DNS Over HTTPS

Lo scopo di questo articolo è spiegare come DNS Over HTTPS funziona, quali sono i suoi vantaggi rispetto al tradizionale Domain Name System in termini di privacy dell’utente ma anche come viene sempre più sfruttato dagli hacker per condurre attacchi informatici e cosa le organizzazioni possono fare per difendersi da tali attacchi.

Che cos’è DNS Over HTTPS?

DNS over HTTPS (in breve: DoH) è un protocollo di nuova generazione che consente agli utenti di Internet di eseguire la risoluzione remota del Domain Name System (DNS) utilizzando il protocollo HTTPS. Rispetto al DNS tradizionale, è considerato apparentemente più sicuro, specialmente perché aiuta a proteggere la privacy dell’utente. Tuttavia, quasi tutti gli operatori ISP e WISP hanno espresso pesanti critiche per le sue prestazioni poiché, rispetto al tradizionale e molto veloce protocollo DNS over UDP, ottiene risultati di prestazioni molto inferiori.

Come funziona DNS Over HTTPS?

Con un DNS tradizionale, la tua ricerca su Internet funziona così:

• Digiti l’indirizzo web del sito che desideri raggiungere nella barra degli indirizzi del browser
• Il browser invia una richiesta su Internet per recuperare l’indirizzo IP del sito web che hai scelto
• La richiesta viene inviata utilizzando una connessione in testo semplice, che non è crittografata. Ciò significa che è facile per terze parti intercettare e vedere quale sito web stai cercando di accedere.

Con DNS Over HTTPS la tua ricerca su Internet funzionerà in modo leggermente diverso: invece di utilizzare una connessione in testo semplice, il browser invierà il nome del sito web che hai digitato a un HTTPS attraverso una connessione crittografata. Con una connessione crittografata, le terze parti non potranno, apparentemente, vedere quale sito web desideri raggiungere. Ma il gestore del servizio DoH, specialmente se è uno pubblico, conoscerà le nostre preferenze e sarà in grado di eseguire campionamenti con finalità di marketing e pubblicità.

Quando è nato DNS Over HTTPS?

Il protocollo DNS Over HTTPS è relativamente recente. A ottobre 2018, l’IETF ha pubblicato il documento RFC8484, che ha definito lo standard proposto. L’IETF è l’Internet Engineering Task Force, una comunità internazionale aperta di progettisti, operatori e ricercatori di rete che svolgono attività di ricerca e sviluppo nell’ambito dell’evoluzione dell’architettura di Internet.

Il documento RFC8484 rappresenta il consenso della comunità IETF sul nuovo protocollo. Come riportato dal documento: “DoH crittografa il traffico DNS e richiede l’autenticazione del server. Questo mitiga sia la sorveglianza passiva [RFC7258] e attacchi attivi che tentano di dirottare il traffico DNS verso server non autorizzati.”

DNS Over Https: significa davvero “maggiore sicurezza”?

Come accennato sopra, l’obiettivo del protocollo DNS Over Https è aumentare la privacy e la sicurezza degli utenti. Ma come riesce a raggiungere questo obiettivo? A differenza di un sistema DNS tradizionale, DoH non utilizza la porta 53 del DNS per chiedere il nome del sito web tramite un pacchetto UDP (User Datagram Protocol) o TCP (Transmission Control Protocol).

Piuttosto, il protocollo DoH codifica una singola query DNS in una richiesta Http tramite il metodo Https GET o POST:

• con il metodo POST, il messaggio della richiesta Http includerà la query DNS;
• con il metodo GET, la singola variabile “dns” è definita come il contenuto del DNS.

Il protocollo DNS Over Https crittografa il traffico DNS. In questo modo, sia la sorveglianza passiva che la manipolazione dei dati DNS attraverso attacchi intermedi vengono mitigate. Inoltre, utilizzando la porta 443, che è la porta predefinita per Https, e mischiando il traffico DoH con altro traffico Https sulla stessa connessione aiuta a scoraggiare i tentativi di terze parti di interferire con le operazioni DNS. Di conseguenza, anche l’analisi del traffico DNS diventerà più difficile, teoricamente.

Proprio per la sua trasmissione netta, il servizio DoH consente agli utenti di aggirare facilmente i filtri di navigazione (a meno che non sia presente una protezione specifica su DoH, che FlashStart fornisce) e quindi essere vulnerabili durante la navigazione web.

Infatti, DoH rappresenta un vero problema per gli amministratori di rete e i responsabili della connettività, che devono ripensare completamente la sicurezza e il filtraggio dell’accesso a Internet per i loro utenti.

Immagina ad esempio un’azienda con 100 postazioni di lavoro, che si ritrova senza alcun controllo sulla navigazione Internet. Gli utenti godranno di accesso libero a siti web dannosi, contenuti inopportuni, violenti e spesso illegali, e l’azienda non sarà in grado di prevenire nulla di tutto questo.

