Pozdější klienti mohou z cache obdržet falešné mapování, což přesměrovává provoz nebo způsobuje selhání, dokud záznam neexpiruje, není nahrazen nebo odstraněn. Útok poškozuje cachovaná data překladu; nevyžaduje kontrolu nad registrací domény či autoritativní zónou.
Falešná data mohou přijít v padělané odpovědi nebo přes kompromitovanou cestu překladu. Silné párování činí off-path padělání obtížnějším. Validace DNS Security Extensions (DNSSEC) odmítá změněná podepsaná data, když existuje řetězec důvěry, ale neautentizuje nepodepsané zóny ani každý hop klient–resolver.
Klíčové body
RozsahIdentifikujte dotčené resolvery, jména a typy záznamů, kdy záznam vstoupil do cache, jeho zbývající životnost a kteří klienti či služby jej obdrželi.
DůkazyPorovnejte obsah cache s autoritativními daty a validujícími resolvery, poté přezkoumejte logy odpovědí, cesty předávání, změny, výsledky validace a přesměrovanou aktivitu.
Snížení rizikaUdržujte software resolveru, používejte silné párování odpovědí a entropii zdrojových portů, omezte rekurzi a správu, kde je vhodné validujte DNSSEC, chraňte kanály resolveru a monitorujte neočekávané změny.
Důležité omezeníPřekvapivá odpověď není automaticky otrava. Cachování, split DNS, předávání, lokální přepsání, vyvažování zátěže a chyby konfigurace mohou produkovat odpovědi lišící se od veřejných dat; chyby podepisování mohou rovněž způsobit selhání validace DNSSEC.