Il rischio DNS nascosto che nessuno controlla: i transparent forwarder e gli attacchi amplificati

Chiunque abbia configurato un router domestico o una rete per un piccolo business si è imbattuto prima o poi nelle impostazioni DNS senza capirne davvero le implicazioni. Tutti sappiamo che i DNS trasformano i nomi di dominio in indirizzi IP che i computer comprendono. Quello che in pochi conoscono è come questa infrastruttura fondamentale possa diventare un'arma — e che un tipo specifico di componente DNS continua a creare problemi proprio mentre altre minacce simili stanno scomparendo.

La Buona Notizia (Che In realtà Preoccupa)

C'è qualcosa che sembra una buona notizia ma dovrebbe mettere a disagio chi si occupa di sicurezza: il numero di dispositivi DNS aperti accessibili da internet è crollato drasticamente nell'ultimo decennio. Stiamo parlando di una riduzione da oltre 25 milioni di dispositivi esposti nel 2014 a circa 1,4 milioni oggi. Quasi il 94% in meno.

Ma ecco il punto — mentre i resolver DNS aperti tradizionali e i forwarder ricorsivi sono diminuiti sensibilmente, i transparent DNS forwarder sono rimasti stranamente persistenti. Anche dopo programmi di responsible disclosure che hanno rimosso oltre 250.000 dispositivi dal panorama delle minacce, questi forwarder transparanti continuano a esistere in numeri massicci sul web.

E questo conta perché i transparent DNS forwarder rappresentano una categoria di dispositivi di rete particolarmente pericolosa che la maggior parte delle organizzazioni non sa nemmeno di avere attiva.

Cos'è esattamente un Transparent DNS Forwarder

Cerco di spiegarlo in modo chiaro.

Quando fai una query DNS, il tuo dispositivo chiede a un resolver DNS di cercare un indirizzo. Un resolver DNS ricorsivo standard elabora la richiesta, contatta i server autoritativi necessari e restituisce la risposta. Questi resolver di solito hanno misure di sicurezza integrate — possono limitare il rate delle query, restringere chi può fare domande, e in generale comportarsi in modo responsabile.

Un transparent DNS forwarder funziona diversamente. Pensa a questo come a un intermediario di rete che non fa nessun lavoro pesante. Invece di risolvere le query DNS da solo, le inoltra semplicemente a un altro server DNS — di solito un resolver ricorsivo più potente che appartiene a Google, Cloudflare, o provider simili.

Il problema critico? I transparent forwarder non riscrivono l'indirizzo IP sorgente dei pacchetti che inoltrano.

Questo significa che quando un transparent forwarder invia la tua query DNS al resolver 8.8.8.8 di Google, quel resolver vede la query come proveniente direttamente dal tuo IP originale, non dal forwarder. Nessuna traduzione avviene. Nessun controllo di sicurezza viene attivato dal lato del forwarder. Il pacchetto passa attraverso come l'acqua in un tubo.

Perché Questo Crea un Vettore d'Attacco Perfetto

Ecco dove la situazione diventa preoccupante per chi si occupa di sicurezza di rete.

Gli attaccanti hanno scoperto che possono inviare query DNS con un indirizzo IP sorgente spoofed — specificamente, l'IP della loro vittima designata. Il transparent forwarder diligentemente inoltra questa query a un resolver ricorsivo potente (spesso uno dei server anycasted di Google o Cloudflare, che possono gestire volumi enormi di traffico). Il resolver ricorsivo elabora la richiesta e invia la risposta all'IP della vittima.

Ma ecco il fattore amplificazione: le risposte DNS possono essere significativamente più grandi delle query che le generano. Una piccola query che chiede record DNS può generare una risposta 10, 50, o persino 100 volte più grande. Quando stai inondando una vittima con traffico, inviargli pacchetti 50 volte più grandi di quello che hai dovuto inviare al forwarder è un vantaggio enorme.

La vittima riceve una valanga di risposte che non ha mai chiesto, mentre l'attaccante ha solo inviato query minuscole. Nel frattempo, il transparent forwarder — che non vede mai le risposte — continua a operare beatamente inconsapevole di far parte di un'infrastruttura d'attacco.

