Фарминг: что это, как подменяют DNS и как защититься

Определение

Фарминг — атака, при которой пользователь вводит верный адрес сайта, а попадает на поддельный. Ошибки в адресе нет, ссылку-приманку никто не присылал: подменили само соответствие «имя сайта — IP-адрес». Родовое понятие для таких подмен — спуфинг, а фарминг — его частный случай на уровне DNS.

Не путайте с фармингом в играх и криптовалютах: там слово означает накопление ресурсов, а не атаку.

Как работает подмена

Когда вы вводите адрес сайта, устройство спрашивает DNS-сервер, какому IP он соответствует. Подмену делают в одном из трёх мест:

в ответе DNS: чужой ответ попадает в кэш DNS-сервера или подставляется по пути, например в недоверенной Wi-Fi-сети;
в файле hosts на устройстве: запись в нём проверяется раньше DNS, и после вредоносной правки знакомое имя ведёт на чужой адрес;
в настройках роутера: вместо DNS-сервера провайдера прописан чужой, и подмена касается всех устройств дома или офиса.

Результат один: адресная строка показывает знакомое имя, а страница — копия сайта банка или магазина, куда вы вводите логин, пароль и данные карты. Отсюда вывод и для QR-кодов: даже верная ссылка может увести не туда, если подменён путь к серверу.

Чем фарминг отличается от смежных угроз

Квишинг — подмена на носителе: поддельный QR-код наклеен поверх настоящего или напечатан в письме. Фарминг происходит в сети, а физический носитель остаётся честным.
Open Redirect — уязвимость самого сайта, которая превращает его адрес в трамплин на чужой ресурс. При фарминге сайт ни при чём.
Вредоносный URL — ссылка, которая сама ведёт на опасный ресурс. При фарминге ссылка верная, подменён путь к ней.

Как защититься

Не игнорируйте предупреждения браузера. Как правило, у поддельного сайта нет действительного сертификата на это имя, поэтому защищённая страница выдаст ошибку. Закройте вкладку, а не жмите «Продолжить».
Обновите прошивку роутера, смените заводской пароль администратора и проверьте, какие DNS-серверы указаны в настройках: незнакомых адресов там быть не должно.
Включите шифрованный DNS. DNS-over-HTTPS (RFC 8484, октябрь 2018) шифрует запрос между устройством и DNS-сервером, и его не подменить по дороге. Если скомпрометирован сам выбранный сервер, метод не поможет.
DNSSEC (RFC 4033, март 2005) добавляет проверку источника и целостности DNS-данных. Он работает, когда домен подписан и DNS-сервер проверяет подписи.

Частые вопросы

Чем фарминг отличается от фишинга?

При фишинге приманка — письмо, SMS или QR-код — заставляет вас прийти на двойник. При фарминге вы приходите сами по верному адресу, поэтому его называют фишингом без приманки. Защита разная: от фишинга спасает внимание к сообщениям, от фарминга — проверка сертификата и чистые настройки сети.

Как понять, что DNS подменён?

Знакомый сайт выглядит иначе, просит лишние данные или выдаёт ошибку сертификата, причём сразу на нескольких устройствах в одной сети. Проверка простая: откройте тот же адрес через мобильный интернет. Если там сайт обычный, а дома странный, смотрите DNS-серверы в настройках роутера.

Защитит ли смена DNS-сервера?

Частично. Смена убирает чужой сервер из цепочки, но не лечит причину: слабый пароль администратора роутера или вредоносную программу на компьютере. Подмена может повториться. И DNS-сервер, даже публичный, не заменяет проверку сертификата: на неё полагайтесь в первую очередь.

Что делать владельцу сайта?

Отдавайте все страницы по HTTPS и включите HSTS (RFC 6797): после первого визита браузер откажется открывать сайт без защищённого соединения и не даст пропустить ошибку сертификата. Подпишите домен по DNSSEC, если регистратор это поддерживает. Подмену это не отменяет, но делает её заметной для браузера и DNS-сервера, который проверяет подписи.

Фарминг — что это за атака и как защититься от подмены DNS