Sicurezza DNS: perché è fondamentale proteggere la navigazione

Cos’è la sicurezza DNS e perché è necessario proteggere il DNS per una navigazione senza rischi. In questo articolo vi ricordiamo il significato del DNS, analizziamo le sue vulnerabilità sfruttate dai criminali informatici e vi mostriamo la soluzione migliore.

Che cos’è un DNS

La sicurezza DNS – quindi la sicurezza del DNS – è un argomento particolarmente delicato, perché le vulnerabilità del protocollo DNS sono sfruttate dai criminali informatici per bypassare i sistemi di protezione tradizionali. Per comprendere perché ciò accade e soprattutto come difendere i dispositivi personali e aziendali, cerchiamo innanzitutto di spiegare il contesto.

Il DNS (Domain Name System) è spesso definito come l’elenco telefonico di Internet. È un sistema di denominazione gerarchico, decentralizzato, utilizzato per identificare computer e servizi raggiungibili sulla rete. Generalmente abbiamo due modi per accedere a un sito web o a una pagina web specifica su Internet. Possiamo digitare il nome del dominio del sito web (flashstart.com) direttamente nella barra di navigazione del browser, oppure attiviamo l’apertura di un collegamento verso una pagina (https://flashstart.com/filtering-dns/), che magari abbiamo ricevuto via email o chat.

Ma, quando nella barra di navigazione del browser digiti flashstart.com e fai clic su Invia, il browser trasforma automaticamente (risolve) il nome di dominio in un indirizzo IP, poiché il computer riconosce l’IP e non una stringa di testo. In realtà, il browser chiede al provider Internet che utilizziamo di chiedere ai servizi di risoluzione DNS, di cui parleremo tra poco, di convertire il nome di dominio in una sequenza di numeri e punti.

Nel caso di flashstart.com l’indirizzo IP è 151.139.128.11. Ciò significa che il programma di navigazione si connette al server che ha quell’indirizzo e che ospita il sito web flashstart.com. Più specificamente, le prime tre parti dell’IP, nel caso in cui abbiamo un IP di tipo Ipv4, corrispondono all’ID di rete mentre l’ultima all’host ID, cioè al dispositivo dell’utente.
Tuttavia, deve essere sottolineato che non esiste una corrispondenza univoca tra l’indirizzo IP e il nome di dominio. Ad esempio, il nome di dominio 151.139.128.11 corrisponde a 44 mila siti web ospitati sullo stesso server. Quindi, il DNS è il modo in cui un nome di dominio è associato a un indirizzo IP.

Ma il DNS è anche il protocollo che regola il funzionamento del servizio. Il sistema è stato introdotto nel 1983 e le sue caratteristiche originali sono descritte nel protocollo RFC 882. RFC (Request for Comment) è un documento che spiega precisamente come dovrebbe funzionare il sistema DNS.
In pratica, il sistema DNS è un registro universale, un database distribuito di server DNS, categorizzati innanzitutto per estensioni di dominio (.com, .it, .edu). Ogni dominio corrisponde a un “contenitore” che archivia informazioni sui domini ed è anche in grado di ottenere informazioni su domini non archiviati. Tra i record del database, ovviamente, il più importante è l’indirizzo IP corrispondente al nome di dominio, che è quello che il browser riceverà per accedere al sito web richiesto.

I server sparsi in tutto il mondo che archiviano e gestiscono i nomi dei domini, categorizzati secondo le estensioni di dominio (tecnicamente chiamate zone radice DNS) sono chiamati root nameserver. Esistono 13 root nameserver in tutto il mondo.

Perché il DNS è vulnerabile

Il percorso che collega il computer al sito web che l’utente desidera raggiungere, quindi l’altro computer con cui desideri stabilire una connessione, è contrassegnato da diversi database o tabelle che sono in qualche modo connessi alla risoluzione DNS. Uno di questi si trova nella nostra casa ed è parte del nostro modem/router. Inoltre, ogni computer include un file di testo con l’elenco di alcune associazioni nome di dominio – IP. Questo è un file che viene “letto” dal computer nel caso in cui vi siano connessioni tra computer all’interno della stessa rete locale. Ci sono diversi sistemi DNS lungo il percorso per due motivi principali: eseguire l’associazione corretta e velocizzare la navigazione. Più veloce è la trasformazione, più veloce è la connessione tra due computer, e quindi la navigazione.

Ed è esattamente su diverse tabelle di associazione incontrate lungo il percorso che i criminali informatici possono agire. Il principio di base che sfruttano è piuttosto semplice: modificare le tabelle per associare il nome di un dominio a un indirizzo IP errato che ti porta a un sito web, servizio o risorsa pericolosa. L’utente digita il nome di dominio o fa clic su un collegamento apparentemente “pulito” e finirà all’inferno.

I Man-in-the-middle attacks, per darti un semplice esempio, modificano il traffico Internet, spostandolo verso un servizio proxy “trasparente” che intercetta il traffico e, quindi, tutte le informazioni in transito.
Come molti protocolli Internet, il sistema DNS non è stato progettato pensando ai potenziali rischi per la sicurezza. Questi limiti rendono i server DNS vulnerabili a molti tipi di attacchi. Questi includono spoofing, amplificazione DDoS (Denial of Service) e, come detto, il furto di informazioni private e personali. È chiaro che, se il sistema DNS è fondamentale per navigare, è anche il più manipolato per portare a termine un attacco.

