DNSSEC ή VPN: ποιο κρύβει τα DNS ερωτήματά σας;

Δύο μηχανισμοί παίρνουν τα εύσημα για την ίδια δουλειά και κανένας από τους δύο δεν την κάνει. Το DNSSEC απαντά αν τα δεδομένα που λάβατε προήλθαν πραγματικά από τη ζώνη που τα δημοσιεύει, και ένα VPN αποφασίζει ποια διαδρομή ακολουθούν τα πακέτα σας. Κανένα από τα δύο δεν κρύβει το όνομα που ζητήσατε σε κάθε περίπτωση, και οι ρυθμίσεις που μοιάζουν να πρέπει να το κάνουν αφορούν συνήθως τη μεταφορά ή τη δρομολόγηση και όχι την επικύρωση. Αν ονομάσετε πρώτα το επίπεδο, μια αόριστη ερώτηση για την ιδιωτικότητα γίνεται συγκεκριμένη.

Τρεις ισχυρισμοί που συγχωνεύονται σε έναν

Η αυθεντικότητα είναι ο ισχυρισμός ότι η απάντηση είναι αυτή που δημοσίευσε η ζώνη και δεν άλλαξε στη διαδρομή. Η εμπιστευτικότητα είναι ο ισχυρισμός ότι κανείς στη διαδρομή δεν μπορεί να διαβάσει το ερώτημα ή την απάντηση. Η δρομολόγηση είναι ο ισχυρισμός ότι τα πακέτα ακολουθούν μια διαδρομή που επιλέξατε εσείς, και αυτό ακριβώς παρέχει ένα τούνελ.

Το DNSSEC ασχολείται με το πρώτο και δεν λέει τίποτα για τα άλλα δύο. Τα DoT και DoH ασχολούνται με το δεύτερο για το άλμα προς τον διακομιστή επίλυσης. Ένα VPN ασχολείται με το τρίτο και μπορεί να επηρεάσει και το δεύτερο, αλλά μόνο ως παρενέργεια του πού πηγαίνει η κίνηση.

Η κίνηση εφαρμογών είναι μια τέταρτη περίπτωση: το HTTPS προστατεύει και πιστοποιεί την ανταλλαγή ιστού μεταξύ του πελάτη σας και του ιστότοπου, και κανένα επίπεδο DNS δεν το αντικαθιστά.

Τι μπορεί και τι δεν μπορεί να κάνει η επικύρωση υπογραφών

Ένας διακομιστής επίλυσης που επικυρώνει ελέγχει την αλυσίδα υπογραφών από τη ζώνη μέχρι μια ρυθμισμένη άγκυρα εμπιστοσύνης και μετά επιστρέφει μια απάντηση με τη σημαία επαληθευμένων δεδομένων ενεργή όταν ο έλεγχος πετύχει. Αυτή η σημαία είναι απόδειξη για τα δεδομένα, όχι για τη σύνδεση ή τις προθέσεις του προορισμού.

Δεν μπορεί να εμποδίσει έναν νόμιμο κάτοχο ζώνης να δημοσιεύσει αυθεντικές εγγραφές για μια υπηρεσία που δεν θα έπρεπε να εμπιστεύεστε. Μια σωστά υπογεγραμμένη απάντηση από παραβιασμένο τομέα παραμένει σωστά υπογεγραμμένη, και το DNSSEC δεν έχει γνώμη για το αν αυτός ο τομέας αξίζει τα διαπιστευτήριά σας.

Δεν κρύβει επίσης τίποτα. Το ερώτημα και η απάντηση διασχίζουν το δίκτυο σε μορφή που μπορεί να διαβάσει ο διακομιστής και οποιοσδήποτε παρατηρητής σε αυτή τη διαδρομή, εκτός αν κάποιο άλλο επίπεδο προστατεύει τη μεταφορά. Μια υπογεγραμμένη απάντηση και μια ιδιωτική απάντηση είναι διαφορετικές ιδιότητες, και μια ανάπτυξη μπορεί να έχει μόνο τη μία. Δοκιμάστε και τις δύο αν σας ενδιαφέρει έστω και μία.

