Яндекс.браузер першим захистився від підміни DNS-відповідей злочинцями, провайдерами і гос-маркетологами з Білорусії

Яндекс розповів про захист DNS-запитів браузера і запропонував вкючая DNSCrypt - ця технологія тепер вбудована в бета-версію Яндекс.браузер. Яндекс захистив запити до власних DNS-серверів , Але в подальшому має намір вбудувати в «Браузер» підтримку альтернативних DNS-служб.

Примітка: без установки галочки в налаштуваннях яндекс.браузер «Завжди використовувати захищений DNS-сервер Яндекса з шифруванням DNSCrypt» запити до захищених DNS-серверів Яндекса з яндекс.браузер НЕ будуть захищені. У типовому випадку запити до будь-яких DNS-серверів (наприклад у провайдера, до Google DNS з настільного комп'ютера і т. Д.) Не захищені.

Суть вирішеною в Яндексі проблеми: для переходу на будь-який сайт в інтернеті веб-браузери відсилають DNS-сервера (частіше - сервера провайдера) назва сайту виду example.com, у відповідь отримують числовий IP-адреса сайту, переходять по ньому і відкривають веб-сторінку . Зловмисники можуть підміняти DNS-сервери, підміняти IP-адреси, втручатися в передачу даних між браузером і DNS. В результаті шкідники зможуть відправляти відвідувачів фішингові сайти - зовні відрізнити копії справжніх, причому в адресному рядку браузера буде вірну адресу цього сайту.

18 січня 2014 «Хабрахабр» описав атаки на Qiwi (і інші сайти) підміною DNS сервера. Напередодні, 17-о числа, платіжна система Qiwi спішно змінювала паролі своїм користувачам. У березні Qiwi розповіла , Що навіть короткий січневий злом обійшовся в 88 мільйонів рублів. Зловмисники не ламали інтерфейсів самого Qiwi, провини платіжної системи в тому, що відбувається не було, злочинці просто збирали логіни-паролі на зовні ідентичних оригіналу фішингових сайтах.

Незахищений DNS-трафік - одна з вразливостей мережі Tor, яка веде до деанонімізація користувача. Незахищені повідомлення комп'ютером і DNS-сервером можуть використовуватися провайдерами для збору статистики про відвідуваних користувачами сайтах, наприклад крамольних. У запущених випадках провайдери переривають звернення браузера до сайтів власною рекламою. В альтернативному і патологічному сценарії провайдери (або чисто кримінальні зломщики) підміняють будь-яку інтернет-рекламу власної.

Провайдер-монополіст Білорусі замінить всю інтернет-рекламу на свою

DNSCrypt захищає сполучення між комп'ютером і DNS-сервером від прослушки і спотворень. Популярні настільні браузери вбудованої підтримки DNSCrypt не мають.

Примітка: технологією DNSCrypt можна скористатися на рівні операційної системи - це захистить все DNS-запити з комп'ютера (або телефону), з будь-яких браузерів, а не тільки з яндекс.браузер. На жаль настройки DNSCrypt очевидні лише просунутим користувачам. Dnscrypt.org знає кілька десятків захищених DNS-серверів, що відрізняються один від одного. Сервера розкидані по світу - з території Росії миттєво відгукуються служби, наприклад, у ФРН або в Данії, а австралійські виявляться занадто повільними. Деякі сервіси підтримуються ентузіастами на аматорському рівні надійності, інші належать таким потужним постачальникам послуг, як OpenDNS (власність Cisco). Деякі сервіси працюють по IPv4, інші по IPv6. Частина власників серверів заявляє, що не веде логів звернення до сайтів (Яндекс про те, що йому не цікава статистика звернень до сайтів не заявив). Частина сервісів відпрацьовує будь-які запити, друга половина попередньо фільтрує сайти - наприклад за замовчуванням блокуються всі веб-лічильники (Google Analytics, Яндекс.Метрика, Liveinternet.ru і маловідомі) плюс ресурси з вірусами, порнографією або погромами (останнє вміє фільтрувати і звичайна, незахищена по DNSCrypt версія яндекс.dns).