DNS jest jednym z fundamentów, w oparciu o które działa współczesny internet. Czym tak właściwie jest DNS i jaka jest jego rola w funkcjonowaniu globalnej sieci? W jaki sposób DNS sprawia, że po wpisaniu adresu strony w przeglądarce, po chwili ładuje się jej zawartość? W tym artykule wyjaśnimy dokładnie co to jest DNS i jakie ma znaczenie w dzisiejszej cyfrowej rzeczywistości. Pokażemy również jakie wiążą się z tym zagrożenia dla bezpieczeństwa, prywatności i wolności w internecie.
Co to jest DNS?
DNS (ang. Domain Name System, po polsku system nazw domen) to usługa odpowiadająca za tłumaczenie nazw domen na adresy IP serwerów. Dzięki DNS, czytelne i łatwe do zapamiętania dla ludzi nazwy domen mogą być łatwo powiązane z wykorzystywanymi w komunikacji sieciowej adresami IP.
To dzięki DNS poruszanie się po internecie i pomiędzy stronami internetowymi jest szybkie i efektywne. Gdy użytkownik wpisuje adres strony w przeglądarce, zapytanie jest momentalnie wysyłane do serwera DNS, który w odpowiedzi dostarcza odpowiedni adres IP serwera ze stroną internetową. Pozwala to na nawiązanie połączenia z właściwym serwerem i załadowanie żądanej strony.
Serwery DNS, z których korzystają urządzenia podłączone do sieci są przyznawane przez dostawcę internetu (dzięki protokołowi DHCP) lub mogą zostać skonfigurowane samodzielnie przez użytkownika. Można je ustawić na jednym urządzeniu np. w telefonie, komputerze lub Smart TV lub w obrębie całej sieci lokalnej (konfigurując serwery DNS na routerze). Ustawione są zawsze dwa adresy serwerów DNS, aby w przypadku awarii jednego, drugi zapewniał ciągłość pracy.
DNS jest nadzorowany przez dwie organizacje, ICANN i IANA, które przekazują zarządzanie domenami najwyższego poziomu do innych organizacji lub państw (w przypadku domen krajowych). Domenami .pl zajmuje się NASK, a w przypadku domen .eu jest to europejska organizacja EurID.
Jak działa DNS i jaką rolę pełnią serwery DNS?
Działanie DNS opiera się o powiązaną ze sobą, ogólnoświatową sieć serwerów. Mają strukturę hierarchiczną, a najważniejszą rolę pełni 13 głównych serwerów DNS (tzw. root servers). Są one na szczycie hierarchii i kierują do umieszczonych niżej autorytatywnych serwerów DNS, które posiadają w bazie danych informacje o adresach IP przypisanych do domen. Cała struktura jest wielostopniowa, a przetłumaczenie nazwy domeny na adres IP może wymagać komunikacji z kilkoma różnymi serwerami.
Łatwiej to zrozumieć na przykładzie, dlatego pokażemy w uproszczony sposób jak działa DNS krok po kroku (użyjemy do niego naszej domeny bezpiecznyinternet.edu.pl):
- Użytkownik wpisuje adres strony bezpiecznyinternet.edu.pl w pasku adresu przeglądarki.
- Zapytanie jest wysyłane z przeglądarki do lokalnych serwerów DNS skonfigurowanych w systemie operacyjnym. Domyślnie są to zazwyczaj serwery DNS udostępnione przez dostawcę internetu.
- Lokalny serwer DNS odpytuje jeden z 13 serwerów głównych, których zadaniem jest przetwarzanie takich zapytań.
- Serwer główny w odpowiedzi przekazuje dane innego serwera DNS, który posiada informację na temat domeny najwyższego poziomu, w naszym przypadku jest to *.pl.
- Z tego serwera zapytanie jest kierowane do serwera autorytatywnego, który posiada szczegółowe informacje na temat domeny bezpiecznyinternet.edu.pl.
- Serwer autorytatywny przeszukuje swoją bazę i sprawdza, czy posiada informacje o domenie i przypisanym do niej adresie IP. Jeżeli je znajdzie, to przekazuje taką informację do lokalnego serwera DNS.
- Lokalny serwer DNS przekazuje informacje o adresie IP przypisanym do domeny bezpiecznyinternet.edu.pl przeglądarce użytkownika.
- Mając dane adresu IP serwera na którym znajduje się strona, przeglądarka użytkownika może nawiązać bezpośrednie połączenie i załadować oraz wyświetlić zawartość witryny.
Szczegółowe informacje o konfiguracji domeny zawierają rekordy DNS, które przechowywane są na serwerach. To właśnie w oparciu o dane zawarte w rekordach DNS, urządzenia i usługi działające w sieci wiedzą jak ma przebiegać komunikacja z konkretną domeną.
Czy serwery DNS wpływają na szybkość działania internetu?
