DNSSEC ar VPN: kuris paslepia jūsų DNS užklausas?

Du mechanizmai gauna tą pačią užduotį ir nė vienas jos neatlieka. DNSSEC atsako, ar gauti duomenys tikrai atėjo iš zonos, kuri juos skelbia, o VPN nusprendžia, kokiu keliu keliaus jūsų paketai. Nė vienas jų ne visais atvejais paslepia vardą, kurio klausėte, o nustatymai, kurie atrodo turėtų tai daryti, paprastai susiję su transportu ar maršrutizavimu, o ne su validavimu. Pirmiausia įvardijus sluoksnį, neaiškus privatumo klausimas tampa konkretus.

Trys teiginiai, susiliejantys į vieną

Autentiškumas – tai teiginys, kad atsakymas yra tas, kurį paskelbė zona, ir jis nebuvo pakeistas kelyje. Konfidencialumas – tai teiginys, kad niekas kelyje negali perskaityti užklausos ar atsakymo. Maršrutizavimas – tai teiginys, kad paketai eina jūsų pasirinktu keliu, ir būtent tai suteikia tunelis.

DNSSEC nagrinėja pirmąjį ir nieko nesako apie kitus du. DoT ir DoH nagrinėja antrąjį šuoliui iki resolverio. VPN nagrinėja trečiąjį ir gali paveikti antrąjį, bet tik kaip šalutinį poveikį to, kur eina srautas.

Programų srautas yra ketvirtas atvejis: HTTPS apsaugo ir autentifikuoja žiniatinklio mainus tarp jūsų kliento ir svetainės, ir joks DNS sluoksnis jo nepakeičia.

Ką parašų validavimas gali ir ko negali

Validuojantis resolveris tikrina parašų grandinę nuo zonos iki sukonfigūruoto pasitikėjimo inkaro, tada, kai patikra pavyksta, grąžina atsakymą su nustatyta autentifikuotų duomenų vėliavėle. Ta vėliavėlė yra įrodymas apie duomenis, o ne apie ryšį ar paskirties ketinimus.

Jis negali sutrukdyti teisėtam zonos savininkui paskelbti autentiškų įrašų paslaugai, kuria neturėtumėte pasitikėti. Teisingai pasirašytas atsakymas iš kompromituoto domeno vis dar yra teisingai pasirašytas, ir DNSSEC neturi nuomonės, ar tas domenas vertas jūsų prisijungimo duomenų.

Jis taip pat nieko neslepia. Užklausa ir atsakymas keliauja tinklu tokia forma, kurią gali perskaityti resolveris ir bet kuris to kelio stebėtojas, nebent kitas sluoksnis apsaugo transportą. Pasirašytas atsakymas ir privatus atsakymas yra skirtingos savybės, ir diegimas gali turėti tik vieną jų. Išbandykite abu, jei bent vienas jums svarbus.

Iš kur konfidencialumas iš tikrųjų ateina

Šifruotas resolverio transportas apgaubia DNS mainus TLS, todėl resolveris vis dar mato klausimą, bet kelias tarp jūsų ir jo – ne. Tai perkelia pasitikėjimą, o ne jį pašalina: labiau pasitikite resolveriu ir mažiau vietiniu tinklu.

VPN gali nunešti užklausas į resolverį kitoje pusėje, o tai keičia ir kelią, ir resolverį, kuris jas mato. Tai maršrutizavimo sprendimas su privatumo pasekme, o valdomame tinkle vidinis resolveris gali būti vienintelis, galintis atsakyti į vidinius vardus.

Derinys, kurio žmonės iš tikrųjų nori, paprastai yra trys dalykai vienu metu: įjungtas validavimas, šifruotas transportas iki jų pasirinkto resolverio ir programos TLS paskirties vietoje. Kiekvienas yra nepriklausomas, o praleidus vieną lieka kita spraga.

Tikrinkite validavimą ir transportą atskirai

Du testai išsprendžia didžiąją dalį painiavos. Pirmasis klausia, ar resolveris validavo atsakymą; antrasis – ar transportas buvo apsaugotas. Jie nepavyksta skirtingai, ir nė vienas neimplikuoja kito.

Šios komandos išspausdina validuojančios užklausos vėliavėles, pakartoja užklausą išjungus patikrą ir paleidžia vietinį validavimą su delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Atsakymas su autentifikuotų duomenų vėliavėle ir esamu parašu rodo validavimą tame resolveryje. Validavimo klaida su delv rodo nutrūkusią grandinę kažkur tarp zonos ir pasitikėjimo inkaro, o tai yra skelbimo problema, o ne tunelio problema. Laiko limitas be jokių vėliavėlių yra transporto ar pasiekiamumo problema, o traktuojant jį kaip parašo klaidą nukreipiama į netinkamą sluoksnį.

Ką daryti, kai VPN sugadina paiešką

Jei paieška veikė prieš tunelį ir sustoja po jo, palyginkite, kokį resolverį naudoja kiekvienas kelias. Skeltas tuneliavimas, vidinis resolveris, pasiekiamas tik per tunelį, ir klientas, perrašantis resolverio nustatymus, visi keičia atsakymą neliesdami DNSSEC.

Visuotinis validavimo išjungimas yra neteisingas pirmas žingsnis, nes jis pašalina vienintelį mechanizmą, pranešantį apie klastojimą, ir nepataiso nepasiekiamo resolverio. Pirmiausia susiaurinkite gedimą: sprendimas, transportas, validavimas, tada politika. Tik trečiasis priklauso DNSSEC, o tik antrasis – šifruotam transportui.