DNSSEC aŭ VPN: kiu kaŝas viajn DNS-demandojn?

Du mekanismoj ricevas la saman taskon kaj neniu el ili plenumas ĝin. DNSSEC respondas, ĉu la datumoj, kiujn vi ricevis, vere venis de la zono, kiu publikigas ilin, kaj VPN decidas, kiun vojon viaj pakaĵoj iras. Neniu el ili kaŝas la nomon, kiun vi demandis, en ĉiu kazo, kaj la agordoj, kiuj aspektas kvazaŭ ili devus tion fari, temas kutime pri transporto aŭ enkursigo, ne pri validigo. Nomante la tavolon unue, vi ŝanĝas malprecizan demandon pri privateco en konkretan.

Tri asertoj kunfanditaj en unu

Aŭtentikeco estas la aserto, ke la respondo estas tiu, kiun la zono publikigis, kaj ne estis ŝanĝita survoje. Konfidenceco estas la aserto, ke neniu sur la vojo povas legi la demandon aŭ la respondon. Enkursigo estas la aserto, ke la pakaĵoj sekvas vojon, kiun vi elektis, kaj tion ĝuste donas tunelo.

DNSSEC traktas la unuan kaj diras nenion pri la aliaj du. DoT kaj DoH traktas la duan por la salto al la solvilo. VPN traktas la trian kaj povas ankaŭ influi la duan, sed nur kiel flanka efiko de tio, kien iras la trafiko.

Aplikaja trafiko estas kvara kazo: HTTPS protektas kaj aŭtentigas la retinterŝanĝon inter via kliento kaj la retejo, kaj neniu DNS-tavolo anstataŭas ĝin.

Kion subskriba validigo povas kaj ne povas fari

Validiga solvilo kontrolas la subskriban ĉenon de la zono ĝis agordita fidanstakoro, poste redonas respondon kun la konservita datumflago, kiam la kontrolo sukcesas. Tiu flago estas pruvo pri la datumoj, ne pri la konekto aŭ la intencoj de la celo.

Ĝi ne povas malhelpi laŭleĝan zonposedanton publikigi aŭtentikajn rikordojn por servo, kiun vi ne devus fidi. Ĝuste subskribita respondo de kompromitita domajno restas ĝuste subskribita, kaj DNSSEC ne havas opinion pri tio, ĉu tiu domajno meritas viajn akreditaĵojn.

Ĝi ankaŭ kaŝas nenion. La demando kaj la respondo trapasas la reton en formo, kiun solvilo kaj iu ajn observanto sur tiu vojo povas legi, krom se alia tavolo protektas la transporton. Subskribita respondo kaj privata respondo estas malsamaj ecoj, kaj deplojo povas havi nur unu el ili. Testu ambaŭ, se iu el ili gravas al vi.

De kie fakte venas konfidenceco

Ĉifrita solvila transporto envolvias la DNS-interŝanĝon en TLS, do la solvilo ankoraŭ vidas la demandon sed la vojo inter vi kaj ĝi ne. Tio movas fidon anstataŭ forigi ĝin: vi pli fidas la solvilon kaj malpli la lokan reton.

VPN povas porti demandojn al solvilo aliflanke, kio ŝanĝas kaj la vojon kaj la solvilon, kiu vidas ilin. Tio estas enkursiga decido kun privateca sekvo, kaj en administrata reto la interna solvilo povas esti la sola, kiu povas respondi internajn nomojn.

La kombinaĵo, kiun homoj fakte volas, kutime estas tri aferoj samtempe: validigo ŝaltita, ĉifrita transporto al solvilo, kiun ili elektis, kaj aplikaja TLS ĉe la celo. Ĉiu estas sendependa, kaj preterlasi unu lasas alian breĉon.

Kontrolu validigon kaj transporton aparte

Du testoj solvas la plejparton de la konfuzo. La unua demandas, ĉu la solvilo validigis la respondon; la dua demandas, ĉu la transporto estis protektita. Ili malsukcesas laŭ malsamaj manieroj kaj neniu implicas la alian.

Ĉi tiuj komandoj presas la flagojn de validiga demando, ripetas la demandon kun kontrolo malŝaltita kaj rulas lokan validigon per delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Respondo kun la konservita datumflago kaj ĉeesta subskribo montras validigon ĉe tiu solvilo. Validiga malsukceso per delv montras rompitan ĉenon ie inter la zono kaj la fidanstakoro, kio estas publikiga problemo, ne tunela problemo. Tempolimo sen iuj ajn flagoj estas transporta aŭ atingebla problemo, kaj trakti ĝin kiel subskriban malsukceson sendas vin al la malĝusta tavolo.

Kion fari, kiam VPN rompas serĉojn

Se serĉoj funkciis antaŭ la tunelo kaj haltas post ĝi, komparu la solvilon, kiun uzas ĉiu vojo. Disigita tunelado, interna solvilo atingebla nur tra la tunelo kaj kliento, kiu reskribas solvilajn agordojn, ĉiuj ŝanĝas la respondon sen tuŝi DNSSEC.

Malŝalti validigon tutmonde estas la malĝusta unua paŝo, ĉar ĝi forigas la solan mekanismon, kiu raportas manipuladon, kaj ne riparas solvilon, kiu ne estas atingebla. Unue mallarĝigu la difekton: solvado, transporto, validigo, poste politiko. Nur la tria apartenas al DNSSEC, kaj nur la dua apartenas al ĉifrita transporto.