Thiết lập DNS không an toàn

Danh mục OWASP: MASVS-NETWORK: Giao tiếp qua mạng

Tổng quan

Cấu hình DNS không an toàn có thể xảy ra khi nhà phát triển tuỳ chỉnh hành vi truyền tải DNS của ứng dụng, bỏ qua các giá trị mặc định của thiết bị hoặc khi người dùng chỉ định một máy chủ DNS riêng tư trong Android 9 trở lên. Việc sai lệch so với các cấu hình DNS tốt đã biết có thể khiến người dùng dễ bị tấn công như Giả mạo DNS hoặc Đầu độc bộ nhớ đệm DNS, cho phép kẻ tấn công chuyển hướng lưu lượng truy cập của người dùng đến các trang web độc hại.

Tác động

Nếu kẻ tấn công mạng độc hại có thể giả mạo DNS, thì chúng có thể lén lút chuyển hướng người dùng đến một trang web mà chúng kiểm soát mà không khiến người dùng nghi ngờ. Ví dụ: trang web độc hại này có thể lừa đảo người dùng để lấy thông tin nhận dạng cá nhân, gây ra tình trạng từ chối dịch vụ cho người dùng hoặc chuyển hướng người dùng đến các trang web mà không có thông báo.

Rủi ro: Bảo mật truyền tải DNS dễ bị tấn công

Cấu hình DNS tuỳ chỉnh có thể cho phép các ứng dụng bỏ qua tính năng bảo mật truyền tải tích hợp sẵn của Android cho DNS trong Android 9 trở lên.

Giải pháp giảm thiểu

Sử dụng hệ điều hành Android để xử lý lưu lượng truy cập DNS

Cho phép hệ điều hành Android xử lý DNS. Kể từ SDK cấp 28, Android đã tăng cường tính bảo mật cho hoạt động truyền tải DNS thông qua DNS qua TLS, sau đó là DNS qua HTTP/3 ở SDK cấp 30.

Sử dụng SDK cấp >=28

Cập nhật cấp SDK lên ít nhất là 28. Xin lưu ý rằng biện pháp giảm thiểu này yêu cầu giao tiếp với các máy chủ DNS công khai bảo mật và nổi tiếng, chẳng hạn như có thể tìm thấy tại đây.

Tài nguyên