DNS πάνω από TLS μαζί με VPN: ποιο κομμάτι προστατεύεται

Το DNS πάνω από TLS κρυπτογραφεί την ανταλλαγή ανάμεσα σε έναν πελάτη και τον resolver που διάλεξε, και ο resolver εξακολουθεί να διαβάζει το όνομα. Αυτή η πρόταση ξεκαθαρίζει το μεγαλύτερο μέρος της σύγχυσης γύρω από το DoT μαζί με ένα VPN. Το τούνελ αποφασίζει ποια διαδρομή ακολουθεί το κρυπτογραφημένο ερώτημα, ενώ ο resolver εξακολουθεί να μαθαίνει τι ζητήθηκε. Κανένας από τους δύο μηχανισμούς δεν αντικαθιστά τον άλλο, και κανένας δεν κάνει τον άλλο περιττό.

Τέσσερις έλεγχοι αποφασίζουν αν η διάταξη που έχετε είναι αυτή που νομίζετε ότι έχετε.

Έλεγχος 1: τι καλύπτει η κρυπτογράφηση

Το DoT τυλίγει την ανταλλαγή DNS σε TLS, οπότε ένας παρατηρητής στη διαδρομή βλέπει σύνδεση προς μια διεύθυνση και μια θύρα αντί για ένα όνομα μέσα σε ένα ερώτημα. Ο ίδιος ο resolver αποκρυπτογραφεί και απαντά. Συγκρίνετέ το με το DNS πάνω από HTTPS: και τα δύο κρυπτογραφούν, και χρησιμοποιούν διαφορετικά μέσα μεταφοράς, οπότε ένα δίκτυο που επιτρέπει κίνηση ιστού δεν επιτρέπει αυτόματα σύνδεση DoT.

Αυτή η διάκριση έχει σημασία όταν μια πύλη αιχμαλωσίας ή ένα φιλτράρον μεσαίο κουτί επιτρέπει τη 443 και μπλοκάρει τη 853. Το εργαλείο που δούλεψε εκεί δεν είναι απόδειξη ότι θα δουλέψει το άλλο.

Έλεγχος 2: ποια διαδρομή ακολουθεί το ερώτημα

Η διαδρομή είναι ζήτημα πολιτικής πελάτη. Σε έναν resolver DoT μπορεί κανείς να φτάσει μέσα από το τούνελ, έξω από αυτό ή από μονοπάτι που αλλάζει μαζί με το δίκτυο. Ποιο συμβαίνει εξαρτάται από τις διαδρομές και από το αν ο πελάτης προστατεύει τη δική του υποδοχή DNS. Ένα τούνελ που πιάνει όλη την κίνηση συνήθως παίρνει μαζί του και το ερώτημα, ό,τι κι αν λέει η διεύθυνση του resolver.

Το να δείτε μια διεύθυνση resolver τρίτου σε ένα τεστ δεν αποδεικνύει παράκαμψη, και το να δείτε κρυπτογράφηση δεν αποδεικνύει τον επιδιωκόμενο παραλήπτη. Διαβάστε τον resolver και τη διαδρομή χωριστά και μετά αποφασίστε αν το ζεύγος είναι αυτό που σχεδιάσατε.

Έλεγχος 3: εσωτερικά ονόματα

Ένας οργανισμός που δημοσιεύει εσωτερικά ονόματα χρειάζεται έναν resolver που κρατά αυτές τις εγγραφές. Μια δημόσια υπηρεσία DoT δεν γνωρίζει τον ιδιωτικό σας χώρο ονομάτων, και το να δείξετε τον πελάτη σε μια τέτοια εγγυάται ότι αυτά τα ονόματα θα αποτύχουν. Αυτή είναι η πιο συχνή πρακτική υποβάθμιση όταν κάποιος ενεργοποιεί κρυπτογραφημένο DNS σε μια διαχειριζόμενη συσκευή.

Κρατήστε τον εσωτερικό resolver για εσωτερικά επιθήματα και κρυπτογραφήστε αυτό το άλμα αν το απαιτεί η πολιτική, αντί να τον αντικαταστήσετε με δημόσιο πάροχο.

Έλεγχος 4: συμπεριφορά αστοχίας

Μια αυστηρή ρύθμιση resolver χωρίς προσβάσιμο resolver παράγει αποτυχία επίλυσης ονόματος ενώ το τούνελ μένει σηκωμένο. Κοιτάξτε τη λειτουργία της πλατφόρμας και την τεκμηριωμένη εφεδρική της λύση αντί να πειράξετε κλειδιά ή πιστοποιητικά.

Μια εφεδρική λύση που χρησιμοποιεί σιωπηλά απλό DNS είναι απόφαση πολιτικής, όχι ευκολία. Αποφασίστε αν η αστοχία πρέπει να είναι ορατή ή να υποβαθμίζεται σε κάτι ασθενέστερο, και γράψτε την απάντηση.

Εμπιστευτείτε το πιστοποιητικό, όχι την απάντηση

Χρησιμοποιήστε το όνομα κεντρικού υπολογιστή του παρόχου και τη ρύθμιση επαλήθευσης που τεκμηριώνεται για την υπηρεσία. Το να απενεργοποιήσετε τους ελέγχους TLS ώστε να απαντήσει ένας άγνωστος resolver σας δίνει κρυπτογραφημένο κανάλι προς ένα μη επαληθευμένο τελικό σημείο, που είναι χειρότερο από το απλό ερώτημα που αντικατέστησε σε ένα συγκεκριμένο σημείο: φαίνεται ασφαλές. Η προδιαγραφή DNS πάνω από TLS εκθέτει την προσδοκία ταυτοποίησης πίσω από αυτόν τον έλεγχο.

Μια απάντηση από resolver που δεν μπορείτε να ταυτοποιήσετε είναι ισχυρισμός, όχι αποτέλεσμα.

Τι αφήνει αυτό ανεξήγητο

Το DoT δεν κρύβει το όνομα από τον resolver, δεν κρύβει τη διεύθυνση προορισμού της σύνδεσης από το δίκτυο και δεν αποφασίζει αν το ερώτημα ταξίδεψε μέσα από το τούνελ. Αυτά είναι τρία ξεχωριστά ερωτήματα με τρεις ξεχωριστές απαντήσεις.

Γράψτε την ταυτότητα του resolver, τη διαδρομή διέλευσης και την πολιτική εσωτερικών ονομάτων ως τρεις γραμμές. Το επόμενο ερώτημα DNS που θα σας τύχει θα είναι ένα από αυτά.