DNSSEC neu VPN: pa un sy’n cuddio eich ymholiadau DNS?

Mae dau fecanwaith yn cael eu credu’n gwneud yr un gwaith ac nid yw’r naill na’r llall yn ei wneud. Mae DNSSEC yn ateb a yw’r data a gawsoch wedi dod yn wir o’r parth sy’n ei gyhoeddi, ac mae VPN yn penderfynu pa lwybr y mae eich pecynnau’n ei gymryd. Nid yw’r naill na’r llall yn cuddio’r enw y gofynnoch amdano ym mhob achos, ac mae’r gosodiadau sy’n edrych fel pe dylent wneud hynny fel arfer yn ymwneud â chludiant neu lwybro yn hytrach na dilysu. Mae enwi’r haen yn gyntaf yn troi cwestiwn preifatrwydd annelwig yn un penodol.

Tri honiad sy’n cael eu cyfuno’n un

Dilysrwydd yw’r honiad mai’r ateb yw’r un a gyhoeddwyd gan y parth ac na chafodd ei newid ar y ffordd. Cyfrinachedd yw’r honiad na all neb ar y llwybr ddarllen yr ymholiad na’r ateb. Llwybro yw’r honiad bod y pecynnau’n dilyn llwybr a ddewisoch, a dyna’n union y mae twnnel yn ei roi.

Mae DNSSEC yn mynd i’r afael â’r cyntaf ac yn dweud dim am y ddau arall. Mae DoT a DoH yn mynd i’r afael â’r ail ar gyfer y naid i’r datryswr. Mae VPN yn mynd i’r afael â’r trydydd ac yn gallu effeithio ar yr ail hefyd, ond dim ond fel sgil-effaith o ble mae’r traffig yn mynd.

Mae traffig cymwysiadau yn achos pedwerydd: mae HTTPS yn amddiffyn ac yn dilysu’r gyfnewidfa we rhwng eich cleient a’r safle, ac nid oes unrhyw haen DNS yn cymryd ei le.

Beth all dilysu llofnodion ei wneud a beth na all

Mae datryswr dilysu yn gwirio’r gadwyn o lofnodion o’r parth hyd at angor ymddiriedaeth a ffurfweddwyd, ac yna’n dychwelyd ateb gyda’r faner data dilys wedi’i gosod pan fydd y gwiriad yn llwyddo. Mae’r faner honno’n dystiolaeth am y data, nid am y cysylltiad nac am fwriadau’r cyrchfan.

Ni all atal perchennog parth cyfreithlon rhag cyhoeddi cofnodion dilys ar gyfer gwasanaeth na ddylech ymddiried ynddo. Mae ateb wedi’i lofnodi’n gywir o barth sydd wedi’i gyfaddawdu yn dal i fod wedi’i lofnodi’n gywir, ac nid oes gan DNSSEC farn ynghylch a yw’r parth hwnnw’n haeddu eich manylion mewngofnodi.

Nid yw’n cuddio dim chwaith. Mae’r ymholiad a’r ateb yn croesi’r rhwydwaith ar ffurf y gall datryswr ac unrhyw arsylwr ar y llwybr hwnnw ei darllen, oni bai bod haen arall yn amddiffyn y cludiant. Mae ateb wedi’i lofnodi ac ateb preifat yn briodweddau gwahanol, a gall defnydd gael y naill neu’r llall ar ei ben ei hun. Profwch y ddau os yw’r naill neu’r llall yn bwysig i chi.

O ble y daw cyfrinachedd mewn gwirionedd

Mae cludiant datryswr wedi’i amgryptio yn lapio’r gyfnewidfa DNS mewn TLS, felly mae’r datryswr yn dal i weld y cwestiwn ond nid yw’r llwybr rhyngoch chi ac ef yn gweld. Mae hynny’n symud ymddiriedaeth yn hytrach na’i dileu: rydych yn ymddiried mwy yn y datryswr a llai yn y rhwydwaith lleol.

Gall VPN gludo ymholiadau i ddatryswr ar yr ochr arall, sy’n newid y llwybr a’r datryswr sy’n eu gweld. Mae hynny’n benderfyniad llwybro ag iddo ganlyniad i breifatrwydd, ac ar rwydwaith a reolir efallai mai’r datryswr mewnol yw’r unig un a all ateb enwau mewnol.

Y cyfuniad y mae pobl ei eisiau mewn gwirionedd yw tair peth ar unwaith fel arfer: dilysu ymlaen, cludiant wedi’i amgryptio i ddatryswr a ddewiswyd ganddynt, a TLS cymhwysiad ar y gyrchfan. Mae pob un yn annibynnol, ac mae hepgor un yn gadael bwlch gwahanol.

Gwiriwch ddilysu a chludiant ar wahân

Mae dau brawf yn datrys y rhan fwyaf o’r dryswch. Mae’r cyntaf yn gofyn a ddilysodd y datryswr yr ateb; mae’r ail yn gofyn a oedd y cludiant wedi’i amddiffyn. Maent yn methu mewn ffyrdd gwahanol ac nid yw’r naill yn awgrymu’r llall.

Mae’r gorchmynion hyn yn argraffu’r faneri o ymholiad dilysu, yn ailadrodd yr ymholiad gyda’r gwiriad wedi’i analluogi, ac yn rhedeg dilysu lleol gyda delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Mae ateb â’r faner data dilys a llofnod yn bresennol yn dangos dilysu yn y datryswr hwnnw. Mae methiant dilysu gyda delv yn dangos cadwyn wedi torri rywle rhwng y parth a’r angor ymddiriedaeth, sef problem gyhoeddi yn hytrach na phroblem twnnel. Mae terfyn amser heb unrhyw faneri yn broblem cludiant neu gyrhaeddiad, ac mae trin hynny fel methiant llofnod yn eich anfon i’r haen anghywir.

Beth i’w wneud pan fydd VPN yn torri chwiliadau

Os oedd chwiliadau’n gweithio cyn y twnnel ac yn stopio ar ei ôl, cymharwch y datryswr y mae pob llwybr yn ei ddefnyddio. Mae twnelu hollt, datryswr mewnol na ellir ei gyrraedd ond trwy’r twnnel, a chleient sy’n ailysgrifennu gosodiadau’r datryswr i gyd yn newid yr ateb heb gyffwrdd â DNSSEC.

Mae analluogi dilysu’n fyd-eang yn gam cyntaf anghywir, oherwydd mae’n dileu’r unig fecanwaith sy’n adrodd am ymyrraeth ac nid yw’n trwsio datryswr na ellir ei gyrraedd. Culhewch y diffyg yn gyntaf: datrysiad, cludiant, dilysu, yna polisi. Dim ond y trydydd sy’n perthyn i DNSSEC, a dim ond yr ail sy’n perthyn i gludiant wedi’i amgryptio.