Annálar DNS-uppflettisanns og annálar VPN-tenginga: hvað hvor geymir

Annáll DNS-uppflettisanns og annáll VPN-tengingar eru báðir netfærslur, báðir gagnlegir og ekki skiptanlegir. Uppflettisannurinn tekur við nöfnum sem beðið var um að hann svaraði. Endapunktur VPN annast gangnatengingar og skráir það sem útfærsla hans valdi að skrá um þær. Þeir geta verið í sömu byggingu, verið reknir af sama teymi og fallið undir sama persónuverndartilkynningu, og lýsa samt mismunandi atburðum með mismunandi auðkennum og mismunandi varðveislu. Að lesa annan eins og hann væri hinn er leiðin sem rannsóknir fara afleiðis.

Tveir annálar, tveir atburðir

Færsla í uppflettisannum svarar spurningu um nafngift: þessi biðlari bað um þetta nafn á þessum tíma, og svarið var þetta. Færsla í VPN svarar spurningu um tengingu: þessi jafningi kom á eða missti göng, fékk þetta vistfang og flutti um það bil þetta mikið af gögnum áður en hann hvarf. Hvorug er færsla um það sem notandinn gerði innan HTTPS-lotu, og hvorug kemur í stað hins.

Greiningin hefur hagnýtar afleiðingar fyrir loforð. Fullyrðing um að VPN-veitandi skrái ekki virkni gangna segir ekkert um uppflettisanninn sem hann lætur í té, og varðveislustefna uppflettisanns segir ekkert um hver tengdist göngunum. Hver fullyrðing tilheyrir sínum rekstraraðila og sínu kerfi.

Fylgdu fyrirspurninni áður en þú lest annan hvorn annálinn

Fyrirspurn nær aðeins til uppflettisanns ef slóðin spyr hann í raun. Forrit getur notað uppflettisann stýrikerfisins, keyrt sinn eigin dulkóðaða DNS-biðlara, eða lesið svar úr skyndiminni og sent aldrei neitt. Því er annáll uppflettisanns sem sýnir ekkert ekki sönnun þess að nafn hafi aldrei verið notað; hann er sönnun þess að ekki var spurt þennan uppflettisann.

resolvectl status
dig @127.0.0.53 build.corp.example +qr
journalctl -u systemd-resolved -n 20 --no-pager

Síðasta skipunin les eigin dagbók staðbundna uppflettisannsins, sem er ekki það sama og annáll netþjónsins ofar. Ef fyrirspurnir þínar fara út um DNS over HTTPS til veitanda getur staðbundni stubinn sýnt ekkert á meðan veitandinn hefur fullu færsluna, og veitandinn er annar rekstraraðili með aðra stefnu.

Hvað hver færsla getur og getur ekki sýnt

Að tengja þær saman er raunverulega verkið, og að tengja þær saman er ekki alltaf mögulegt. Uppflettisann sem skráir vistföng biðlara má bera saman við VPN sem úthlutar vistföngum úr þekktu lauginni, og sá samanburður myndar trúverðugt samband milli fyrirspurnar nafns og gangna, sem er áfram samband milli tveggja færslna en ekki færsla um einstakling.

Dulkóðað DNS breytir flutningnum, ekki sýnileikanum við endapunktinn. Uppflettisannurinn fær enn spurninguna sem hann svarar, eins og RFC 8484 gerir ljóst, og varðveisla hjá þeim uppflettisanni er ákvörðun stefnu en ekki eiginleiki samskiptareglunnar.

Þar sem skipt DNS og skyndiminni rugla sögunni

Nokkrir uppflettisannar eru eðlilegir. Hönnun með skiptu DNS sendir innri nöfn á innri netþjón og allt annað á opinberan, svo ein rannsókn getur falið í sér tvo annála sem aldrei var ætlað að sameina og tvær varðveislustillingar sem aldrei var ætlað að bera saman. Að sjá fyrirspurnir í báðum er sönnun þess að hönnunin virkar, ekki sönnun leka.

Skyndiminni skera í hina áttina. Hægt er að svara vinsælu nafni úr skyndiminni í klukkustundir, svo færsla uppflettisannsins sýnir fyrstu fyrirspurn og svo ekkert, á meðan forrit notandans heldur áfram að leysa sama nafn án vandræða. Skortur á færslum eftir ákveðinn tíma þýðir ekki að enginn hafi notað nafnið eftir þann tíma.

Bakgrunnsumferð er þriðja skekkjan. Sími sem leysir telemetríunafn við ræsingu, vafri sem leysir lén fyrir leitaruppástungu og uppfærsluforrit sem hringir á klukkustundar fresti birtast öll í annáli uppflettisannsins við hlið nafnsins sem þér þykir raunverulega vænt um. Magn í þeim annáli er ekki athygli, og að telja fyrirspurnir er ekki að telja heimsóknir. Annáll uppflettisanns er færsla um spurningar, og spurningar eru ódýrar í framleiðslu.

Spurðu varðveisluspurninganna sér

Fyrir hvert kerfi, spurðu þrjár spurningar: hver safnar, hverju er safnað og hve lengi það er geymt. Spurðu þá hver getur lesið það og með hvaða ferli. Umræðan um RFC 8484 varðandi DNS over HTTPS er góð áminning um að dulkóðaður flutningur fjarlægir ekki endapunktinn, og eigin skjöl rekstraraðila eru eina áreiðanlega fullyrðingin um hvað sá endapunktur geymir.

Þegar fullyrðing um persónuvernd er sett fram um „VPN-ið“, skiptu henni í hluta áður en þú samþykkir hana: rekstraraðili gangnanna, uppflettisannurinn sem göngin láta í té, hvaða uppstreymisuppflettisann sem þessar fyrirspurnir ná til, og forritin í tækinu. Hver hefur sitt svar, og fullyrðing sem er rétt fyrir einn er venjulega endurtekin eins og hún nái yfir alla fjóra.

Fyrir bilanaleit, notaðu sömu skiptingu. Spurðu hvaða forrit setti fram fyrirspurnina og hvaða uppflettisannur svaraði henni, og skoðaðu annálinn sem á raunverulega þann atburð. Að giska út frá hinum annálnum sparar eina mínútu og kostar síðdegi.