I Numeri Dietro la Minaccia

La ricerca di RIPE Atlas rivela alcune statistiche che fanno alzare le sopracciglia:

• 175 economie nel mondo hanno transparent DNS forwarder accessibili pubblicamente
• Brasile e India da soli rappresentano il 55% di tutti i dispositivi scoperti, con il Brasile al 31% e l'India al 24%
• Il 76% dei transparent forwarder è configurato per usare i resolver DNS pubblici di Google o Cloudflare
• Mentre altri componenti DNS aperti sono crollati nettamente, i transparent forwarder sono rimasti relativamente stabili

Questa concentrazione geografica presenta in realtà sia una sfida che un'opportunità. Con la maggior parte dei dispositivi concentrati in relativamente poche regioni, c'è la possibilità di coordinarsi con operatori di rete specifici per ridurre la superficie d'attacco in modo più efficace di quanto potrebbe fare uno sforzo globale.

Il Vantaggio Anycast (Per gli Attaccanti)

I transparent forwarder acquistano ulteriore importanza quando consideri come i major DNS provider fanno funzionare la loro infrastruttura.

Google Public DNS e l'1.1.1.1 di Cloudflare usano networking anycast — una tecnica dove lo stesso indirizzo IP viene annunciato da multiple location geografiche simultaneamente. Quando invii una query a 8.8.8.8, i tuoi pacchetti vengono instradati al server Google più vicino basandosi sulla topologia di rete, non su una singola posizione fisica.

Questo design rende questi resolver incredibilmente potenti e resistenti ad attacchi DDoS tradizionali. Sono distribuiti su decine di data center in tutto il mondo e possono assorbire quantità enormi di traffico.

Ma questa stessa architettura crea un'opportunità per gli attaccanti. Perché i transparent forwarder alimentano query in questi resolver anycasted potenti, danno efficacemente agli attaccanti accesso a un'infrastruttura capace di generare effetti di amplificazione massicci. Il resolver stesso non sa di essere usato male — vede solo query in entrata e invia risposte. Il traffico d'attacco proviene dagli IP del resolver, non dal transparent forwarder, rendendo l'attribuzione difficile.

Cosa Significa Questo per la Tua Organizzazione

Se gestisci qualsiasi infrastruttura di rete — che sia un setup per piccoli uffici, un deployment cloud, o un ambiente enterprise — dovresti fare un audit della tua configurazione DNS per assicurarti di non stare inavvertitamente operando un transparent forwarder.

Molti router consumer e alcune apparecchiature di rete enterprise vengono spediti con il DNS forwarding abilitato di default. Questo non è intrinsecamente malevolo, ma la configurazione può creare vulnerabilità di sicurezza se il forwarder è accessibile da internet e non gestisce correttamente le informazioni sull'IP sorgente.

Checklist Rapida per Amministratori di Rete

1. Identifica i tuoi DNS forwarder – Sappi quali apparecchiature DNS esistono sulla tua rete e come sono configurate
2. Limita l'accesso – I DNS forwarder non dovrebbero essere accessibili pubblicamente da internet a meno che non siano intenzionalmente configurati come resolver pubblici
3. Usa controlli di ricorsione appropriati – Se hai bisogno di un resolver ricorsivo, assicurati che abbia controlli di accesso e rate limiting adeguati
4. Monitora per anomalie – Pattern di traffico DNS insoliti potrebbero indicare che la tua infrastruttura sta venendo scandagliata o usata in attacchi

Il Quadro Più Ampio

La persistenza dei transparent DNS forwarder come vettore d'attacco illustra una verità più ampia nella sicurezza: a volte le vulnerabilità più pericolose non sono quelle ovvie che conosciamo, ma i componenti trascurati che silenziosamente fanno il loro lavoro senza che nessuno metta in discussione le loro implicazioni.

Mentre la comunità internet continua a fare progressi nella chiusura dei resolver DNS aperti tradizionali, i transparent forwarder rappresentano un fronte rimanente che richiede attenzione. La buona notizia è che questi dispositivi sono concentrati geograficamente, il che significa che sforzi coordinati con operatori di rete specifici potrebbero ridurre significativamente la superficie d'attacco globale.

Fino ad allora, capire cosa sono i transparent DNS forwarder — e assicurarti che i tuoi non siano esposti pubblicamente — rimane un passo importante per evitare che l'infrastruttura di internet venga usata come arma contro se stessa.

Hai domande sulla sicurezza DNS o hai bisogno di aiuto per fare un audit della tua infrastruttura di rete? Il team di Vibe Hosting è qui per aiutarti a costruire applicazioni sicure e resilienti fin dalla base.