DNSSEC vai VPN: kurš paslēpj tavus DNS vaicājumus?

Diviem mehānismiem piešķir vienu un to pašu uzdevumu, un neviens no tiem to neveic. DNSSEC atbild, vai saņemtie dati tiešām nāca no zonas, kas tos publicē, un VPN izlemj, pa kuru ceļu ies tavas paketes. Neviens no tiem visos gadījumos nepaslēpj nosaukumu, ko tu jautāji, un iestatījumi, kas izskatās, ka tā būtu jādara, parasti attiecas uz transportu vai maršrutēšanu, nevis validāciju. Vispirms nosaucot slāni, neskaidrs jautājums par privātumu kļūst konkrēts.

Trīs apgalvojumi, kas saplūst vienā

Autentiskums ir apgalvojums, ka atbilde ir tā, ko zona publicēja, un tā netika mainīta ceļā. Konfidencialitāte ir apgalvojums, ka neviens ceļā nevar nolasīt vaicājumu vai atbildi. Maršrutēšana ir apgalvojums, ka paketes seko ceļam, ko tu izvēlējies, un tieši to nodrošina tunelis.

DNSSEC aplūko pirmo un neko nepasaka par pārējiem diviem. DoT un DoH aplūko otro lēcienam līdz resolverim. VPN aplūko trešo un var ietekmēt arī otro, bet tikai kā blakusefektu tam, kur iet trafiks.

Lietotņu trafiks ir ceturtais gadījums: HTTPS aizsargā un autentificē tīmekļa apmaiņu starp tavu klientu un vietni, un neviens DNS slānis to neaizstāj.

Ko parakstu validācija var un ko nevar

Validējošs resolvers pārbauda parakstu ķēdi no zonas līdz konfigurētam uzticības enkuram un pēc tam, kad pārbaude izdodas, atgriež atbildi ar iestatītu autentificēto datu karodziņu. Šis karodziņš ir pierādījums par datiem, nevis par savienojumu vai galamērķa nodomiem.

Tas nevar liegt likumīgam zonas īpašniekam publicēt autentiskus ierakstus pakalpojumam, kuram tev nevajadzētu uzticēties. Pareizi parakstīta atbilde no kompromitēta domēna joprojām ir pareizi parakstīta, un DNSSEC nav viedokļa par to, vai šis domēns ir pelnījis tavus akreditācijas datus.

Tas arī neko nepaslēpj. Vaicājums un atbilde šķērso tīklu tādā formā, ko resolvers un jebkurš novērotājs šajā ceļā var nolasīt, ja vien kāds cits slānis neaizsargā transportu. Parakstīta atbilde un privāta atbilde ir dažādas īpašības, un izvietojumam var būt tikai viena no tām. Pārbaudi abas, ja kāda no tām tev ir svarīga.

No kurienes konfidencialitāte patiešām nāk

Šifrēts resolvera transports iesaiņo DNS apmaiņu TLS, tāpēc resolvers joprojām redz jautājumu, bet ceļš starp tevi un to nē. Tas pārceļ uzticību, nevis to noņem: tu vairāk uzticies resolverim un mazāk vietējam tīklam.

VPN var nest vaicājumus uz resolveri otrā pusē, kas maina gan ceļu, gan resolveri, kas tos redz. Tas ir maršrutēšanas lēmums ar privātuma sekām, un pārvaldītā tīklā iekšējais resolvers var būt vienīgais, kas spēj atbildēt uz iekšējiem nosaukumiem.

Kombinācija, ko cilvēki patiešām vēlas, parasti ir trīs lietas vienlaikus: ieslēgta validācija, šifrēts transports uz viņu izvēlēto resolveri un lietotnes TLS galamērķī. Katra ir neatkarīga, un vienas izlaišana atstāj citu plaisu.

Pārbaudi validāciju un transportu atsevišķi

Divi testi atrisina lielāko daļu neskaidrības. Pirmais jautā, vai resolvers validēja atbildi; otrais – vai transports bija aizsargāts. Tie neizdodas dažādi, un neviens neietver otru.

Šīs komandas izdrukā validējoša vaicājuma karodziņus, atkārto vaicājumu ar izslēgtu pārbaudi un palaiž vietējo validāciju ar delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Atbilde ar autentificēto datu karodziņu un esošu parakstu parāda validāciju šajā resolverī. Validācijas kļūda ar delv parāda pārtrauktu ķēdi kaut kur starp zonu un uzticības enkuru, un tas ir publicēšanas problēma, nevis tuneļa problēma. Taimauts bez jebkādiem karodziņiem ir transporta vai sasniedzamības problēma, un tā uztveršana kā paraksta kļūda aizved uz nepareizo slāni.

Ko darīt, ja VPN sabojā meklēšanu

Ja meklēšana strādāja pirms tuneļa un apstājas pēc tā, salīdzini resolveri, ko izmanto katrs ceļš. Sadalīta tuneļošana, iekšējais resolvers, kas sasniedzams tikai caur tuneli, un klients, kas pārraksta resolvera iestatījumus, visi maina atbildi, neaizskarot DNSSEC.

Validācijas globāla izslēgšana ir nepareizs pirmais solis, jo tā noņem vienīgo mehānismu, kas ziņo par manipulācijām, un nelabo nesasniedzamu resolveri. Vispirms sašaurini kļūmi: atrisināšana, transports, validācija un tad politika. Tikai trešais pieder DNSSEC, un tikai otrais pieder šifrētam transportam.