Serwery DNS mogą wpływać na odczuwaną szybkość działania internetu, ale głównie w kontekście ładowania się stron internetowych. Choć różnice po zmianie dostawcy serwerów DNS nie będą ogromne, to mogą być zauważalne. Zwłaszcza gdy wcześniej korzystałeś z serwera DNS, który jest słabo zoptymalizowany lub mocno oddalony od Twojego fizycznego położenia. Im szybciej serwer DNS przetłumaczy nazwy domen na adresy IP, tym szybciej zostanie wyświetlona strona internetowa.
Odległość od serwera
Wpływ na szybkość ładowania się stron ma również odległość między komputerem a serwerem DNS. Im bliżej znajduje się serwer DNS z którego korzystasz, tym szybciej przesyłane jest Twoje zapytania. Z tego powodu warto korzystać z serwerów DNS, których lokalizacja geograficzna jest możliwie bliska. Wielu dostawców serwerów DNS takich jak Cloudflare, Google, Quad9 czy NextDNS posiada serwery w różnych lokalizacjach, aby poprawić szybkość odpowiedzi serwera DNS.
Struktura strony
Struktura i zawartość strony internetowej może wpłynąć na jej szybkość ładowania. Obecnie większość witryn jest bardzo złożonych i często zawiera liczne odniesienia do zewnętrznych zasobów takich jak obrazy, filmy, skrypty czy reklamy. Każdy z tych elementów może wymagać odrębnego zapytania DNS, co znacząco zwiększa liczbę operacji niezbędnych do kompletnego wyświetlenia strony.
Obciążenie serwera DNS
W przypadku, gdy serwer DNS działa wolno lub jest przeciążony, każde dodatkowe zapytanie może generować niewielkie opóźnienia. Kumulacja tych mikro opóźnień może prowadzić do znacznego wydłużenia całkowitego czasu ładowania strony.
DNS Spoofing – zagrożenia związane z podatnościami w DNS
Ze względu na swoją strukturę, DNS jest również potencjalnym wektorem ataku, co z powodzeniem wykorzystują cyberprzestępcy. Techniki określane zbiorczo jako DNS spoofing, polegają na fałszowaniu adresów IP przypisanych do domen. Ich efektem jest przekierowanie użytkowników na złośliwe strony internetowe.
Zmieniając ustawienia DNS w komputerze ofiary lub atakując serwery DNS, przestępca jest w stanie przekierować użytkownika na złośliwą stronę, przygotowaną do kradzieży danych. Jest to pewna forma phishingu, podczas której nawet wpisanie poprawnej domeny może wyświetlić fałszywą stronę.
Może się to odbywać za pomocą następujących ataków:
- Infekcja złośliwym oprogramowaniem – złośliwe oprogramowanie może zmienić konfigurację DNS na urządzeniu i wysyłać zapytania do fałszywego serwera DNS.
- Przejęcie kontroli nad routerem – przejmując kontrolę nad routerem cyberprzestępca może skonfigurować na nim fałszywe adresy serwerów DNS, które będą kierować do fałszywych stron internetowych.
- Ataki MITM (Man-In-The-Middle) – atakujący przechwytuje komunikację pomiędzy użytkownikiem i serwerem DNS, a następnie modyfikuje zapytania i odpowiedzi. Może w ten sposób przekierować go na fałszywe strony internetowe.
- Zatruwanie DNS (DNS cache poisoning) – atakujący uzyskuje dostęp do serwera DNS i podmienia zawartość pamięci podręcznej na taką, która zawiera fałszywe adresy IP prowadzące do złośliwych stron internetowych. Jego ofiarą mogą paść wszyscy użytkownicy korzystający z serwera.
- Ataki DDoS na infrastrukturę DNS – w wyniku ataku DDoS na serwery DNS strony internetowe przestają działać, gdyż nazwy domen nie mogą zostać przetłumaczone na adresy IP serwerów.
W związku z tymi podatnościami DNS, prowadzone są prace nad poprawą bezpieczeństwa DNS. Najważniejszym krokiem, który może istotnie chronić użytkowników przed atakami na DNS jest upowszechnienie wdrożenia DNSSEC. To dodatkowa warstwa zabezpieczeń, która dzięki cyfrowym podpisom umożliwia weryfikację odpowiedzi na zapytania DNS.
Bezpieczeństwo – ochrona przed złośliwymi stronami dzięki DNS
DNS może służyć jako narzędzie wspierające bezpieczeństwo w sieci dzięki możliwości filtrowania niebezpiecznych stron internetowych i linków. Jest to bardzo prosty mechanizm, który pozwala na szeroką skalę zablokować ataki phishingowe gdy tylko zostaną zidentyfikowane i zgłoszone. Dzięki temu po kliknięciu w niebezpieczny link użytkownikowi nie wyświetli się strona przygotowana przez oszustów.
Sposób działania takiej ochrony jest bardzo prosty. Podczas przetwarzania przez serwer DNS zapytania z prośbą o przetłumaczenie adresu URL na adres IP, link zostaje sprawdzony czy nie znajduje się na liście niebezpiecznych stron. Jeśli okaże się, że stanowi zagrożenie, to strona nie zostanie załadowana, a użytkownik zobaczy stosowną informację.
