DNS encryptat mingħajr VPN jaħbi t-talba, mhux l-indirizz tiegħek

Test tat-tnixxija tad-DNS li juri n-netwerk tad-dar tiegħek mhuwiex prova li d-DNS encryptat falla, u lanqas prova li xi ħaġa ħadmet. It-test iwieġeb mistoqsija waħda: liema solver waslet għalih din it-talba minn dan in-netwerk. Jekk dak huwiex problema jiddependi minn xiex u minn min kont qed tipproteġi.

Ikteb l-għan qabel ma tmexxi xi test.

Pass 1: semmi l-protezzjoni li tassew trid

Tliet għanijiet jitħalltu. Forsi trid li osservatur fil-mogħdija jieqaf jaqra t-talbiet. Forsi trid li solver partikolari jieqaf jirċevihom. Forsi trid li s-siti li żżur jieqfu jaraw l-indirizz tad-dar tiegħek. Id-DNS encryptat iservi l-ewwel wieħed, ibiddel min jissodisfa t-tieni, u ma jagħmel xejn għat-tielet.

VPN iservi t-tielet u, skont il-fornitur, l-ewwel. L-ebda għodda mhija supersett tal-oħra.

Pass 2: agħżel solver u vverifika l-identità tiegħu

DNS over TLS jgeżwer it-talba f’sessjoni TLS mas-solver, u DNS over HTTPS jgeżwirha f’talba HTTP; RFC 7858 u RFC 8484 jiddeskrivu t-tnejn, u ebda wieħed mhuwa meħtieġ minn tunnell. Dak li hu importanti b’mod operattiv hu li ċ-ċertifikat jiġi vverifikat kontra l-isem li kkonfigurajt, għax sessjoni encryptata mal-parti żbaljata hija agħar minn test sempliċi mal-parti t-tajba. Dan ifisser mod strett fejn il-pjattaforma toffrih, mhux mod opportunistiku li jirtira meta l-verifika tfalli. Iċċekkja s-sessjoni direttament qabel ma tafda s-setting: openssl s_client -connect 9.9.9.9:853 -servername dns.quad9.net -brief.

Il-handshake għandu jsemmi s-solver li kkonfigurajt u jrodd katina li tista’ tivverifika.

Pass 3: iddeċiedi l-imġiba meta jfalli

Kull implimentazzjoni għandha politika għal solver encryptat li ma jintlaħaqx, u dik il-politika hija d-deċiżjoni tal-privatezza. Il-mod strett ifalli t-tiftix, li jidher u jdejjaq. Il-mod opportunistiku jerġa’ jipprova b’test sempliċi, li ma jidhirx u jħassar l-għan proprju fil-jum li fih dan huwa importanti. Agħżel b’mod deliberat, imbagħad irreġistra l-għażla ħdejn ir-rekwiżit.

Fuq systemd-resolved dan ifisser DNSOverTLS=yes mhux opportunistic; fuq Android ifisser il-mod tal-isem tal-host ta’ Private DNS minflok awtomatiku.

Iċċekkja x’inhu tassew fis-seħħ b’ resolvectl status | grep -i -A1 "dns over tls", għax fajl drop-in li qatt ma ġie rikarikat ma jbiddel xejn.

Pass 4: iċċekkja li l-applikazzjonijiet isegwu s-solver tas-sistema

Browser bis-setting tad-DNS sigur tiegħu stess jaqbeż għal kollox il-konfigurazzjoni tas-sistema, u l-istess jagħmel runtime tal-kontenituri b’solver inkorporat jew runtime tal-lingwa li jaqra lista kodifikata b’mod iebes. Jew agħmel lil dawn isegwu s-sistema jew ikkonfigurahom b’mod espliċitu u rreġistra dan. Imbagħad ħares lejn l-imġiba tar-ritorn ta’ kull wieħed, għax mhux kollha jfallu magħluqa. L-inventarju fil-prattika huwa qasir: browser, runtime tal-kontenituri u kwalunkwe klijent VPN li tmexxi wkoll.

Ismijiet privati tal-organizzazzjoni jibqgħu fuq is-solver intern approvat. Li tibgħathom lil servizz pubbliku biex it-test jidher pulit joħloq b’mod intenzjonat problema oħra.

Pass 5: aqra t-test tat-tnixxija kontra r-rekwiżit

Test li jirrapporta solver mhux mistenni huwa ħjiel, mhux verdett. Jista’ jkun osserva s-solver encryptat li kellek f’moħħok, setting speċifiku għall-applikazzjoni, jew ritorn għal test sempliċi li ma kontx taf bih. Qabbel is-solver irrapportat ma’ dak li kkonfigura l-pass 2, u qabbel ir-riżultat mal-għan tal-pass 1.

Jekk l-għan kien li żżomm it-talbiet ’il bogħod min-netwerk lokali, test li juri s-solver tas-soltu tiegħek huwa skoperta vera. Jekk l-għan kien l-anonimità waqt il-browsing, l-ebda setting tad-DNS ma kien qatt iwassalha.

Ikteb il-linja tal-aċċettazzjoni fil-lingwa tal-għan: dawn it-tiftixiet jużaw dan is-solver ivverifikat taħt dawn il-kundizzjonijiet. Xi ħaġa usa’ hija talba li ma tistax tittestja.