Esistono percorsi e risoluzioni ben definiti che consentono agli utenti di “forzare” il protocollo DNS classico e impostare, all’interno della rete LAN, una risoluzione dei nomi sicura, senza esporre dati all’esterno. Tuttavia, ad oggi, governare DoH nelle reti di organizzazioni pubbliche e private rappresenta una bandiera rossa molto importante, strategica per la sicurezza dei dati, dell’infrastruttura e degli utenti

Inoltre…DoH sta offrendo ai pirati informatici nuove opportunità

Come è diventato ormai consueto, non appena un nuovo protocollo, sviluppo o applicazione diventa disponibile, i pirati informatici iniziano a studiare il nuovo strumento e analizzarlo per capire se possono usarlo per eseguire un attacco informatico. E più che se, è piuttosto una questione di capire come possono farlo, trovare una vulnerabilità nel sistema e sfruttarla a loro vantaggio.

Il protocollo DNS Over Https non è stata un’eccezione alla regola. Ormai, la maggior parte delle organizzazioni hanno, tra i loro sistemi di protezione Internet, un filtro dei contenuti Internet. Il filtro dei contenuti Internet mantiene elenchi di negazione (o liste nere), che contengono i dettagli di domini dannosi noti il cui accesso deve essere bloccato.

Quindi normalmente, se la richiesta DNS è verso un sito web pericoloso, apparirà un messaggio di avviso all’utente. Con DoH, tuttavia, poiché le richieste DNS sono crittografate, diventa molto più difficile identificare tali richieste pericolose, risultando così in un nuovo problema di sicurezza. Inoltre, le principali vulnerabilità al giorno d’oggi riguardano i server Web: pensa allo sfruttamento recente “Log4Shell”, che rischia di compromettere la rete Internet a livello globale (maggiori informazioni qui: https://flashstart.com/it/bug-log4j/).

I primi attacchi

Godula

Il primo caso segnalato di un attacco informatico condotto utilizzando il protocollo DNS Over Https è datato 1 luglio 2019, quindi nove mesi dopo che l’IETF ha pubblicato il documento che definisce il nuovo standard. Il nome del malware era Godula e ha sfruttato DoH nella sua seconda e terza fase per ottenere l’indirizzo dei server di comando e controllo interessati.

In questo caso, il file bytecode Lua è stato utilizzato per archiviare il record DNS TXT in testo semplice. Il malware ha quindi inviato una richiesta utilizzando il DoH protocollo per ottenere il risultato del DNS TXT.

PsiXBot

Successivamente nel 2019, durante il mese di settembre, è stato identificato il secondo caso di malware che utilizza DoH. Il nome del malware è PsiXBot ed è in realtà un malware più vecchio, che ha attirato l’attenzione della comunità IT per la prima volta nel 2017 ed è stato probabilmente creato da un gruppo di hacker russo. PsiXBot, nato come semplice trojan, nel tempo si è evoluto per diventare un’entità malware completa, capace di compromettere intere reti.

Le ultime versioni del malware gli hanno permesso di attivare la webcam e il microfono nei computer degli utenti che stavano visualizzando contenuti pornografici, il che è un altro motivo per cui le organizzazioni dovrebbero proteggere i laptop dei propri dipendenti con un filtro dei contenuti Internet che può rimanere attivo anche quando il dispositivo è al di fuori della rete aziendale.

PsiXBot conteneva domini di comando e controllo, che erano crittografati utilizzando RC4. Per recuperarli, ha sfruttato il servizio Google DoH.

Oilrig

Alla fine di luglio 2020 Oilrig è stato il primo gruppo di hacker identificato per aver utilizzato il protocollo DoH nei suoi attacchi. Oilrig ha utilizzato uno strumento open-source, DNS Exfiltration, per gestire, spostare ed efiltrare i dati.

Cosa possono fare le organizzazioni contro gli attacchi DoH?

Ci sono diverse misure generiche che aziende e organizzazioni possono intraprendere per contrastare gli attacchi basati sul protocollo DNS Over Https. Questi includono:

• Controllare gli endpoint DoH e il traffico che li attraversa;
• Installare resolver DoH interni, come il nuovo FlashStart “Cloud Box”, che sarà disponibile a breve;
• Monitorare l’utilizzo di DoH per identificare i tipi di contenuto “application/dns-jason” o “application/dns-message”;
• Controllare il traffico in uscita per rilevare dimensioni di pacchetto anomale.

Per concludere

Il servizio DNS Over Https consente agli attaccanti di nascondere le query DNS dai domini di comando e controllo. Se le organizzazioni non ispezionano continuamente il loro traffico, gli attacchi che sfruttano il DoH potrebbero passare inosservati. Ancora molta ricerca e sviluppo devono essere effettuati per proteggere le organizzazioni e gli utenti di Internet da questa minaccia emergente e in rapida crescita.

Ecco perché, ad oggi, l’utilizzo del protocollo DoH negli ambienti professionali è fortemente sconsigliato ed è considerato pericoloso per la sicurezza di Internet. Inoltre, Paul Vixie, uno dei fondatori di diversi RFC per Internet e numerosi software open-source, è fortemente contrario all’uso di DoH.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi Router e Firewall per proteggere i dispositivi desktop, mobile e IoT su reti locali.