01Ce este exfiltrarea DNS
Un program taie un fișier în bucăți, codează fiecare bucată în litere și cifre și cere nume ca 4a6f686e20446f652c207061737377.x.example.com. Serverele de nume ale acelui domeniu sunt ale atacatorului: primesc bucățile, iar răspunsurile lor pot aduce înapoi ordine. Unelte ca iodine sau dnscat2 construiesc astfel un tunel întreg.
MITRE ATT&CK, catalogul de referință al tehnicilor atacatorilor, o încadrează în trei tehnici: T1048 (exfiltrare printr-un protocol alternativ), T1071.004 (comandă și control prin DNS) și T1572 (tunelare de protocol).
02Ce verifică Warda
Pe cardul Data leaks through DNS din Protection settings (gratuit, activ implicit), Warda citește numele cerute, pe cutie, și nimic altceva: nu se decriptează nimic, iar numele (datele) nu sunt niciodată păstrate.
- Nume codate: partea de sub domeniu este foarte lungă (100 de caractere sau mai mult) sau cea mai lungă etichetă are 20 de caractere sau mai mult și pare aleatorie: entropie mare cu cifre amestecate sau aproape nicio vocală.
- În număr mare: când un dispozitiv cere 40 de nume codate diferite sub același domeniu în 10 minute, acel domeniu este blocat pentru acel dispozitiv timp de 24 de ore, iar administratorii primesc o alertă.
- Din Warda 0.9.10, un al doilea semnal: când un dispozitiv cere, în 10 minute, 30 de nume diferite sub același domeniu cu un tip de înregistrare neobișnuit (TXT, NULL, MX, CNAME, ANY…), domeniul este blocat și pentru acel dispozitiv. Sunt lăsate deoparte numele scurte (sub 8 caractere sub domeniu) și etichetele care încep cu „_” — ce cer toată ziua serverele de e-mail și serviciile: _dmarc, _domainkey, _spf. Warda 0.9.10 listează și dispozitivele care întreabă alt server DNS decât Warda.
- Serviciile care codează intenționat (listele de blocare ale serverelor de e-mail, interogările antivirusurilor, numele comune ale cloudurilor) sunt excluse; Allow this domain ridică blocarea pentru un serviciu de încredere.
03Ce ajută în jur
Un tunel are nevoie de un domeniu propriu, adesea nou. Alte protecții Warda închid ocolișurile:
- categoria domeniilor noi, de blocat pe profil, și reputația domeniilor, care cere părerea serviciului de analiză Warda despre un domeniu pe care gospodăria îl cunoaște puțin (doar domeniul părăsește cutia);
- categoria ocolirilor filtrului: serviciile cunoscute de DNS over HTTPS, VPN și proxy, blocate pentru copii și adolescenți, și iCloud Private Relay pentru dispozitivele lor de acasă;
- numele de test al Firefox, use-application-dns.net, la care Warda răspunde „nu există”: Firefox păstrează atunci DNS-ul rețelei în locul celui propriu.
04Limitele, spuse deschis
- O cerere trimisă direct la 8.8.8.8 nu ajunge niciodată la Warda: închiderea porturilor DNS pentru celelalte dispozitive este treaba routerului.
- O scurgere lentă nu se vede: mai puțin de aproximativ 4 nume codate pe minut (40 în 10 minute) sau 3 nume de tipuri neobișnuite pe minut (30 în 10 minute) rămâne sub praguri.
- Un tunel în interiorul unei conexiuni criptate cu un resolver public (DNS over HTTPS pe portul 443) nu îi arată nimic Wardei, decât dacă serviciul este cunoscut și blocat.
- O alertă spune că un dispozitiv se comportă ca un tunel, nu ce program o face: verificați dispozitivul și puneți-l în carantină între timp.