DNSSEC kontra VPN: liema waħda taħbi l-mistoqsijiet DNS tiegħek?

Żewġ mekkaniżmi jingħataw l-istess xogħol u l-ebda waħda minnhom ma tagħmlu. DNSSEC iwieġeb jekk id-data li rċevejt verament ġietx miż-żona li tippubblikaha, u VPN jiddeċiedi liema triq jieħdu l-pakketti tiegħek. L-ebda waħda minnhom ma taħbi l-isem li tlabt f’kull każ, u s-settings li jidhru li għandhom jagħmlu dan normalment jitrattaw it-trasport jew ir-routing u mhux il-validazzjoni. Jekk issemmi s-saff l-ewwel, mistoqsija vaga dwar il-privatezza ssir waħda konkreta.

Tliet affermazzjonijiet li jingħaqdu f’waħda

L-awtentiċità hija l-affermazzjoni li t-tweġiba hija dik li ppubblikat iż-żona u ma nbidlitx fit-triq. Il-kunfidenzjalità hija l-affermazzjoni li ħadd fit-triq ma jista’ jaqra l-mistoqsija jew it-tweġiba. Ir-routing hija l-affermazzjoni li l-pakketti jsegwu triq li għażilt int, u dan huwa eżattament dak li jipprovdi tunnel.

DNSSEC jittratta l-ewwel waħda u ma jgħid xejn dwar it-tnejn l-oħra. DoT u DoH jittrattaw it-tieni waħda għall-qabża sal-resolver. VPN jittratta t-tielet waħda u jista’ jaffettwa wkoll it-tieni waħda, iżda biss bħala effett sekondarju ta’ fejn tmur it-traffiku.

It-traffiku tal-applikazzjonijiet huwa r-raba’ każ: HTTPS jipproteġi u jawtentika l-iskambju tal-web bejn il-klijent tiegħek u s-sit, u l-ebda saff DNS ma jissostitwixxih.

X’jista’ u x’ma jistax jagħmel il-validazzjoni tal-firem

Resolver li jivvalida jiċċekkja l-katina tal-firem miż-żona sal-ankra tal-fiduċja konfigurata, imbagħad jirritorna tweġiba bil-bandiera tad-data awtentikata meta l-verifika tirnexxi. Dik il-bandiera hija prova dwar id-data, mhux dwar il-konnessjoni jew l-intenzjonijiet tad-destinazzjoni.

Ma jistax jipprevjeni sid taż-żona leġittimu milli jippubblika rekords awtentiċi għal servizz li m’għandekx tafda fih. Tweġiba ffirmata b’mod korrett minn dominju kompromess għadha ffirmata b’mod korrett, u DNSSEC m’għandux opinjoni dwar jekk dan id-dominju jistħoqqx il-kredenzjali tiegħek.

Ma jaħbi xejn lanqas. Il-mistoqsija u t-tweġiba jaqsmu n-netwerk f’forma li resolver u kwalunkwe osservatur fuq dik it-triq jistgħu jaqraw, sakemm saff ieħor ma jipproteġix it-trasport. Tweġiba ffirmata u tweġiba privata huma proprjetajiet differenti, u implimentazzjoni tista’ jkollha waħda biss. Ipprova t-tnejn jekk waħda minnhom hija importanti għalik.

Minn fejn tiġi l-kunfidenzjalità fil-verità

It-trasport tal-resolver ikkriptat ikebbeb l-iskambju DNS f’TLS, għalhekk ir-resolver għadu jara l-mistoqsija iżda t-triq bejnek u bejnu le. Dan iċaqlaq il-fiduċja minflok ma jneħħiha: tafda aktar fir-resolver u inqas fin-netwerk lokali.

VPN jista’ jġorr il-mistoqsijiet lejn resolver fuq in-naħa l-oħra, li jbiddel kemm it-triq kif ukoll ir-resolver li jarahom. Din hija deċiżjoni ta’ routing b’konsegwenza għall-privatezza, u f’netwerk amministrat ir-resolver intern jista’ jkun l-uniku wieħed li jista’ jwieġeb ismijiet interni.

Il-kombinazzjoni li n-nies verament iridu normalment hija tliet affarijiet f’daqqa: validazzjoni mixgħula, trasport ikkriptat lejn resolver li għażlu huma, u TLS tal-applikazzjoni fid-destinazzjoni. Kull waħda hija indipendenti, u li tħalli waħda barra jħalli vojt differenti.

Iċċekkja l-validazzjoni u t-trasport separatament

Żewġ testijiet isolvu l-biċċa l-kbira tal-konfużjoni. L-ewwel jistaqsi jekk ir-resolver ivvalidax it-tweġiba; it-tieni jistaqsi jekk it-trasport kienx protett. Huma jonqsu b’modi differenti u l-ebda wieħed ma jimplika l-ieħor.

Dawn il-kmandi jistampaw il-bnadar minn mistoqsija li tivvalida, jirrepetu l-mistoqsija bil-verifika mitfija, u jmexxu l-validazzjoni lokali permezz ta’ delv:

dig +dnssec example.com | grep flags
dig +cd example.com | grep status
delv example.com

Tweġiba bil-bandiera tad-data awtentikata u firma preżenti turi l-validazzjoni f’dak ir-resolver. Falliment tal-validazzjoni permezz ta’ delv juri katina miksura x’imkien bejn iż-żona u l-ankra tal-fiduċja, li hija problema tal-pubblikazzjoni u mhux problema tat-tunnel. Timeout mingħajr ebda bandiera hija problema tat-trasport jew tal-aċċessibilità, u li tittrattaha bħala falliment tal-firma jwasslek għas-saff ħażin.

X’għandek tagħmel meta VPN tkisser it-tiftix

Jekk it-tiftix ħadem qabel it-tunnel u jieqaf warajh, qabbel ir-resolver li tuża kull triq. Tunnel maqsum, resolver intern li jintlaħaq biss permezz tat-tunnel, u klijent li jerġa’ jikteb is-settings tar-resolver kollha jbiddlu t-tweġiba mingħajr ma jmissu DNSSEC.

Li tiddiżattiva l-validazzjoni globalment huwa l-ewwel pass ħażin, għax ineħħi l-uniku mekkaniżmu li jirrapporta t-tbagħbis u ma jsewwix resolver li ma jistax jintlaħaq. Iddejjaq l-ewwel il-ħsara: riżoluzzjoni, trasport, validazzjoni, imbagħad politika. It-tielet biss tappartjeni lil DNSSEC, u t-tieni biss tappartjeni lit-trasport ikkriptat.