Από πού προέρχεται πραγματικά η εμπιστευτικότητα

Η κρυπτογραφημένη μεταφορά προς τον διακομιστή επίλυσης τυλίγει την ανταλλαγή DNS σε TLS, οπότε ο διακομιστής βλέπει ακόμα την ερώτηση αλλά η διαδρομή μεταξύ εσάς και αυτού όχι. Αυτό μετακινεί την εμπιστοσύνη αντί να την αφαιρεί: εμπιστεύεστε περισσότερο τον διακομιστή και λιγότερο το τοπικό δίκτυο.

Ένα VPN μπορεί να μεταφέρει ερωτήματα σε έναν διακομιστή επίλυσης στην άλλη πλευρά, κάτι που αλλάζει και τη διαδρομή και τον διακομιστή που τα βλέπει. Είναι απόφαση δρομολόγησης με συνέπεια στην ιδιωτικότητα, και σε διαχειριζόμενο δίκτυο ο εσωτερικός διακομιστής μπορεί να είναι ο μόνος που μπορεί να απαντήσει σε εσωτερικά ονόματα.

Ο συνδυασμός που θέλουν πραγματικά οι άνθρωποι είναι συνήθως τρία πράγματα ταυτόχρονα: επικύρωση ενεργή, κρυπτογραφημένη μεταφορά προς διακομιστή επίλυσης που επέλεξαν και TLS εφαρμογής στον προορισμό. Το καθένα είναι ανεξάρτητο, και η παράλειψη ενός αφήνει ένα διαφορετικό κενό.

Ελέγξτε την επικύρωση και τη μεταφορά χωριστά

Δύο δοκιμές λύνουν το μεγαλύτερο μέρος της σύγχυσης. Η πρώτη ρωτά αν ο διακομιστής επίλυσης επικύρωσε την απάντηση· η δεύτερη ρωτά αν η μεταφορά ήταν προστατευμένη. Αποτυγχάνουν με διαφορετικούς τρόπους και καμία δεν συνεπάγεται την άλλη.

Αυτές οι εντολές εκτυπώνουν τις σημαίες από ένα ερώτημα με επικύρωση, επαναλαμβάνουν το ερώτημα με τον έλεγχο απενεργοποιημένο και εκτελούν τοπική επικύρωση με delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Μια απάντηση με τη σημαία επαληθευμένων δεδομένων και παρούσα υπογραφή δείχνει επικύρωση σε αυτόν τον διακομιστή. Αποτυχία επικύρωσης με delv δείχνει σπασμένη αλυσίδα κάπου μεταξύ της ζώνης και της άγκυρας εμπιστοσύνης, που είναι πρόβλημα δημοσίευσης και όχι πρόβλημα τούνελ. Το τέλος χρόνου χωρίς καμία σημαία είναι πρόβλημα μεταφοράς ή προσβασιμότητας, και η αντιμετώπισή του ως αποτυχία υπογραφής σας στέλνει σε λάθος επίπεδο.

Τι να κάνετε όταν ένα VPN χαλάει τις αναζητήσεις

Αν οι αναζητήσεις δούλευαν πριν από το τούνελ και σταματούν μετά, συγκρίνετε τον διακομιστή επίλυσης που χρησιμοποιεί κάθε διαδρομή. Η διαχωρισμένη σήραγγα, ένας εσωτερικός διακομιστής επίλυσης προσβάσιμος μόνο μέσω του τούνελ και ένας πελάτης που ξαναγράφει τις ρυθμίσεις του διακομιστή επίλυσης αλλάζουν όλα την απάντηση χωρίς να αγγίξουν το DNSSEC.

Η απενεργοποίηση της επικύρωσης παγκοσμίως είναι λάθος πρώτη κίνηση, γιατί αφαιρεί τον μόνο μηχανισμό που αναφέρει παραποίηση και δεν διορθώνει έναν διακομιστή επίλυσης που δεν είναι προσβάσιμος. Περιορίστε πρώτα τη βλάβη: ανάλυση, μεταφορά, επικύρωση και μετά πολιτική. Μόνο το τρίτο ανήκει στο DNSSEC, και μόνο το δεύτερο ανήκει στην κρυπτογραφημένη μεταφορά.