Inoltre, gli attacchi DNS vanno di pari passo con altri tipi di attacchi. I criminali informatici li usano per “distrarre” gli amministratori di rete in un’azienda mentre l’intrusione avviene in un altro modo.
DNS spoofing, tunneling, hijacking, nxdomain attack, phantom, random subdomain, domain lookup, botnet CPE (Customer Premise Equipment, come il router domestico) sono i tipi di attacco che possono essere condotti utilizzando il sistema DNS. Così, in un modo o nell’altro, tutti gli hacker cercano di modificare il database DNS reindirizzando le richieste.

Come risolvere il problema della sicurezza DNS

Poiché è chiaro che dobbiamo agire per proteggere meglio i sistemi DNS, già verso la fine degli anni ’90 il protocollo è stato aggiornato con alcune estensioni di sicurezza, le cosiddette DNSSEC (Domain Name System Security Extensions).
Queste estensioni hanno introdotto un processo di autenticazione nello scambio di informazioni tra i sistemi DNS, ma non è sufficiente, poiché l’autenticazione è crittografata e inalterabile, ma le informazioni non lo sono. Se, come accade, gli attaccanti ottengono l’accesso ai database, alle tabelle e alle regole presenti nei server che ospitano i sistemi DNS, non esiste alcuna autenticazione in grado di notare che i dati sono stati modificati all’origine.

Perciò, cosa dobbiamo fare? La soluzione ideale sarebbe che le organizzazioni mondiali che gestiscono i server DNS avessero il controllo totale su questi sistemi, ma questi devono essere per definizione aperti e facili da gestire. E, in ogni caso, se fosse possibile un controllo che non rallentasse questi sistemi, potrebbero comunque esistere vulnerabili tabelle locali.

La sicurezza DNS affronta esattamente la ricerca di soluzioni appropriate per raggiungere un solo obiettivo: proteggere il server DNS. Un DDoS può essere contrastato, ad esempio, preparando i server DNS ad accettare più richieste rispetto a quelle ricevute in media, oppure attraverso un sistema ridondante in grado di salvaguardare il servizio. Può essere utilizzato anche un hardware specifico, come un DNS Firewall.
Oppure, un’azienda o un utente finale può utilizzare un filtro dei contenuti che agisce anche sul DNS incontrato durante la comunicazione tra un computer, uno smartphone o un tablet e il sito web che desiderano raggiungere.

Come funziona un filtro per la protezione del DNS

Per proteggere la navigazione, sia a casa che in ufficio, ed evitare l’accesso a siti web pericolosi o inappropriati, è utile utilizzare un filtro. Questa è una soluzione che oggi è disponibile come servizio basato su cloud che installa un piccolo agente – sul computer o sul router – che non impatta la velocità di navigazione.

Un filtro DNS ti consente di filtrare i contenuti Internet in base al controllo del DNS di un sito web specifico. Considerando quello che abbiamo detto finora, per proteggere al meglio la navigazione, è meglio utilizzare un filtro DNS che agisca fin dalla prima richiesta dell’utente. Questo perché i controlli DNS avvengono a diversi livelli, a partire dal primo, quello preimpostato dal Provider di Servizi Internet all’interno del router del cliente.

Un filtro DNS funziona direttamente sugli indirizzi IP numerici a cui l’utente vuole accedere, verificando la loro conformità con le regole stabilite dal sistema e bloccando eventualmente l’accesso all’origine. In questo modo, il filtro blocca i contenuti pericolosi come malware, attacchi ransomware e tentativi di phishing, e blocca l’accesso ai contenuti indesiderati, come porno e gioco online.

Inoltre, all’interno di un’azienda, un filtro DNS, come la soluzione offerta da FlashStart, può essere installato direttamente nel gateway o nel router aziendale senza necessità di acquistare, installare e mantenere alcun hardware aggiuntivo.

Quando si sceglie il sistema di filtraggio DNS è importante considerare tre aspetti: la sua distribuzione, la sua latenza e l’aggiornamento continuo delle tabelle di controllo. Per distribuzione intendiamo l’ampiezza del servizio: più database DNS possono essere consultati, più accurato è il filtro. FlashStart, ad esempio, è distribuito a livello globale attraverso una rete Anycast di datacenter situati nei diversi continenti che consentono connessioni istantanee.

Un altro aspetto fondamentale è quello della latenza: più alta è e più lenta è la navigazione. Il filtro DNS FlashStart garantisce una latenza prossima a zero, e quindi una navigazione sicura e anche veloce.
Anche l’aggiornamento continuo è una caratteristica fondamentale. FlashStart utilizza un mix di intelligenza umana e artificiale per scansionare continuamente il web e intercettare le nuove minacce. Se un DNS è ritenuto pericoloso, viene aggiunto in tempo reale alle liste disponibili nel cloud per garantire ai clienti un servizio di protezione costantemente aggiornato. Ultimo ma non meno importante, FlashStart garantisce un servizio di assistenza attivo 24/7 in italiano, inglese e spagnolo.

Puoi attivare la protezione cloud FlashStart® su qualsiasi tipo di Router e Firewall per proteggere i dispositivi desktop e mobili e i dispositivi IoT sulle reti locali