The Domain Name System (DNS), which resolves domain names into IP addresses for browsers and other applications, serves as one of the most fundamental Internet components. Unfortunately, almost all DNS packets are sent unencrypted at present. This design makes DNS traffic vulnerable to snooping and manipulation, which is widely considered as one of the Internet’s biggest bugs.
研究背景与目的
DNS作为互联网最基本组件之一，其设计使得DNS流量容易受到窃听和篡改。为了防止恶意DNS解析器的意外行为，许多用户选择将本地解析器切换到流行的公共DNS服务，如Google公共DNS（8.8.8.8）。然而，使用Google DNS作为解析器时，用户的查询可能被未经授权的中间人拦截。为了了解和描述这一安全问题，清华大学的研究人员设计了一种新颖的方法，利用全球148K个住宅和移动IP地址，对自注册域名的DNS查询进行了研究。他们发现，在所研究的3,047个自治系统（AS）中，有259个（8.5%）的DNS查询被拦截，其中27.9%的DNS请求来自中国，针对Google公共DNS的UDP请求被拦截。
数据与方法
研究人员通过设计一种新颖的方法，利用全球148K个住宅和移动IP地址，对自注册域名的DNS查询进行了研究。他们发现，在所研究的3,047个自治系统（AS）中，有259个（8.5%）的DNS查询被拦截。其中，来自中国的27.9%的DNS请求被拦截，这表明Google公共DNS是一个特别受欢迎的拦截目标。他们还观察到，一些来自Google公共DNS的DNS响应在AS 9808（广东移动）中被篡改，将用户自己的域名指向了一个推广中国移动应用的网站门户。
拦截类型与潜在威胁
除了互联网服务提供商（ISPs）外，潜在的拦截者还包括网络运营商、防火墙、恶意软件、企业代理设备和杀毒软件。值得注意的是，并非所有被拦截的DNS查询都已被修改，但这种情况是可能的。
结尾：
这项研究对网络工程师和运维人员具有重要意义。了解DNS拦截的普遍性和潜在威胁有助于他们采取措施保护网络免受此类攻击。此外，这一发现强调了加密DNS（DNS over HTTPS）的重要性，它可以为DNS查询提供端到端加密，从而增强用户隐私和网络安全。
原文: APNIC Blog（2019-07-17）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog