DNS fuq TLS flimkien ma VPN: liema parti hija protetta

DNS fuq TLS jikkripta l-iskambju bejn klijent u r-resolver li jkun għażel, u r-resolver xorta jqara l-isem. Dik is-sentenza ssolvi l-biċċa l-kbira tal-konfużjoni madwar DoT flimkien ma VPN. Il-mina tiddeċiedi liema rotta tieħu l-mistoqsija kriptata, filwaqt li r-resolver xorta jsir jaf x'inġabar mistoqsi. L-ebda mekkaniżmu ma jissostitwixxi l-ieħor, u l-ebda ma jagħmel l-ieħor superfluwu.

Erba verifiki jiddeċiedu jekk l-arranġament li għandek huwiex dak li taħseb li għandek.

Verifika 1: x'tikopri l-kriptaġġ

DoT jgħatti l-iskambju DNS fi TLS, allura osservatur fuq ir-rotta jara konnessjoni ma indirizz u port aktar milli isem fi mistoqsija. Ir-resolver innifsu jiddekripta u jwieġeb. Qabbel ma DNS fuq HTTPS: it-tnejn jikkriptaw, u jużaw trasporti differenti, allura netwerk li jippermetti traffiku tal-web ma jippermettix awtomatikament konnessjoni DoT.

Dik id-differenza tgħodd meta portal captive jew kaxxa tan-nofs li tiffiltra tippermetti 443 u timblokka 853. L-għodda li ħadmet hemmhekk mhijiex prova li l-oħra se taħdem.

Verifika 2: liema rotta tieħu l-mistoqsija

Ir-rotta hija kwistjoni ta politika tal-klijent. Resolver DoT jista' jintlaħaq mill-mina, minn barra minnha, jew b'rotta li tinbidel man-netwerk. Liema tiġri jiddependi mir-rotot u minn jekk il-klijent jipproteġix is-socket DNS tiegħu stess. Mina li taqbad it-traffiku kollu normalment tieħu l-mistoqsija magħha, tkun xi tkun tgħid l-indirizz tar-resolver.

Li tara indirizz ta resolver ta' partijiet oħra f'test ma jipprovax ħarba, u li tara kriptaġġ ma jipprovax id-destinatarju maħsub. Aqra r-resolver u r-rotta separatament, imbagħad iddeċiedi jekk il-par huwiex dak li ddisinjajt.

Verifika 3: ismijiet interni

Organizzazzjoni li tippubblika ismijiet interni teħtieġ resolver li jżomm dawk ir-rekords. Servizz DoT pubbliku ma jafx l-ispazju tal-ismijiet privat tiegħek, u li tiddirieġi l-klijent lejh jiggarantixxi li dawk l-ismijiet ifallu. Din hija l-aktar rigressjoni prattika komuni meta xi ħadd iqabbad DNS kriptat fuq apparat immaniġġjat.

Żomm ir-resolver intern għas-suffissi interni u kkripta dik il-qabża jekk il-politika teħtieġ hekk, minflok ma tissostitwiha b'fornitur pubbliku.

Verifika 4: imġieba meta jfalli

Konfigurazzjoni stretta tar-resolver mingħajr resolver li jintlaħaq tipproduċi falliment fir-riżoluzzjoni tal-ismijiet waqt li l-mina tibqa' mtellgħa. Ħares lejn il-mod tal-pjattaforma u r-rikors dokumentat tagħha minflok ma tmiss ċwievet jew ċertifikati.

Rikors li bil-moħbi juża DNS sempliċi hija deċiżjoni ta' politika, mhux kumdità. Iddeċiedi jekk il-falliment għandux ikun viżibbli jew għandux jiġi degradat għal xi ħaġa aktar dgħajfa, u ikteb it-tweġiba.

Afd iċ-ċertifikat, mhux it-tweġiba

Uża l-isem tal-host tal-fornitur u l-konfigurazzjoni tal-verifika dokumentati għas-servizz. Li tintefa verifiki TLS sabiex resolver mhux magħruf iwieġeb jagħtik kanal kriptat lejn punt tat-tarf mhux verifikat, li huwa agħar mill-mistoqsija sempliċi li sostitwiet f'aspett wieħed speċifiku: jidher sigur. L-ispeċifikazzjoni ta' DNS fuq TLS tistabbilixxi l-aspettattiva ta' awtentikazzjoni wara dik il-verifika.

Tweġiba minn resolver li ma tistax tawtentikaha hija dikjarazzjoni, mhux riżultat.

X'jitħalla mhux spjegat

DoT ma jaħbix l-isem mir-resolver, ma jaħbix l-indirizz tad-destinazzjoni tal-konnessjoni min-netwerk, u ma jiddeċidix jekk il-mistoqsija għaddietx mill-mina. Dawk tliet mistoqsijiet separati bi tliet tweġibiet separati.

Ikteb l-identità tar-resolver, ir-rotta tat-transitu u l-politika tal-ismijiet interni bħala tliet linji. Il-mistoqsija DNS li jmiss li tirċievi tkun waħda minnhom.