DNSSEC vs VPN: mana yang menyembunyikan kueri DNS Anda?

Dua mekanisme mendapat kredit untuk tugas yang sama dan keduanya tidak melakukannya. DNSSEC menjawab apakah data yang Anda terima benar-benar berasal dari zona yang menerbitkannya, dan VPN memutuskan jalur yang diambil paket Anda. Keduanya tidak menyembunyikan nama yang Anda tanyakan dalam semua kasus, dan pengaturan yang tampaknya seharusnya melakukannya biasanya menyangkut transport atau perutean, bukan validasi. Menamai lapisannya lebih dulu mengubah pertanyaan privasi yang kabur menjadi pertanyaan yang spesifik.

Tiga klaim yang menyatu menjadi satu

Keautentikan adalah klaim bahwa jawaban itu adalah yang diterbitkan zona dan tidak diubah di jalan. Kerahasiaan adalah klaim bahwa tidak ada orang di jalur yang dapat membaca kueri atau jawabannya. Perutean adalah klaim bahwa paket mengikuti jalur yang Anda pilih, dan itulah yang diberikan terowongan.

DNSSEC menangani yang pertama dan tidak berkata apa pun tentang dua lainnya. DoT dan DoH menangani yang kedua untuk lompatan ke resolver. VPN menangani yang ketiga dan bisa juga memengaruhi yang kedua, tetapi hanya sebagai efek samping dari ke mana lalu lintas pergi.

Lalu lintas aplikasi adalah kasus keempat: HTTPS melindungi dan mengautentikasi pertukaran web antara klien Anda dan situs, dan tidak ada lapisan DNS yang menggantikannya.

Apa yang bisa dan tidak bisa dilakukan validasi tanda tangan

Resolver yang memvalidasi memeriksa rantai tanda tangan dari zona hingga jangkar kepercayaan yang dikonfigurasi, lalu mengembalikan jawaban dengan bendera data terautentikasi aktif saat pemeriksaan berhasil. Bendera itu adalah bukti tentang data, bukan tentang koneksi atau niat tujuan.

Ia tidak dapat mencegah pemilik zona yang sah menerbitkan catatan autentik untuk layanan yang tidak seharusnya Anda percaya. Jawaban yang ditandatangani dengan benar dari domain yang disusupi tetap ditandatangani dengan benar, dan DNSSEC tidak berpendapat apakah domain itu layak mendapat kredensial Anda.

Ia juga tidak menyembunyikan apa pun. Kueri dan jawaban melintasi jaringan dalam bentuk yang dapat dibaca resolver dan pengamat mana pun di jalur itu, kecuali lapisan lain melindungi transport. Jawaban yang ditandatangani dan jawaban yang privat adalah sifat berbeda, dan penerapan bisa memiliki salah satunya saja. Uji keduanya jika salah satunya penting bagi Anda.

Dari mana kerahasiaan sebenarnya berasal

Transport resolver terenkripsi membungkus pertukaran DNS dalam TLS, sehingga resolver masih melihat pertanyaannya tetapi jalur antara Anda dan resolver tidak. Ini memindahkan kepercayaan alih-alih menghapusnya: Anda lebih percaya pada resolver dan kurang pada jaringan lokal.

VPN dapat membawa kueri ke resolver di sisi lain, yang mengubah jalur dan resolver yang melihatnya. Itu keputusan perutean dengan konsekuensi privasi, dan di jaringan terkelola resolver internal mungkin satu-satunya yang dapat menjawab nama internal.

Kombinasi yang sebenarnya diinginkan orang biasanya tiga hal sekaligus: validasi aktif, transport terenkripsi ke resolver yang mereka pilih, dan TLS aplikasi di tujuan. Masing-masing independen, dan melewatkan satu meninggalkan celah yang berbeda.

Periksa validasi dan transport secara terpisah

Dua pengujian menyelesaikan sebagian besar kebingungan. Yang pertama menanyakan apakah resolver memvalidasi jawaban; yang kedua menanyakan apakah transport terlindungi. Keduanya gagal dengan cara berbeda dan tidak ada yang menyiratkan yang lain.

Perintah ini mencetak bendera dari kueri yang memvalidasi, mengulang kueri dengan pemeriksaan dimatikan, dan menjalankan validasi lokal dengan delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Jawaban dengan bendera data terautentikasi dan tanda tangan yang ada menunjukkan validasi di resolver itu. Kegagalan validasi dengan delv menunjukkan rantai yang putus di suatu tempat antara zona dan jangkar kepercayaan, yang merupakan masalah penerbitan, bukan masalah terowongan. Batas waktu tanpa bendera apa pun adalah masalah transport atau keterjangkauan, dan memperlakukannya sebagai kegagalan tanda tangan mengirim Anda ke lapisan yang salah.

Apa yang harus dilakukan saat VPN merusak pencarian

Jika pencarian berfungsi sebelum terowongan dan berhenti setelahnya, bandingkan resolver yang digunakan setiap jalur. Terowongan terpisah, resolver internal yang hanya dapat dijangkau melalui terowongan, dan klien yang menulis ulang pengaturan resolver semuanya mengubah jawaban tanpa menyentuh DNSSEC.

Menonaktifkan validasi secara global adalah langkah pertama yang salah, karena menghapus satu-satunya mekanisme yang melaporkan manipulasi dan tidak memperbaiki resolver yang tidak dapat dijangkau. Persempit dulu gangguannya: resolusi, transport, validasi, lalu kebijakan. Hanya yang ketiga milik DNSSEC, dan hanya yang kedua milik transport terenkripsi.