01Τι είναι η διαρροή μέσω DNS
Ένα πρόγραμμα κόβει ένα αρχείο σε κομμάτια, κωδικοποιεί κάθε κομμάτι σε γράμματα και ψηφία και ζητά ονόματα όπως 4a6f686e20446f652c207061737377.x.example.com. Οι διακομιστές ονομάτων αυτού του τομέα ανήκουν στον επιτιθέμενο: λαμβάνουν τα κομμάτια, και οι απαντήσεις τους μπορούν να φέρνουν εντολές. Εργαλεία όπως το iodine ή το dnscat2 χτίζουν έτσι ολόκληρη σήραγγα.
Το MITRE ATT&CK, ο κατάλογος αναφοράς των τεχνικών των επιτιθέμενων, την κατατάσσει σε τρεις τεχνικές: T1048 (διαρροή μέσω εναλλακτικού πρωτοκόλλου), T1071.004 (εντολές και έλεγχος μέσω DNS) και T1572 (σήραγγα πρωτοκόλλου).
02Τι ελέγχει το Warda
Στην κάρτα Data leaks through DNS των Protection settings (δωρεάν, ενεργή από προεπιλογή), το Warda διαβάζει τα ονόματα που ζητούνται, στο κουτί, και τίποτε άλλο: τίποτα δεν αποκρυπτογραφείται, και τα ονόματα (τα δεδομένα) δεν φυλάσσονται ποτέ.
- Κωδικοποιημένα ονόματα: το τμήμα κάτω από τον τομέα είναι πολύ μεγάλο (100 χαρακτήρες ή περισσότεροι) ή η μεγαλύτερη ετικέτα του έχει 20 χαρακτήρες ή περισσότερους και μοιάζει τυχαία: υψηλή εντροπία με ανακατεμένα ψηφία, ή σχεδόν καθόλου φωνήεντα.
- Σε πλήθος: όταν μία συσκευή ζητήσει μέσα σε 10 λεπτά 40 διαφορετικά κωδικοποιημένα ονόματα κάτω από τον ίδιο τομέα, ο τομέας μπλοκάρεται για αυτή τη συσκευή για 24 ώρες και οι διαχειριστές λαμβάνουν ειδοποίηση.
- Από το Warda 0.9.10, ένα δεύτερο σήμα: όταν μια συσκευή ζητήσει μέσα σε 10 λεπτά 30 διαφορετικά ονόματα κάτω από τον ίδιο τομέα με ασυνήθιστο τύπο εγγραφής (TXT, NULL, MX, CNAME, ANY…), ο τομέας μπλοκάρεται κι έτσι για εκείνη τη συσκευή. Εξαιρούνται τα σύντομα ονόματα (κάτω από 8 χαρακτήρες κάτω από τον τομέα) και οι ετικέτες που αρχίζουν με «_» — όσα ρωτούν όλη μέρα οι διακομιστές αλληλογραφίας και οι υπηρεσίες: _dmarc, _domainkey, _spf. Το Warda 0.9.10 δείχνει επίσης τις συσκευές που ρωτούν άλλον διακομιστή DNS εκτός του Warda.
- Οι υπηρεσίες που κωδικοποιούν σκόπιμα (οι λίστες αποκλεισμού των διακομιστών αλληλογραφίας, τα ερωτήματα των antivirus, τα κοινόχρηστα ονόματα των cloud) εξαιρούνται· το Allow this domain αίρει έναν αποκλεισμό για μια υπηρεσία που εμπιστεύεστε.
03Τι βοηθά γύρω γύρω
Μια σήραγγα χρειάζεται δικό της τομέα, συχνά καινούργιο. Άλλες προστασίες του Warda κλείνουν τις παρακάμψεις:
- η κατηγορία των νέων τομέων, για αποκλεισμό ανά προφίλ, και η φήμη των τομέων, που ζητά τη γνώμη της υπηρεσίας ανάλυσης του Warda για έναν τομέα που το νοικοκυριό γνωρίζει ελάχιστα (μόνο ο τομέας φεύγει από το κουτί)·
- η κατηγορία των παρακάμψεων του φίλτρου: οι γνωστές υπηρεσίες DNS over HTTPS, VPN και proxy, μπλοκαρισμένες για παιδιά και εφήβους, και το Ιδιωτικό αναμεταδότη του iCloud για τις συσκευές τους στο σπίτι·
- το όνομα δοκιμής του Firefox, use-application-dns.net, στο οποίο το Warda απαντά «δεν υπάρχει»: ο Firefox κρατά τότε το DNS του δικτύου αντί για το δικό του.
04Τα όρια, ειπωμένα καθαρά
- Ένα ερώτημα που στέλνεται κατευθείαν στο 8.8.8.8 δεν φτάνει ποτέ στο Warda: το κλείσιμο των θυρών DNS για τις άλλες συσκευές είναι δουλειά του router.
- Μια αργή διαρροή δεν φαίνεται: λιγότερα από περίπου 4 κωδικοποιημένα ονόματα το λεπτό (40 σε 10 λεπτά), ή 3 ονόματα ασυνήθιστων τύπων το λεπτό (30 σε 10 λεπτά), μένουν κάτω από τα όρια.
- Μια σήραγγα μέσα σε κρυπτογραφημένη σύνδεση με δημόσιο επιλυτή (DNS over HTTPS στη θύρα 443) δεν δείχνει τίποτα στο Warda, εκτός αν η υπηρεσία είναι γνωστή και μπλοκαρισμένη.
- Μια ειδοποίηση λέει ότι μια συσκευή συμπεριφέρεται σαν σήραγγα, όχι ποιο πρόγραμμα το κάνει: ελέγξτε τη συσκευή και βάλτε την στο μεταξύ σε καραντίνα.