Be VPN veikiantis šifruotas DNS slepia užklausą, o ne jūsų adresą

DNS nuotėkio testas, rodantis jūsų namų tinklą, nėra įrodymas, kad šifruotas DNS nepavyko, ir tai nėra įrodymas, kad kažkas veikė. Testas atsako į vieną klausimą: kurį resolverį pasiekė ši užklausa iš šio tinklo. Ar tai problema, priklauso nuo to, ką ir nuo ko saugojote.

Užsirašykite tikslą prieš vykdydami bet kokį testą.

1 veiksmas: įvardykite apsaugą, kurios tikrai norite

Trys tikslai susimaišo. Galbūt norite, kad stebėtojas kelyje nustotų skaityti užklausas. Galbūt norite, kad tam tikras resolveris nustotų jas gauti. Galbūt norite, kad svetainės, kurias lankote, nustotų matyti jūsų namų adresą. Šifruotas DNS tarnauja pirmajam, pakeičia, kas įvykdo antrąjį, o trečiajam nedaro visiškai nieko.

VPN tarnauja trečiajam ir, priklausomai nuo teikėjo, pirmajam. Nė viena priemonė nėra kitos superaibė.

2 veiksmas: pasirinkite resolverį ir patikrinkite jo tapatybę

DNS over TLS įvynioja užklausą į TLS sesiją su resolveriu, o DNS over HTTPS įvynioja ją į HTTP užklausą; RFC 7858 ir RFC 8484 aprašo abu, ir nė vienam nereikia tunelio. Eksploataciniu požiūriu svarbu, kad sertifikatas būtų tikrinamas pagal jūsų sukonfigūruotą vardą, nes šifruota sesija su netinkama puse yra blogiau nei atviras tekstas su tinkama. Tai reiškia griežtą režimą ten, kur platforma jį siūlo, o ne oportunistinį režimą, kuris atsitraukia, kai patikra nepavyksta. Patikrinkite sesiją tiesiogiai prieš pasitikėdami nustatymu: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Rankos paspaudimas turėtų įvardyti jūsų sukonfigūruotą resolverį ir grąžinti grandinę, kurią galite patikrinti.

3 veiksmas: nuspręskite, kaip elgtis nepavykus

Kiekviena įgyvendinimo versija turi politiką neprieinamam šifruotam resolveriui, ir ta politika yra privatumo sprendimas. Griežtas režimas leidžia paieškai nepavykti, o tai matoma ir erzinanti. Oportunistinis režimas bando dar kartą atviru tekstu, o tai nematoma ir sugriauna tikslą būtent tą dieną, kai tai svarbu. Rinkitės sąmoningai, tada užrašykite pasirinkimą šalia reikalavimo.

Sistemoje systemd-resolved tai reiškia DNSOverTLS=yes o ne opportunistic; o Android tai reiškia Private DNS pagrindinio kompiuterio vardo režimą vietoj automatinio.

Patikrinkite, kas iš tikrųjų galioja, su resolvectl status | grep -i -A1 "dns over tls", nes drop-in failas, kuris niekada nebuvo įkeltas iš naujo, nieko nekeičia.

4 veiksmas: patikrinkite, ar programos laikosi sistemos resolverio

Naršyklė su savo saugaus DNS nustatymu visiškai apeina sistemos konfigūraciją, o konteinerių runtime su įtaisytu resolveriu arba kalbos runtime, skaitantis kietai užkoduotą sąrašą, taip pat. Arba priverskite juos laikytis sistemos, arba sukonfigūruokite juos aiškiai ir tai užrašykite. Tada pažiūrėkite į kiekvieno atsitraukimo elgseną, nes ne visi jie nepavyksta uždarai. Sąrašas praktiškai trumpas: naršyklė, konteinerių runtime ir bet koks VPN klientas, kurį taip pat naudojate.

Privatūs organizacijos vardai lieka patvirtintame vidiniame resolveryje. Siuntimas į viešą paslaugą, kad testas atrodytų tvarkingai, sąmoningai sukuria kitą problemą.

5 veiksmas: skaitykite nuotėkio testą pagal reikalavimą

Testas, pranešantis apie netikėtą resolverį, yra užuomina, o ne nuosprendis. Jis galėjo stebėti jūsų numatytą šifruotą resolverį, konkrečiai programai būdingą nustatymą arba atviro teksto atsitraukimą, apie kurį nežinojote. Palyginkite praneštą resolverį su tuo, kurį sukonfigūravo 2 veiksmas, ir palyginkite rezultatą su 1 veiksmo tikslu.

Jei tikslas buvo laikyti užklausas atokiau nuo vietinio tinklo, testas, rodantis jūsų įprastą resolverį, yra tikras radinys. Jei tikslas buvo anonimiškumas naršant, joks DNS nustatymas to niekada nebūtų suteikęs.

Užrašykite priėmimo eilutę tikslo kalba: šios paieškos naudoja šį patikrintą resolverį šiomis sąlygomis. Viskas platesnio yra teiginys, kurio negalite patikrinti.