DNSSEC lwn VPN: yang mana menyembunyikan pertanyaan DNS anda?

Dua mekanisme diberi kredit untuk tugas yang sama dan kedua-duanya tidak melakukannya. DNSSEC menjawab sama ada data yang anda terima benar-benar datang dari zon yang menerbitkannya, dan VPN menentukan laluan yang diambil oleh paket anda. Kedua-duanya tidak menyembunyikan nama yang anda tanyakan dalam semua kes, dan tetapan yang kelihatan sepatutnya berbuat demikian biasanya berkaitan pengangkutan atau penghalaan, bukan pengesahan. Menamakan lapisan dahulu menjadikan soalan privasi yang kabur sebagai soalan yang khusus.

Tiga dakwaan yang bergabung menjadi satu

Keaslian ialah dakwaan bahawa jawapan itu adalah yang diterbitkan oleh zon dan tidak diubah di laluan. Kerahsiaan ialah dakwaan bahawa tiada sesiapa di laluan boleh membaca pertanyaan atau jawapan itu. Penghalaan ialah dakwaan bahawa paket mengikut laluan yang anda pilih, dan itulah yang diberikan oleh terowong.

DNSSEC menangani yang pertama dan tidak berkata apa-apa tentang dua yang lain. DoT dan DoH menangani yang kedua untuk lonjakan ke penghurai. VPN menangani yang ketiga dan boleh mempengaruhi yang kedua juga, tetapi hanya sebagai kesan sampingan ke mana trafik pergi.

Trafik aplikasi ialah kes keempat: HTTPS melindungi dan mengesahkan pertukaran web antara klien anda dan laman, dan tiada lapisan DNS menggantikannya.

Apa yang boleh dan tidak boleh dilakukan oleh pengesahan tandatangan

Penghurai yang mengesahkan memeriksa rantaian tandatangan dari zon hingga sauh kepercayaan yang dikonfigurasikan, kemudian mengembalikan jawapan dengan bendera data disahkan ditetapkan apabila pemeriksaan berjaya. Bendera itu ialah bukti tentang data, bukan tentang sambungan atau niat destinasi.

Ia tidak boleh menghalang pemilik zon yang sah daripada menerbitkan rekod asli untuk perkhidmatan yang anda tidak sepatutnya percayai. Jawapan yang ditandatangani dengan betul daripada domain yang terjejas masih ditandatangani dengan betul, dan DNSSEC tidak mempunyai pendapat tentang sama ada domain itu layak menerima kelayakan anda.

Ia juga tidak menyembunyikan apa-apa. Pertanyaan dan jawapan melintasi rangkaian dalam bentuk yang boleh dibaca oleh penghurai dan mana-mana pemerhati di laluan itu, kecuali lapisan lain melindungi pengangkutan. Jawapan yang ditandatangani dan jawapan peribadi ialah sifat yang berbeza, dan penggunaan boleh mempunyai salah satu sahaja. Uji kedua-duanya jika salah satu penting kepada anda.

Dari mana kerahsiaan sebenarnya datang

Pengangkutan penghurai yang disulitkan membungkus pertukaran DNS dalam TLS, jadi penghurai masih melihat soalan tetapi laluan antara anda dan ia tidak. Ini memindahkan kepercayaan dan bukan membuangnya: anda lebih mempercayai penghurai dan kurang mempercayai rangkaian tempatan.

VPN boleh membawa pertanyaan ke penghurai di sebelah sana, yang mengubah laluan dan penghurai yang melihatnya. Itu keputusan penghalaan dengan akibat privasi, dan dalam rangkaian terurus penghurai dalaman mungkin satu-satunya yang boleh menjawab nama dalaman.

Gabungan yang benar-benar diingini orang biasanya tiga perkara serentak: pengesahan dihidupkan, pengangkutan disulitkan ke penghurai yang mereka pilih, dan TLS aplikasi di destinasi. Setiap satu bebas, dan melangkau satu meninggalkan jurang yang berbeza.

Periksa pengesahan dan pengangkutan secara berasingan

Dua ujian menyelesaikan sebahagian besar kekeliruan. Yang pertama bertanya sama ada penghurai mengesahkan jawapan; yang kedua bertanya sama ada pengangkutan dilindungi. Kedua-duanya gagal dengan cara yang berbeza dan tiada satu pun membayangkan yang lain.

Arahan ini mencetak bendera daripada pertanyaan yang mengesahkan, mengulangi pertanyaan dengan pemeriksaan dimatikan, dan menjalankan pengesahan setempat dengan delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Jawapan dengan bendera data disahkan dan tandatangan yang ada menunjukkan pengesahan pada penghurai itu. Kegagalan pengesahan dengan delv menunjukkan rantaian yang terputus di suatu tempat antara zon dan sauh kepercayaan, yang merupakan masalah penerbitan, bukan masalah terowong. Tamat masa tanpa sebarang bendera ialah masalah pengangkutan atau kebolehcapaian, dan memperlakukannya sebagai kegagalan tandatangan membawa anda ke lapisan yang salah.

Apa yang perlu dilakukan apabila VPN merosakkan carian

Jika carian berfungsi sebelum terowong dan berhenti selepasnya, bandingkan penghurai yang digunakan oleh setiap laluan. Terowong berpecah, penghurai dalaman yang hanya boleh dicapai melalui terowong, dan klien yang menulis semula tetapan penghurai semuanya mengubah jawapan tanpa menyentuh DNSSEC.

Mematikan pengesahan secara global ialah langkah pertama yang salah, kerana ia membuang satu-satunya mekanisme yang melaporkan manipulasi dan tidak membaiki penghurai yang tidak boleh dicapai. Sempitkan dahulu kerosakan: penyelesaian, pengangkutan, pengesahan, kemudian dasar. Hanya yang ketiga milik DNSSEC, dan hanya yang kedua milik pengangkutan yang disulitkan.