Nie każdy serwer DNS oferuje taką formę dodatkowego zabezpieczenia. W przypadku dostawców internetu w Polsce, udostępnianie przez nich serwery DNS korzystają zazwyczaj z listy ostrzeżeń przed niebezpiecznymi stronami prowadzonej przez CERT Polska. Możesz sprawdzić czy Twój dostawca DNS korzysta z listy prowadzonej przez CERT Polska wchodząc na stronę https://lista.cert.pl/.
Ten mechanizm może zostać również wykorzystany do blokowania reklam, skryptów śledzących oraz stron dla dorosłych (jako forma ochrony rodzicielskiej).
Jest też druga strona medalu, możliwość blokowania stron na poziomie serwerów DNS umożliwia cenzurę internetu. Łatwą do obejścia, ale wciąż cenzurę.
Cenzura internetu przy pomocy DNS
Blokada stron internetowych przy pomocy DNS to jedna z najczęściej używanych metod cenzury internetu, gdyż jest stosunkowo prosta we wdrożeniu. Polega na zablokowaniu wybranych domen na serwerze DNS. W efekcie tego, przy próbie wejścia na ocenzurowaną stronę internetową, użytkownik zobaczy komunikat o tym, że nie można wyświetlić strony lub zostanie przekierowany do strony z komunikatem o blokadzie.
Obejście tej formy cenzury jest równie proste jak jej wdrożenie przez operatorów telekomunikacyjnych. Wystarczy zmiana dostawcy DNS na dowolną firmę z zagranicy, np. CloudFlare, Google czy Quad9 lub połączenie się z internetem za pomocą dobrej sieci VPN.
W ten sposób blokowane są blogi i serwisy internetowe niewygodne dla władz, strony przeznaczone dla dorosłych lub te, które naruszają lokalne przepisy i regulacje (jak np. torrenty).
Ten rodzaj cenzury jest również stosowany przez polskie władze, w celu ograniczenia dostępu do stron hazardowych. Ministerstwo Finansów prowadzi Rejestr Domen Służących do Oferowania Gier Hazardowych Niezgodnie z Ustawą (https://hazard.mf.gov.pl/), które muszą być blokowane przez polskich operatorów telekomunikacyjnych. Dostawcy internetu są zobowiązani przepisami do przekierowania prób połączenia z tymi domenami do strony z komunikatem na stronach Ministerstwa Finansów.
DNS a prywatność w internecie
Dostawcy usług telekomunikacyjnych działający w Polsce mają obowiązek zbierania i przechowywania danych zgodnie z art. 47 Prawa komunikacji elektronicznej. Muszą to być dane, które pozwalają na identyfikację użytkownika i określenie tego, co robił. Dotyczy to również usług takich jak DNS, dostarczanych domyślnie przez dostawców internetu. W związku z tym podczas korzystania z polskich usług DNS gromadzone są takie informacje jak:
- Adres IP użytkownika wysyłającego zapytanie do serwera DNS
- Domena, której dotyczy zapytanie
- Adres IP serwera, do którego prowadzi domena
- Data i dokładny czas wysłania zapytania
Operatorzy muszą je przechowywać przez 12 miesięcy oraz udostępnić w razie potrzeby uprawnionym służbom. Taki obowiązek nakładany jest zarówno na duże firmy jak np. Orange, Netia, UPC czy Play jak i na małych operatorów sieci osiedlowych.
Jest to poważne zagrożenie dla prywatności, gdyż dostawca internetu wie na jakie strony internetowe wchodzisz. Może na tej podstawie analizować Twoje zachowanie, zainteresowania i czy nawyki. A następnie odsprzedawać dane do firm analitycznych lub marketingowych. W każdej chwili mogą też o nie wystąpić uprawnione przez przepisy służby. profili użytkowników, które mogą zawierać informacje o ich zainteresowaniach, nawykach przeglądania oraz odwiedzanych
Jednak sama zmiana DNS-ów nie wystarczy, aby zabezpieczyć się przed logowaniem swojej aktywności w sieci przez operatorów telekomunikacyjnych. O ile w przypadku zmiany DNS nie będzie miał dostępu do tego, co dzieje się na poziomie serwerów DNS, to wciąż będzie widział zapytania wysyłane do serwera DNS. Jest to spowodowane tym, że zapytania nie są szyfrowane, więc są w pełni widoczne.
Istnieją jednak sposoby na ochronę prywatności przed logowaniem zapytań DNS przez dostawców internetu. Można to zrobić na kilka sposobów:
- skorzystać z nowych rozwiązań takich jak DNS over HTTPS (DoH) lub DNS over TLS (DoT), szyfrujących zapytania DNS
- skorzystać z usługi VPN, która szyfruje całą komunikację sieciową
Zarówno DoH jak i DoT to rozwiązania nowe, które nie są jeszcze w pełni wspierane przez wszystkich operatorów DNS. Podobnie jest z systemami operacyjnymi i przeglądarkami, szyfrowanie DNS jest obsługiwane tylko w ich najnowszych wersjach. W pozostałych przypadkach konieczne może być zainstalowanie specjalnej aplikacji.
