DNSSEC protiv VPN-a: šta skriva vaše DNS upite?

Dva mehanizma dobijaju isti zadatak i nijedan ga ne obavlja. DNSSEC odgovara da li su podaci koje ste primili zaista došli iz zone koja ih objavljuje, a VPN odlučuje kojim putem idu vaši paketi. Nijedan od njih ne skriva ime koje ste tražili u svakom slučaju, a postavke koje izgledaju kao da bi to trebale raditi obično se tiču transporta ili usmjeravanja, a ne validacije. Ako prvo imenujete sloj, nejasno pitanje privatnosti postaje konkretno.

Tri tvrdnje spojene u jednu

Autentičnost je tvrdnja da je odgovor onaj koji je zona objavila i da nije promijenjen na putu. Povjerljivost je tvrdnja da niko na putu ne može pročitati upit ni odgovor. Usmjeravanje je tvrdnja da paketi slijede put koji ste vi odabrali, a to je upravo ono što tunel pruža.

DNSSEC se bavi prvim i ne govori ništa o druga dva. DoT i DoH se bave drugim za dio puta do rezolvera. VPN se bavi trećim i može uticati i na drugo, ali samo kao nuspojava toga kuda saobraćaj ide.

Saobraćaj aplikacija je četvrti slučaj: HTTPS štiti i autentificira web razmjenu između vašeg klijenta i sajta, i nijedan DNS sloj ga ne zamjenjuje.

Šta validacija potpisa može, a šta ne može

Rezolver koji validira provjerava lanac potpisa od zone do konfigurisanog sidra povjerenja, a zatim vraća odgovor sa postavljenom oznakom autentificiranih podataka kada provjera uspije. Ta oznaka je dokaz o podacima, ne o vezi ni o namjerama odredišta.

Ne može spriječiti zakonitog vlasnika zone da objavi autentične zapise za uslugu kojoj ne treba vjerovati. Ispravno potpisan odgovor sa kompromitovane domene i dalje je ispravno potpisan, i DNSSEC nema mišljenje o tome zaslužuje li ta domena vaše akreditive.

Takođe ne skriva ništa. Upit i odgovor prelaze mrežu u obliku koji rezolver i svaki posmatrač na tom putu mogu pročitati, osim ako neki drugi sloj štiti transport. Potpisan odgovor i privatan odgovor su različita svojstva, a postavljanje može imati samo jedno od njih. Testirajte oba ako vam je ijedno važno.

Odakle povjerljivost zapravo dolazi

Šifrovani transport do rezolvera obavija DNS razmjenu u TLS, pa rezolver i dalje vidi pitanje, ali put između vas i njega ne. To premješta povjerenje umjesto da ga ukloni: više vjerujete rezolveru, a manje lokalnoj mreži.

VPN može nositi upite do rezolvera na drugoj strani, što mijenja i put i rezolver koji ih vidi. To je odluka o usmjeravanju s posljedicom po privatnost, a na upravljanoj mreži interni rezolver može biti jedini koji može odgovoriti na interna imena.

Kombinacija koju ljudi zapravo žele obično su tri stvari odjednom: uključena validacija, šifrovani transport do rezolvera koji su odabrali i TLS aplikacije na odredištu. Svaka je nezavisna, a preskakanje jedne ostavlja drugu prazninu.

Provjeravajte validaciju i transport odvojeno

Dva testa rješavaju većinu zabune. Prvi pita da li je rezolver validirao odgovor; drugi pita da li je transport bio zaštićen. Oni padaju na različite načine i nijedan ne podrazumijeva drugi.

Ove komande ispisuju oznake iz upita s validacijom, ponavljaju upit s isključenom provjerom i pokreću lokalnu validaciju pomoću delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Odgovor s oznakom autentificiranih podataka i prisutnim potpisom pokazuje validaciju na tom rezolveru. Neuspjeh validacije s delv pokazuje prekinut lanac negdje između zone i sidra povjerenja, a to je problem objavljivanja, a ne problem tunela. Istek vremena bez ikakvih oznaka je problem transporta ili dostupnosti, a tretiranje toga kao neuspjeha potpisa vodi vas na pogrešan sloj.

Šta raditi kada VPN pokvari pretrage

Ako su pretrage radile prije tunela i prestale poslije njega, uporedite rezolver koji koristi svaki put. Podijeljeno tuneliranje, interni rezolver dostupan samo kroz tunel i klijent koji prepisuje postavke rezolvera mijenjaju odgovor bez diranja DNSSEC-a.

Globalno isključivanje validacije pogrešan je prvi potez, jer uklanja jedini mehanizam koji prijavljuje neovlašteno mijenjanje i ne popravlja rezolver do kojeg se ne može doći. Prvo suzite kvar: razrješavanje, transport, validacija, pa politika. Samo treće pripada DNSSEC-u, a samo drugo šifrovanom transportu.