DNSSEC edo VPN: zeinek ezkutatzen ditu zure DNS galdetegiak?

Bi mekanismori lan bera egozten zaie eta batek ere ez du egiten. DNSSECek erantzuten du ea jaso duzun datua benetan argitaratzen duen zonatik datorren, eta VPN batek erabakitzen du zure paketeek zein bide hartzen duten. Batek ere ez du ezkutatzen galdetu zenuen izena kasu guztietan, eta egin beharko luketela diruditen ezarpenek garraioari edo bideratzeari egiten diete erreferentzia, ez baliozkotzeari. Geruza lehenengo izendatzeak pribatutasunari buruzko galdera lausoa zehatz bihurtzen du.

Bat egiten duten hiru baieztapen

Benetakotasuna da erantzuna zonak argitaratu zuen huraxe dela eta bidean aldatu ez zela dioen baieztapena. Isilpekotasuna da bidean inork ez duela kontsulta edo erantzuna irakur dezakeen baieztapena. Bideratzea da paketeek zuk aukeratutako bidea jarraitzen dutela dioen baieztapena, eta horixe ematen du tunel batek.

DNSSECek lehenengoaz arduratzen da eta ez du ezer esaten beste biei buruz. DoT eta DoH bigarrenaz arduratzen dira resolverrerainoko jauzirako. VPN batek hirugarrenaz arduratzen da eta bigarrenean ere eragin dezake, baina trafikoa norantz doanaren alboko efektu gisa soilik.

Aplikazioen trafikoa laugarren kasua da: HTTPSek zure bezeroaren eta gunearen arteko web-trukea babesten eta autentikatzen du, eta DNS geruza batek ere ez du ordezkatzen.

Zer egin dezakeen sinadura-baliozkotzeak eta zer ez

Baliozkotzen duen resolver batek sinadura-katea egiaztatzen du zonatik konfiguratutako konfiantza-aingurara, eta gero erantzun bat itzultzen du datu autentifikatuen bandera ezarrita, egiaztapenak arrakasta duenean. Bandera hori datuei buruzko froga da, ez konexioari edo helmugaren asmoei buruzkoa.

Ezin dio eragotzi zona-jabe legitimo bati fidatu behar ez duzun zerbitzu baterako erregistro benetakoak argitaratzea. Domeinu konprometitu baten erantzun zuzen sinatua zuzen sinatuta dago oraindik, eta DNSSECek ez du iritzirik domeinu horrek zure kredentzialak merezi dituen ala ez.

Ez du ezer ezkutatzen ere. Kontsultak eta erantzunak sarean zehar zeharkatzen dute resolverrak eta bide horretako edozein behatzailek irakur dezakeen moduan, beste geruza batek garraioa babesten ez badu. Sinatutako erantzuna eta erantzun pribatua propietate desberdinak dira, eta inplementazio batek bata edo bestea bakarrik izan dezake. Probatu biak, baten bat axola bazaizu.

Nondik dator isilpekotasuna benetan

Resolverrerainoko garraio zifratuak DNS trukea TLSean biltzen du, beraz resolverrak galdera oraindik ikusten du, baina zuk eta hark arteko bideak ez. Horrek konfiantza lekuz aldatzen du, ez kentzen: resolverrarengan gehiago fidatzen zara eta sare lokalarengan gutxiago.

VPN batek kontsultak beste aldeko resolver batera eraman ditzake, eta horrek bidea zein ikusten dituen resolverra aldatzen ditu. Pribatutasun-ondorioa duen bideratze-erabakia da, eta kudeatutako sare batean barne-resolverra izan daiteke barne-izenak erantzun ditzakeen bakarra.

Jendeak benetan nahi duen konbinazioa hiru gauza aldi berean izan ohi da: baliozkotzea piztuta, aukeratu zuten resolver baterako garraio zifratua eta helmugan aplikazioaren TLSa. Bakoitza independentea da, eta bat saltatzeak beste hutsune bat uzten du.

Egiaztatu baliozkotzea eta garraioa bereizita

Bi probek argitzen dute nahasmenaren zatirik handiena. Lehenengoak galdetzen du ea resolverrak erantzuna baliozkotu duen; bigarrenak ea garraioa babestuta zegoen. Modu desberdinetan huts egiten dute eta batek ez du bestea inplikatzen.

Komando hauek baliozkotze-kontsulta baten banderak inprimatzen dituzte, kontsulta errepikatzen dute egiaztapena desgaituta eta tokiko baliozkotzea exekutatzen dute delv erabiliz:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Datu autentifikatuen bandera eta sinadura presentzia dituen erantzunak resolver horretan baliozkotzea erakusten du. delv erabiliz baliozkotze-hutsegiteak zona eta konfiantza-ainguraren arteko kate hautsia erakusten du nonbait, hau da, argitalpen arazo bat, ez tunel arazo bat. Banderarik gabeko denbora-muga garraio edo irismen arazoa da, eta sinadura-hutsegite gisa tratatzeak okerreko geruzara bidaltzen zaitu.

Zer egin VPN batek bilaketak hausten dituenean

Bilaketak tunelaren aurretik funtzionatzen bazuten eta ondoren gelditzen badira, konparatu bide bakoitzak erabiltzen duen resolverra. Tunel banatua, tunelatik bakarrik irisgarria den barne-resolverra eta resolverraren ezarpenak berridazten dituen bezeroa guztiek erantzuna aldatzen dute DNSSECi ukitu gabe.

Baliozkotzea modu globalean desgaitzea lehenengo urrats okerra da, manipulazioaren berri ematen duen mekanismo bakarra kentzen baitu eta iristezina den resolver bat ez du konpontzen. Mugatu lehenik akatsa: ebazpena, garraioa, baliozkotzea eta gero politika. Hirugarrena soilik da DNSSECena, eta bigarrena soilik garraio zifratuarena.