasyny açyp ýa-da bozup bilmez.

Haker, Wi-Fi parolymy bilmän öýümdäki Wi-Fi marşrutizatorynyň içindäki DNS sazlamalaryny nädip üýtgetdi?¶

Hüjümçiler, marşrutizatoryňyzyň DNS sazlamalaryny üýtgetmek üçin jaýyňyzyň Wi-Fi aralygynda bolmaly däldir. Iki uzak usul ulanýarlar: birinjisi, awtomatiki botlar (`Shodan` / `Censys` skanerler we botnetler) ** Uzakdan web dolandyryşy (`WAN Admin`) ** ýa-da **`UPnP`** belli programma üpjünçiliginiň gowşak taraplary bilen açyk galdy. Ikinjiden, WAN Admin ýapyk bolsa-da, marşrutizatoryňyzyň içerki dolandyryş parolyny zawodda goýsaňyz (`admin / admin` ýa-da `admin / password`), noutbukdaky zyýanly mahabaty ýa-da web sahypasyny basmak, brauzeriňizdäki gizlin JavaScript-e ** Saýtdan haýyş haýyşyny ibermäge mümkinçilik berýär (`CSRF`) ** ýa-da ** DNS Rebinding ** noutbukdan göni haýyş `http://192.168.1.1`, içerki marşrutizatoryňyza girip, DNS sazlamalaryňyzy sessiz ýazyň.

Şifrlenen DNS-i işleden bolsam (DoH) Chrome ýa-da Firefox-da, bu meniň kompýuterimdäki beýleki programmalary goraýarmy?¶

Howpsuz DNS-i açmak (`DoH`) “Chrome”, “Edge”, “Batyr” ýa-da “Firefox” şifrleýär we şol ýörite web brauzeriniň içinde ** döredilen ähli DNS gözleglerini goraýar, brauzer esasly fişing gönükdirmelerini we galp täzelenme sahypalaryny derrew bes edýär. Şeýle-de bolsa, kompýuteriňizdäki beýleki fon programmalary (e-poçta müşderiňiz, Slack, oýunlar ýa-da OS täzeleniji ýaly) operasiýa ulgamynyň derejesinde şifrlenen DNS-i sazlamasaňyz (Windows 11 Native DoH, Android Private DNS arkaly) operasiýa ulgamynyň DNS çözüjisini ulanýar. `DoT`, ýa-da gol çekilen macOS / iOS Şifrlenen DNS profil) we marşrutizatoryňyzyň WAN / DHCP DNS sazlamalaryny düzediň.

Tapawudy näme? 1.1.1.1 (Cloudflare) we 9.9.9.9 (Quad9), we marşrutizatoryň haýsysyny goýmaly?¶

Ikisem çalt, şahsy durmuşyň eldegrilmesizligini, abraýly guramalar tarapyndan dolandyrylýan global ýaýlym DNS çözüjilerini yzarlamaýar we biri sizi ISP ýa-da garakçy ogurlamakdan gorar. Standart **`1.1.1.1`** (Cloudflare) we **`8.8.8.8`** (Google) internetdäki her bir domen üçin arassa, süzülmedik DNS jogaplaryny gaýtaryp berýär. **`9.9.9.9`** (girdeji gazanmaýan Quad9 gaznasy tarapyndan dolandyrylýar) we **`1.1.1.2`**.`C2`) serwerler we infostealer domenleri, zyýanly sahypa hatda ýüklenmezden öň DNS gatlagynda birikmäni petikleýär.

Degişli gollanmalar¶

• Öý marşrutizatorlaryny we IoT enjamlaryny goramak
• Jemgyýetçilik Wi-Fi, Erbet Twin nokatlary we USB şiresi goragly gorag
• Zyýanly brauzer giňeltmeleri, paneli ogurlamak we mahabat programmalaryny aýyrmak
• Nol günlük gyssagly patch we ahyrky durmuş enjamyny izolýasiýa etmek
• Domen adyny ogurlamak, möhleti geçen DNS we web sahypasyny almak
• Global gyssagly kömek belgileri

Çeşmeler barlandy¶

• Kiberhowpsuzlyk we infrastruktura howpsuzlyk gullugy (CISA) we Milli howpsuzlyk gullugy (NSA) (ABŞ): Kiberhowpsuzlyk Maglumat sahypasy (* Gorag DNS (PDNS) hyzmatyny saýlamak * we * Şifrlenen DNS ulanmak DoH / DoT kärhana we öý şertlerinde *).
• Internet in Engineeringenerçilik iş topary (IETF) (Halkara): RFC 7858 (Ulag gatlagynyň howpsuzlygy boýunça DNS üçin spesifikasiýa DoT), RFC 8484 (HTTPS-den DNS talaplary DoH), we RFC 9462 (Bellenen çözgütleriň tapylmagy DDR).
• ICANN Howpsuzlyk we Durnuklylyk Geňeşi (SSAC) (Halkara): DNS infrastrukturany üýtgetmek, marşrutizator WAN konfigurasiýasy we DNSSEC tassyklamasy boýunça maslahat.
• Milli kiberhowpsuzlyk merkezi (NCSC) (Beýik Britaniýa): Gorag DNS arhitekturasy we Rogue DHCP-ni we ýerli tora garşy hüjümler.