DNS TLS gainean eta VPN bat: zein zati dago babestuta

DNS TLS gainean zifratzen du bezeroaren eta hark hautatu duen ebazlearen arteko trukea, eta ebazleak izena irakurtzen jarraitzen du. Esaldi horrek DoT eta VPN inguruko nahasmenaren zatirik handiena argitzen du. Tunelak erabakitzen du zifratutako kontsultak zein bide hartzen duen, eta ebazleak oraindik ere badakizki zer galdetu den. Bi mekanismoetariko batek ez du bestea ordezkatzen, eta batek ere ez du bestea soberan uzten.

Lau egiaztapenek erabakitzen dute daukazun antolamendua uste duzun hori den.

1. egiaztapena: zer hartzen duen zifratzeak

DoT-ek DNS trukea TLS barruan biltzen du, beraz bidean dagoen behatzaileak helbide eta ataka baterako konexioa ikusten du, ez kontsulta bateko izena. Ebazleak berak deszifratzen du eta erantzuten du. Konpara ezazu DNS HTTPS gainean: biek zifratzen dute, eta garraiobide desberdinak erabiltzen dituzte, beraz web trafikoa onartzen duen sareak ez du automatikoki DoT konexioa onartzen.

Bereizketa horrek garrantzia du atxikitze-atari batek edo iragazteko bitarteko kutxa batek 443 onartu eta 853 blokeatzen duenean. Han funtzionatu zuen tresna ez da besteak funtzionatuko duen froga.

2. egiaztapena: zein ibilbide hartzen duen kontsultak

Ibilbidea bezeroaren politikaren kontua da. DoT ebazle batera tunelaren bidez, hortik kanpo edo sarearekin aldatzen den bide batetik irits daiteke. Zein gertatzen den ibilbideen eta bezeroak bere DNS socket-a babesten duen ala ez araberakoa da. Trafiko guztia harrapatzen duen tunelak kontsulta berekin eramaten du normalean, ebazlearen helbideak esaten duen edozein dela ere.

Proba batean hirugarrenen ebazle baten helbidea ikusteak ez du saihestea frogatzen, eta zifratzea ikusteak ez du jasotzaile zuzena frogatzen. Irakurri ebazlea eta bidea bereizita, eta gero erabaki bikotea diseinatu duzun hori den.

3. egiaztapena: barne-izenak

Barne-izenak argitaratzen dituen erakunde batek erregistro horiek gordetzen dituen ebazle bat behar du. DoT zerbitzu publiko batek ez daki zure izen-espazio pribatua, eta bezeroa horretara zuzenduta gero izen horiek huts egingo dute ziur. Hori da praktikan gehien gertatzen den erregresioa norbaitek gailu kudeatu batean DNS zifratua gaitzen duenean.

Mantendu barne-ebazlea barne-atzerakinentzat eta zifratu jauzi hori politikak hala eskatzen badu, hornitzaile publiko batekin ordezkatu beharrean.

4. egiaztapena: hutsegitearen portaera

Ebazle ezargarri gabe ezarpen zorrotzak izen-ebazpeneko hutsegitea sortzen du, tunela zutik dagoen bitartean. Begiratu plataformaren modua eta haren dokumentatutako ordezkoa, giltzak edo ziurtagiriak ukitu beharrean.

DNS arrunta isilean erabiltzen duen ordezko bat politikaren erabakia da, ez erosotasuna. Erabaki hutsegitea ikusgarria izan behar duen edo ahulago zerbaitetara jaitsi behar duen, eta idatzi erantzuna.

Fidatu ziurtagiriaz, ez erantzunaz

Erabili zerbitzurako dokumentatutako hornitzailearen ostalari-izena eta egiaztapen-konfigurazioa. TLS egiaztapenak desgaitzeak, ebazle ezezagun batek erantzun dezan, egiaztatu gabeko mutur baterako kanal zifratua ematen dizu, eta hori ordezkatu zuen kontsulta arrunta baino okerragoa da alde zehatz batean: segurua dirudi. DNS TLS gaineko zehaztapenak egiaztapen horren atzeko autentifikazio-itzaropena azaltzen du.

Autentifikatu ezin duzun ebazle baten erantzuna baieztapena da, ez emaitza.

Zer uzten duen honek azaldu gabe

DoT-ek ez dio izena ebazleari ezkutatzen, ez du konexioaren helburu-helbidea saretik ezkutatzen eta ez du erabakitzen kontsulta tuneletik igaro den. Hiru galdera bereizi dira, hiru erantzun desberdinekin.

Idatzi ebazlearen identitatea, igarobidea eta barne-izen politikak hiru lerrotan. Hurrengo jasoko duzun DNS galdera horietako bat izango da.