¿Por qué los navegadores no almacenan sus registros DNS para que en caso de otro ataque contra el sistema DNS haya un impacto limitado?

Los navegadores web normalmente no manejan DNS …

El solucionador de DNS de su computadora generalmente almacena en caché la información de DNS y puede ejecutar su propio servidor DNS de almacenamiento en caché si lo desea creando uno para su red local. Es probable que su ISP ejecute dos de ellos o haya contratado a alguien para que brinde ese servicio, pero tener su propio DNS no es una mala idea si el DNS de su proveedor se cae con frecuencia.

Hay entradas TTL en todos los registros DNS para indicar a otros servidores DNS cuándo dejar de usar la información que ya se tiene. Luego solicitarán una nueva ‘transferencia de zona’ cuando solicite un registro caducado. Es la forma en que funcionan todos los servidores DNS.

Si construye un DNS localmente, deberá permitirle que realice entradas recursivas. Si también necesita un servidor DNS autorizado (para los servicios que proporciona dentro de su red como un correo electrónico, FTP o servidor web), entonces no querrá usar su DNS local para registros autorizados.

Espero que esto ayude

Cambio de respuesta de DNS, algunos muy regularmente. Además, el DNS a menudo se usa para fines de gestión del tráfico, ya sea para equilibrar la carga por geografía (enviar solicitudes de EE. UU. A servidores de EE. UU. Y solicitudes europeas a servidores europeos), o para resilancia (enviar al servidor A, a menos que el servidor A se caiga, luego enviar al servidor SI). Además de eso, incluso si almacenó en caché todas las respuestas que ha recibido hasta ahora, ¿qué pasa con las nuevas consultas? Fallarían también.

En resumen, podría ayudar un poco, pero es probable que presente más problemas de los que resuelve.

Porque, tal vez de forma contraintuitiva, es útil saber dónde existe la última ubicación “correcta” del sitio web. Si la ubicación actual está siendo golpeada o atacada y el alojamiento se mueve, el DNS registra que los navegadores, en realidad no, esto es el almacenamiento en caché de registros DNS en la pila TCP / IP de su computadora, ahora pueden no ser válidos.

El envenenamiento de DNS es malo. Las actualizaciones de DNS para corregir son buenas. En general, su pila TCP / IP es independiente de la validez de los resultados.

Una de las formas propuestas para mitigar los ataques contra la validez de DNS ha sido cambiar a algo así como una cadena de bitcoin o, específicamente, una cadena de confianza DNSSEC [1]

Notas al pie

[1] ¿Cuál es la cadena de confianza DNSSEC?

Su computadora local almacena en caché DNS por un corto tiempo. Pero muchas características de la Web moderna dependen de la variación dinámica. La gente comienza y detiene las granjas de servidores a medida que cambia la carga, para ahorrar energía. El DNS “pegajoso” haría que la Web se debilitara incluso cuando no fuera atacado.

Hay un TTL (tiempo de vida) asociado con cada registro dns. El navegador almacena en caché esta entrada durante ese tiempo.