01Mi a DNS-alapú adatkiszivárogtatás
Egy program darabokra vág egy fájlt, minden darabot betűkre és számjegyekre kódol, és olyan neveket kérdez, mint a 4a6f686e20446f652c207061737377.x.example.com. A domain névszerverei a támadóé: fogadják a darabokat, válaszaik pedig parancsokat hozhatnak vissza. Az iodine vagy a dnscat2 így épít egy teljes alagutat.
A MITRE ATT&CK, a támadói technikák referenciakatalógusa, három technika alá sorolja: T1048 (kiszivárogtatás alternatív protokollon), T1071.004 (vezérlés DNS-en át) és T1572 (protokoll-alagút).
02Mit ellenőriz a Warda
A Protection settings Data leaks through DNS kártyáján (ingyenes, alapból bekapcsolva) a Warda a kért neveket olvassa, a dobozon, semmi mást: semmit nem fejt vissza, és a neveket (az adatokat) soha nem tárolja.
- Kódolt nevek: a domain alatti rész nagyon hosszú (100 karakter vagy több), vagy a leghosszabb címkéje 20 karakteres vagy hosszabb és véletlenszerűnek tűnik: magas entrópia bekevert számjegyekkel, vagy szinte semmi magánhangzó.
- Sok belőlük: ha egy eszköz 10 percen belül 40 különböző kódolt nevet kérdez ugyanazon domain alatt, a domain arra az eszközre 24 órára tiltva lesz, és a rendszergazdák riasztást kapnak.
- A Warda 0.9.10-tól második jelzés: ha egy eszköz 10 percen belül 30 különböző nevet kérdez egy domain alatt szokatlan rekordtípussal (TXT, NULL, MX, CNAME, ANY…), a domain ekkor is tiltva lesz arra az eszközre. Kimaradnak a rövid nevek (a domain alatt 8 karakternél kevesebb) és az „_” jellel kezdődő címkék — amit a levelezőszerverek és a szolgáltatások egész nap kérdeznek: _dmarc, _domainkey, _spf. A Warda 0.9.10 azokat az eszközöket is listázza, amelyek a Wardán kívül más DNS-szervert kérdeznek.
- A szándékosan kódoló szolgáltatások (a levelezőszerverek tiltólistái, a vírusirtók lekérdezései, a felhők közös nevei) kivételt kapnak; az Allow this domain feloldja a tiltást egy megbízható szolgáltatásnál.
03Ami körülötte segít
Egy alagútnak saját domain kell, gyakran új. A Warda más védelmei lezárják a kerülőutakat:
- az új domainek kategóriája, profilonként tiltható, és a domainek hírneve, amely a Warda elemzőszolgáltatásától kér véleményt egy, a háztartás által kevéssé ismert domainről (csak a domain hagyja el a dobozt);
- a szűrőmegkerülések kategóriája: az ismert DNS over HTTPS-, VPN- és proxyszolgáltatások, tiltva a gyerekeknek és a tizenéveseknek, valamint az iCloud Privát továbbítás az otthoni eszközeiken;
- a Firefox tesztneve, a use-application-dns.net, amelyre a Warda „nem létezik” választ ad: a Firefox így a hálózat DNS-ét tartja meg a saját helyett.
04A korlátok, őszintén
- A közvetlenül a 8.8.8.8-hoz küldött kérés soha nem ér el a Wardához: a DNS-portok lezárása a többi eszköz előtt a router dolga.
- A lassú szivárgás nem látszik: percenként nagyjából 4 kódolt névnél (10 perc alatt 40) vagy percenként 3 szokatlan típusú névnél (10 perc alatt 30) kevesebb a küszöbök alatt marad.
- Egy nyilvános feloldóhoz vezető titkosított kapcsolatban futó alagút (DNS over HTTPS a 443-as porton) semmit sem mutat a Wardának, hacsak a szolgáltatás nem ismert és tiltott.
- A riasztás azt mondja meg, hogy egy eszköz alagútként viselkedik, nem azt, melyik program okozza: ellenőrizze az eszközt, és addig helyezze karanténba.