Polecane serwery DNS — które z nich są najszybsze i najlepiej chronią użytkownika?

Test szybkości serwerów DNS

Skrypt pobierał z serwera WWW zainstalowanego na VPS plik tekstowy z listą 10 tysięcy domen. Następnie automatycznie, wykorzystując narzędzie dig odpytywał po kolei serwery adresami z tej listy.

Skrypt był uruchamiany w ciągu kilku godzin. Jego wykonanie zajmowało za każdym razem wiele czasu, dlatego zastosowałem tzw. wirtualną konsolę (polecenie screen).

W ten sposób mogłem spokojnie zakończyć sesję SSH (w przeciwieństwie do RDP, czyli zdalnego pulpitu, przerwanie połączenia SSH skutkuje zatrzymaniem wykonywania polecenia), chociaż okresowo kontrolowałem poprawność działania, wyświetlając aktualne procesy (ps -A).

Czym mniejszy czas odpowiedzi, tym oczywiście lepiej. Od razu można zauważyć zdecydowaną przewagę DNS Google pod względem wydajności. W tym przypadku podobne wyniki utrzymywały się praktycznie cały dzień, z wyjątkiem pory popołudniowej. Niektóre serwery również potrafią szybko obsłużyć ruch (OpenDNS, Quad9, OpenNIC, Comodo), chociaż uzyskane czasy znacznie się różną z wynikami lidera testu.

Test ochrony przed phishingiem (100 adresów dziennie)

Poniższe dwa testy nie były aż tak zautomatyzowane. Co prawda chciałem użyć gotowego skryptu, ale skuteczność i jakość pozostawały wiele do życzenia. Ostatecznie zdecydowałem się na wykorzystanie polecenia wget, które pobierało z pliku tekstowego dokładnie 100 „świeżych” i unikalnych adresów każdego dnia.

Adresy zebrałem z zagranicznych list. Za każdym razem zmieniałem serwer DNS w /etc/resolv.conf, po czym uruchamiałem polecenie wget i czekałem na pobranie plików (w przypadku malware) lub zwykłych plików HTML (w przypadku phishingu).

Od liczby 100 odejmowałem ilość pobranych plików i w ten sposób uzyskiwałem ilość zablokowanych zapytań.

Test ochrony przed malware (100 adresów dziennie)

Przed każdym testem system był restartowany, aby wyczyścić cache DNS.

* NXDOMAIN oznacza, że w bazie DNS konkretnego operatora domena nie jest powiązana z adresem IP, czyli użytkownik końcowy nie odwiedzi danej strony.

Wnioski z testu

Przeprowadzone testy były bardzo interesujące od strony technicznej. Pozwoliły na pogłębienie wiedzy oraz zobaczenie „na żywo” różnych metod blokowania zawartości. Dwa przykłady:

• OpenDNS od Cisco podstawia własny certyfikat, który z oczywistych przyczyn nie jest zaufany w systemie operacyjnym (w przeglądarce też, pomimo niezależności od systemu). Dzięki temu użytkownik końcowy (zwłaszcza nietechniczny) po prostu nie odwiedzi danej strony, czyli nie pobierze malware lub nie spotka się z phishingiem. W konsekwencji zostanie ochroniony. Musiałby zaimportować do systemowej bazy certyfikatów, certyfikat OpenDNS.
• Quad9 (dawniej należący do F-Secure) zakłada nieco prostsze działanie. Po prostu złośliwa domena nie znajduje się w bazie operatora. W ten sposób serwer zwraca NXDOMAIN, o którym wspominałem wyżej.

Należy pamiętać, że nawet najskuteczniejszy serwer DNS nie będzie alternatywą dla programu antywirusowego. Jego przewaga polega na tym, że wystarczy ustawić raz adres w routerze i cała lokalna sieć będzie chroniona. Wszystkie urządzenia wysyłają i odbierają jakieś dane (użytkownik odwiedza daną stronę w przeglądarce, zainstalowana aplikacja odpytuje swoje serwery o aktualizacje itd.), a DNS może wtedy ochronić przed różnymi złośliwymi działaniami. Należy jednak pamiętać, że malware nie znajduje się jedynie w Internecie, bo równie dobrze możemy zainfekować system poprzez uruchomienie złośliwego makra, uruchomienie szkodliwego programu czy nawet zwykłe podpięcie pendrive.

DNS nie chroni również przed popularnymi atakami występującymi w sieci (MITM, podsłuchanie komunikacji, ARP spoofing). Nie możemy też liczyć na ochronę kamery internetowej czy pliku hosts. Swoją drogą mało osób o tym wspomina, ale ten prosty plik ma ogromny wpływ na bezpieczeństwo. Wystarczy wpisać:

[adres_IP_atakujacego] mbank.pl

Zamiast na stronie mBanku, będziemy na stronie atakującego. Jeśli jest dobrze przygotowana, to raczej nie mamy szans na zauważenie ataku. W pasku adresu widoczny jest mbank.pl, a w praktyce jesteśmy połączeni z serwerem atakującego.

Adresy DNS to bardzo ważny element naszego bezpieczeństwa. O tym niech poświadczy fakt szkodliwego oprogramowania DNSChanger, które podmieniało adresy DNS. Pisał o tym także CERT Polska. Na tej stronie internetowej znajdują się aktualne listy serwerów DNS w Polsce.