Zapisi DNS resolvera nasuprot zapisima VPN veze: što svaki sadrži

Zapis DNS resolvera i zapis VPN veze oba su mrežni zapisi, oba korisna i nisu zamjenjivi. Resolver prima imena na koja je zatražen da odgovori. VPN krajnja točka obrađuje tunelske veze i bilježi ono što je njezina implementacija odlučila zabilježiti o njima. Mogu biti u istoj zgradi, njima može upravljati isti tim i mogu potpadati pod istu obavijest o privatnosti, a ipak opisuju različite događaje s različitim identifikatorima i različitim rokovima čuvanja. Čitanje jednoga kao da je drugi jest način na koji istrage skrenu s puta.

Dva zapisa, dva događaja

Unos u resolveru odgovara na pitanje o imenovanju: ovaj je klijent zatražio ovo ime u ovo vrijeme, a odgovor je bio ovaj. Unos u VPN-u odgovara na pitanje o povezanosti: ovaj je peer uspostavio ili izgubio tunel, dobio je ovu adresu i prenio otprilike ovoliko podataka prije nego što je nestao. Nijedan nije zapis o tome što je korisnik radio unutar HTTPS sesije i nijedan ne zamjenjuje drugi.

Razlika ima praktičnu posljedicu za obećanja. Tvrdnja da pružatelj VPN-a ne bilježi aktivnost tunela ne govori ništa o resolveru koji daje, a politika zadržavanja resolvera ne govori ništa o tome tko se povezao na tunel. Svaka tvrdnja pripada svom operatoru i svom sustavu.

Pratite upit prije nego što pročitate bilo koji zapis

Upit stiže do resolvera samo ako ga putanja doista pita. Aplikacija može koristiti resolver operacijskog sustava, pokrenuti vlastitog šifriranog DNS klijenta ili pročitati predmemorirani odgovor i nikada ništa ne poslati. Zato zapis resolvera koji ne pokazuje ništa nije dokaz da ime nikada nije korišteno; to je dokaz da ovaj resolver nije bio pitan.

resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pager

Ta posljednja naredba čita vlastiti dnevnik lokalnog resolvera, što nije isto što i zapis nadređenog poslužitelja. Ako vaši upiti izlaze kroz DNS over HTTPS do pružatelja, lokalni stub može ne pokazati ništa dok pružatelj ima potpuni zapis, a pružatelj je drugi operator s drugom politikom.

Što svaki zapis može i ne može pokazati

Povezivanje je pravi posao i povezivanje nije uvijek moguće. Resolver koji bilježi adrese klijenata može se usporediti s VPN-om koji dodjeljuje adrese iz poznatog skupa, a ta usporedba stvara vjerojatnu vezu između upitanog imena i tunela, koja ostaje veza između dvaju zapisa, a ne zapis o osobi.

Šifrirani DNS mijenja prijenos, ne vidljivost na krajnjoj točki. Resolver i dalje prima pitanje na koje odgovara, kako RFC 8484 jasno pokazuje, a čuvanje u tom resolveru odluka je politike, a ne svojstvo protokola.

Gdje podijeljeni DNS i predmemorije zbunjuju priču

Više resolvera je normalno. Dizajn s podijeljenim DNS-om šalje interna imena internom poslužitelju, a sve ostalo javnom, pa jedna istraga može uključivati dva zapisa koji nikada nisu bili namijenjeni kombiniranju i dvije postavke čuvanja koje nikada nisu bile namijenjene usporedbi. Viđanje upita na obama dokaz je da dizajn radi, a ne dokaz curenja.

Predmemorije režu u drugom smjeru. Popularno se ime može satima odgovarati iz predmemorije, pa zapis resolvera pokazuje prvi upit i zatim ništa, dok aplikacija korisnika mirno nastavlja razrješavati isto ime. Odsutnost unosa nakon određenog vremena ne znači da nitko nije koristio ime nakon tog vremena.

Pozadinski promet treće je izobličenje. Telefon koji pri podizanju razrješava ime telemetrije, preglednik koji razrješava domenu prijedloga pretraživanja i program za ažuriranje koji se javlja svakog sata svi se pojavljuju u zapisu resolvera uz ime do kojeg vam je doista stalo. Opseg u tom zapisu nije pozornost i brojanje upita nije brojanje posjeta. Zapis resolvera zapis je pitanja, a pitanja je jeftino stvarati.

Postavljajte pitanja o čuvanju odvojeno

Za svaki sustav postavite tri pitanja: tko prikuplja, što se prikuplja i koliko se dugo čuva. Zatim pitajte tko ga može čitati i po kojem postupku. Rasprava o RFC 8484 o DNS over HTTPS dobar je podsjetnik da šifrirani prijenos ne uklanja krajnju točku, a vlastita dokumentacija operatora jedina je pouzdana tvrdnja o tome što ta krajnja točka čuva.

Kada se tvrdnja o privatnosti iznosi o „VPN-u“, podijelite je na komponente prije nego što je prihvatite: operator tunela, resolver koji tunel daje, svaki nadređeni resolver do kojeg ti upiti stižu i aplikacije na uređaju. Svaka ima svoj odgovor, a tvrdnja točna za jednu rutinski se ponavlja kao da pokriva sve četiri.

Za rješavanje problema koristite istu podjelu. Pitajte koja je aplikacija poslala upit i koji je resolver odgovorio, zatim pogledajte zapis koji doista posjeduje taj događaj. Nagađanje iz drugog zapisa štedi minutu i stoji jedno poslijepodne.