DNS如何被利用?那么這個系統(tǒng)如何讓用戶變得脆弱?通常解析器會告訴每個DNS服務(wù)器你正在尋找哪個域名。此請求有時會包含您的完整IP地址。或者，如果不是您的完整IP地址，請求中通常會包含您的大部分IP地址，這些IP地址可以輕松地與其他信息結(jié)合起來以找出您的身份。

中國知名黑客組織東方聯(lián)盟揭秘了以下是防御黑客常用3種DNS欺騙手法：

1、避免不可靠的解析器

網(wǎng)絡(luò)可以逃避提供不可靠的解決方案，竊取您的數(shù)據(jù)或欺騙DNS，因為很少有用戶知道風(fēng)險或如何保護(hù)自己。

即使對于了解風(fēng)險的用戶，個人用戶也很難與他們的ISP或其他實體進(jìn)行協(xié)商，以確保他們的DNS數(shù)據(jù)得到負(fù)責(zé)任的處理。

尋找一個合適的解析器，如果我們有一個可以信賴的解決方案來保護(hù)用戶的隱私。這意味著Firefox可以忽略網(wǎng)絡(luò)提供的解析器。東方聯(lián)盟黑客安全研究人員表示，有了這個可靠的解析器，我們不必?fù)?dān)心流氓解析器出售我們的用戶數(shù)據(jù)或用欺騙性DNS欺騙我們的用戶。

2、通過HTTPS使用DNS防止路徑上的竊聽和篡改

雖然解析器不是唯一的威脅。路徑上路由器可以跟蹤和欺騙DNS，因為他們可以看到DNS請求和響應(yīng)的內(nèi)容。但是互聯(lián)網(wǎng)已經(jīng)有了確保路徑上路由器不能像這樣竊聽的技術(shù)。這是我之前提到的加密技術(shù)。

通過使用HTTPS交換DNS數(shù)據(jù)包，我們確保沒有人能夠監(jiān)視我們用戶正在做出的DNS請求。傳輸盡可能少的數(shù)據(jù)，以保護(hù)用戶免受匿名處理。除了提供使用DoH協(xié)議進(jìn)行通信的可信解析器之外，尋找安全DNS服務(wù)商，使其更安全。

通常情況下，解析器會將整個域名發(fā)送給每個服務(wù)器-根DNS，TLD名稱服務(wù)器，二級名稱服務(wù)器等。好的DNS服務(wù)商。它只會發(fā)送與當(dāng)前正在與之通話的DNS服務(wù)器相關(guān)的部分。這被稱為QNAME最小化。

3、刪除域名中沒用的解析

解析器通常也會在請求中包含您的IP地址的前24位。這有助于DNS服務(wù)器知道您的位置，并選擇離您更近的CDN。但是這些信息可以被DNS服務(wù)器用來將不同的請求鏈接在一起。

東方聯(lián)盟研究人員說，一些穩(wěn)定的DNS服務(wù)商，是從用戶附近的一個IP地址發(fā)出請求。這提供了地理位置，而無需將其綁定到特定用戶。除此之外，他們正在研究如何以隱私敏感的方式實現(xiàn)更好，形成非常細(xì)粒度的負(fù)載平衡。

這樣做，刪除域名中不相關(guān)的部分并且不包括您的IP地址，意味著DNS服務(wù)器所收集的關(guān)于您的數(shù)據(jù)要少得多，從而更好保護(hù)你的隱私。