Clienții ulteriori pot primi maparea falsă din cache, redirecționând traficul sau cauzând eșecuri până când intrarea expiră, este înlocuită sau eliminată. Atacul corupe datele de rezoluție din cache; nu necesită controlul înregistrării domeniului sau zonei autoritative.
Datele false pot ajunge într-un răspuns falsificat sau printr-o cale de rezoluție compromisă. Potrivirea puternică îngreunează falsificarea off-path. Validarea DNS Security Extensions (DNSSEC) respinge datele semnate modificate atunci când există un lanț de încredere, dar nu autentifică zonele nesemnate sau fiecare salt client-resolver.
Puncte esențiale
Domeniu de aplicareIdentificați resolverele afectate, numele și tipurile de înregistrări, când a intrat înregistrarea în cache, durata de viață rămasă și care clienți sau servicii au primit-o.
DoveziComparați conținutul cache-ului cu datele autoritative și resolverele validatoare, apoi revizuiți jurnalele de răspunsuri, căile de forward, modificările, rezultatele validării și activitatea redirecționată.
Reducerea risculuiMențineți software-ul resolverului, folosiți potrivire puternică a răspunsurilor și entropie a porturilor sursă, restricționați recursia și administrarea, validați DNSSEC acolo unde este potrivit, protejați canalele resolverului și monitorizați modificările neașteptate.
Limitare importantăUn răspuns surprinzător nu este automat otrăvire. Caching-ul, DNS-ul split, forward-ul, suprascrierile locale, echilibrarea încărcării și greșelile de configurație pot produce răspunsuri care diferă de datele publice; erorile de semnare pot cauza și eșecuri de validare DNSSEC.